Gsuite经SMTP Relay发送邮件时DKIM验证失败求助

一、当前DKIM工作机制说明 #

• 配置自定义DKIM密钥后，Gmail发件服务器（mail-qt1-f198.google.com）会直接用你的自定义域名DKIM密钥对邮件签名，生成DKIM-Signature头。
• Gmail SMTP Relay（smtp-relay.gmail.com）不会对已由G Suite签名的邮件进行二次签名——Relay仅对非G Suite来源的邮件（比如本地系统通过Relay发件）提供补签能力，对于G Suite原生发出的签名邮件，Relay只做合规校验和转发，不会修改签名或添加新签名。
• 未配置自定义DKIM时，Gmail使用通用默认密钥签名，此时Relay对该签名的兼容性更高，即使邮件有细微的body格式变化，可能仍能通过验证。

二、"dkim=neutral (body hash did not verify)" 根因排查 #

虽然SEG运维确认未修改邮件内容，但PostFix默认配置可能会对邮件做不可见的格式规范化调整，导致body哈希值改变：

• PostFix的smtp_send_header_filter或smtpd_recipient_restrictions相关配置可能自动转换邮件body的换行符（比如把CRLF转为LF，或者反之），而DKIM签名是基于原始的换行格式计算哈希的。
• PostFix可能添加了某些隐形的空白字符（比如末尾的空行），或者对body的编码格式做了微调（比如Quoted-Printable编码的细微变化）。
• 检查SEG的PostFix配置中是否开启了body_checks、header_checks这类可能修改内容的规则，即使规则是“允许”，某些正则匹配可能会意外修改空白字符。

三、针对性解决方案 #

1. 禁用PostFix对邮件body的自动格式调整
   在PostFix主配置文件main.cf中添加或修改以下参数：

   smtp_send_header_filter =
   smtp_data_done_timeout = 600s
   disable_mime_output_conversion = yes
   

   重启PostFix服务生效。

2. 强制PostFix保留原始邮件的CRLF换行格式
   添加配置：

   smtp_crlf_lf_replace = no
   

   确保邮件在传输过程中换行符不被转换。

3. 验证SEG转发的邮件body完整性
   抓包对比Gmail发往SEG的原始邮件，和SEG发往Relay的邮件，查看body部分的哈希值是否一致（可以用openssl dgst -sha256计算body的哈希，和DKIM-Signature头中的bh值对比）。

4. 调整G Suite DKIM签名的规范化规则
   在G Suite管理后台，尝试将DKIM签名的body规范化设置为relaxed模式（默认可能是strict），relaxed模式允许对空白字符的细微调整，提升兼容性。

四、补充说明 #

如果以上操作后仍有问题，检查G Suite SMTP Relay的配置：确保Relay允许SEG的IP地址，且未开启“强制TLS”之外的其他内容校验规则，避免Relay对邮件做额外修改。

内容的提问来源于stack exchange，提问作者JinuCompute