转发服务器如何“重签 DKIM”（re-sign）来保证转发后认证仍通过？

DKIM 签名随邮件传输，转发通常不破坏它；但若转发服务器改写正文/头（如加页脚、改写路由头），原签名可能失效。此时转发方可用自己的域重签（re-sign）。

转发 MTA 在转发前用自己域的 DKIM 私钥对新邮件（含可能被改写的头体）生成新 DKIM-Signature（d=转发域），原签名保留或移除。这样至少“转发域的 DKIM”通过。

重签后 DKIM d= 是转发域，与可见 From 域不对齐，DMARC 仍可能失败（除非转发域是 From 域的授权子域或存在信任链）。故单纯重签不足以让 DMARC 对齐。

为让 DMARC 通过，转发/列表服务常配合“改写 envelope-from 为自身域”（SRS 或自有 Return-Path）+ 自身 DKIM 重签 + 保留原 DKIM，使至少一项对齐。