En transportchecker kan opdage et reelt problem uden at bevise sikkerheden for hver besked, din organisation sender eller modtager. De fleste kontroller observerer et valgt slutpunkt på et bestemt tidspunkt ved hjælp af en bestemt resolver og valideringsmetode. Et forsvarligt resultat inkluderer derfor omfang og manglende dækning, ikke kun et pasmærke.
Definer leveringsrutebeholdningen
Referencer: RFC 8461 §3.4, RFC 8461 §5.1, RFC 7672 §2.2.
Liste over modtagerdomæner, MX værtsnavne, prioriteter, IPv4 og IPv6 -adresser, hostede gateways og failover-ruter. Bemærk, om testen følger almindelig MX routing eller en eksplicit konfigureret smart vært. Registrer afsenderimplementeringen, og om den understøtter MTA-STS, DANE eller en lokal obligatorisk TLS-politik. Forskellige sendesystemer kan træffe forskellige beslutninger for det samme modtagende domæne.
Definer derefter det krav, hver check kan understøtte. En offentlig HTTPS-anmodning kan etablere politiktilgængelighed fra dette udsigtspunkt. En TLS sonde kan observere et præsenteret certifikat på en valgt adresse. En validerende DNS -forespørgsel kan give bevis for DNSSEC status under en specificeret resolver-tillidsmodel. Ingen beviser alene, at en reel afsendelse MTA brugte de samme data og håndhævede den forventede leveringspolitik.
Capture state snarere end blot resultater
Referencer: RFC 8461 §3.3, RFC 8461 §4, RFC 7672 §3.
For MTA-STS skal du beholde registreringsposten, nøjagtige HTTPS-politikbytes, hentningstid, tilstand, levetid og afsenderens cachetilstand. For DANE skal du beholde MX og TLSA svar, valideringstilstand og associationssammenligning. For hver SMTP forbindelse skal du registrere den valgte vært og IP, STARTTLS forhandling, peer-verifikationsresultat og leveringsbeslutning. RFC 8461 afsnit 3-5, RFC 7672 afsnit 2-3.
En fejlbehæftet sonde bør registrere dens fejlstadie. DNS timeout, TCP-timeout, manglende STARTTLS , håndtryksfejl og certifikatmismatch er ikke udskiftelige resultater. Et vellykket håndtryk fastslår heller ikke, at afsenderen ville afvise en fremtidig nedgraderet forbindelse. Inkluder kontrollerede negative tilfælde, når de er godkendt, især før et strengt transportkrav aktiveres.
Arbejd gennem et dækningsgab
I dette syntetiske beholdningseksempel har mx1.example.net IPv4 og IPv6 ruter, og mx2.example.net er en backup. En prøveobservation dækker kun mx1's IPv4 adresse. Opgørelsen skal markere IPv6 og backup-ruterne utestede i stedet for at sprede succes på tværs af alle tre. Observationen er eksplicit syntetisk og bærer intet krav om en reel sammenhæng.
Tilføj en acceptrække på afsendersiden for en understøttende MTA ved hjælp af en gyldig håndhævelsespolitik, en anden med en tom cache og en DANE-kompatibel afsender med valideret TLSA. Disse rækker forbliver afventende, indtil de faktiske logfiler er fanget. Dette gør acceptplanen nyttig uden at præsentere forventede resultater som målinger. Det lader også en hændelsesperson se, om den fejlbehæftede rute nogensinde blev udøvet.
Afstem rapporter og operationelle beviser
Referencer: RFC 8460 §4.1, RFC 8460 §4.2.
TLS-RPT rapporter kan afsløre fejl, der er set af deltagende afsendere i løbet af en rapporteringsperiode, hvilket supplerer punkt-i-tids sonder. Deres sessionstal er ikke entydige beskedtællinger, og deres dækning er ikke universel. En stille rapporteringsperiode beviser ikke, at alle ruter lykkedes, og gentagne genforsøg kan komplicere estimater af forretningseffekter. RFC 8460 afsnit 4.4.
Behold råresultatet, tidsstemplet, værktøjsversionen eller kommandoen og den snævrere konklusion, du trak fra det. Gentest efter certifikatfornyelse, MX migrering, DNSSEC ændringer og politikopdateringer. Gennemgangspakken inkluderer syv tilbageholdte 7. november 2026 loopback-transskriptioner med peer-certifikatbytes for de fire sessioner, der nåede certifikatfangst. De dækker en lokal IPv4 Python-klient/server ved genererede porte med eksplicit konfigurerede tillids- og politikinput, ikke internet- SMTP , en DNSSEC valideringskæde, produktions-MTA-køer eller fuld MTA-STS -certifikatprofil-overholdelse. De historiske sessioner blev inspiceret, men ikke gentaget her. Eksempler på Internet IPv4 , IPv6 og backup stier forbliver utestede; ingen arver et lokalkort. Den nyligt udførte offline-dækningsmodel kontrollerer kun, at en syntetisk observeret rute efterlader de andre listede ruter utestede. Indfang den tilsigtede MTA og routingobservationer, før du gør krav på implementeringsgaranti.