Uma campanha de férias, um aviso fiscal ou uma renovação de adesão podem alterar tanto o volume de correspondência como a combinação de serviços de envio. Comparar esse evento com uma semana tranquila pode produzir um alerta dramático mesmo quando o comportamento de autenticação permanece inalterado. O inverso também é possível: uma grande campanha legítima pode esconder uma falha crítica menor dentro de uma percentagem global melhorada.
Crie uma linha de base que descreva o e-mail que está sendo comparado. Esta é uma técnica de investigação, não uma fórmula de pontuação definida por protocolo. RFC 9990 fornece intervalos de observação, contagens, resultados de autenticação e informações sobre políticas; contexto de negócios vem do calendário e dos registros de envio da própria organização.
Anote o evento antes do lançamento
Registre a campanha ou processo de negócios, domínios esperados, envio de aplicativos, proprietários, janela de lançamento e grupos de destinatários pretendidos. Obtenha o design de autenticação atual do aplicativo e teste-o antes do evento. Não deduza a autorização de um endereço IP que apareça em um relatório de feriado anterior.
Observe migrações, novos provedores e alterações em DKIM identidade ou caminho de retorno. Um evento recorrente com uma nova plataforma de correio não é tecnicamente idêntico ao evento do ano passado, mesmo que o nome de marketing e o público permaneçam os mesmos.
Compare observações equivalentes
Referências: RFC 9990 §3.1.1.4, RFC 9990 §3.1.1.8, RFC 9990 §3.5.4, RFC 9989 §5.3.8.
Compare intervalos completos de relatórios com cobertura de receptor semelhante. Mantenha grupos de origem, domínios de autor e caminhos de autenticação separados onde os dados os suportam. Relate as falhas absolutas e a proporção de falhas no fluxo relevante.
Exclua ou anote intervalos incompletos em vez de tratar um dia parcial como uma queda repentina. Preserve atrasos e decisões de tratamento de duplicatas. Um receptor recém-contribuído pode aumentar o tráfego visível sem qualquer alteração no envio real. O desaparecimento de um receptor dos dados pode fazer com que a taxa geral pareça melhor sem que o remetente seja reparado.
Trabalhe em uma mudança de mix sazonal
Linha de base ilustrativa: uma semana tranquila tem 1.000 mensagens da equipe com 10 falhas, uma taxa observada de 1%. Durante uma semana de campanha, o mesmo fluxo de funcionários apresenta 20 falhas entre 1.000 mensagens, enquanto uma campanha adiciona 9.000 mensagens passageiras. A taxa global é agora de 20/10.000, ou 0,2 por cento, embora as falhas no fluxo de pessoal tenham duplicado.
Mantenha visíveis os resultados dos dois fluxos e o impacto nos negócios. Estes números sintéticos demonstram como uma mudança no denominador pode ocultar uma regressão; não são medidas de produção. A atribuição a uma aplicação específica requer suporte de propriedade e evidência de mensagem, e não apenas um agrupamento conveniente por IP.
Investigue as diferenças antes de alterar os limites
Referências: RFC 9990 §3.1.1.9, RFC 9990 §3.1.1.11, RFC 9989 §5.3.5.
Para um fluxo alterado, compare a política observada pelo receptor e SPF/ Identidades DKIM com a configuração planejada do remetente. Determine se a autenticação falhou, alinhamento falhou ou apenas a disposição relatada foi alterada. Com uma política válida aplicável e verificações concluídas, um mecanismo de passagem alinhado pode satisfazer o nível de mensagem DMARC governar mesmo quando o outro falha.
Use o registro de inicialização ou migração do proprietário do aplicativo para testar a explicação. Um aumento de volume próximo a um feriado não é suficiente para classificar o tráfego desconhecido como uma campanha. Por outro lado, não suprima uma nova falha simplesmente porque o calendário prevê um grande volume.
Termine com uma revisão específica do evento
Defina uma janela temporária de revisão de alerta, proprietário e expiração para o evento. Se os limites forem ajustados, registre o motivo e mantenha uma verificação independente de rotas críticas ou novas fontes desconhecidas. Restaure o arranjo normal de revisão após o evento, em vez de deixar um ponto cego permanente.
Mantenha um resumo conciso do evento: períodos comparados, cobertura do receptor, contagens relevantes, rotas alteradas, testes representativos e questões não resolvidas. Na próxima temporada, use esse resumo como contexto e verifique novamente a configuração atual. A linha de base deve ajudar um analista a reconhecer uma mudança significativa sem tratar o tráfego do ano passado como uma autorização permanente.
Limite a conclusão e próxima ação
A aritmética sintética local confirma que as falhas de pessoal aumentam de 10/1.000 = 1% para 20/1.000 = 2%, enquanto a taxa combinada de semana de campanha cai para 20/10.000 = 0,2%. Investigue a regressão do pessoal em vez de inferir melhorias a partir da taxa combinada. Nenhuma campanha, coorte real de receptores ou limite de alerta foi medido ou alterado.