En transportcheckare kan upptäcka ett verkligt problem utan att bevisa säkerheten för varje meddelande som din organisation skickar eller tar emot. De flesta kontroller observerar en vald slutpunkt vid en viss tidpunkt med hjälp av en viss resolver och valideringsmetod. Ett försvarbart resultat inkluderar därför omfattning och utebliven täckning, inte bara ett passmärke.
Definiera leveransvägsinventeringen
Referenser: RFC 8461 §3.4, RFC 8461 §5.1, RFC 7672 §2.2.
Lista mottagardomäner, MX värdnamn, prioriteringar, IPv4 och IPv6 -adresser, värdbaserade gateways och failover-rutter. Notera om testet följer vanlig MX routing eller en explicit konfigurerad smart värd. Registrera avsändarens implementering och om den stöder MTA-STS, DANE eller en lokal obligatorisk TLS-policy. Olika sändningssystem kan fatta olika beslut för samma mottagande domän.
Definiera sedan det påstående som varje check kan stödja. En offentlig HTTPS-begäran kan fastställa policytillgänglighet från den utsiktspunkten. En TLS sond kan observera ett presenterat certifikat på en vald adress. En validerande DNS fråga kan ge bevis om DNSSEC status under en specificerad resolvertrustmodell. Ingen ensam bevisar att en riktig sändning MTA använde samma data och tillämpade den förväntade leveranspolicyn.
Fånga tillstånd snarare än bara resultat
Referenser: RFC 8461 §3.3, RFC 8461 §4, RFC 7672 §3.
För MTA-STS , behåll upptäcktsposten, exakta HTTPS-policybytes, hämtningstid, läge, livslängd och avsändarens cacheläge. För DANE , behåll MX och TLSA svar, valideringsstatus och associationsjämförelse. För varje SMTP anslutning, fånga den valda värden och IP, STARTTLS förhandling, resultat av kamratverifiering och leveransbeslut. RFC 8461 avsnitt 3–5, RFC 7672 avsnitt 2–3.
En misslyckad sond bör registrera dess felstadium. DNS timeout, TCP-timeout, frånvarande STARTTLS , handskakningsfel och certifikatmissmatch är inte utbytbara resultat. Ett lyckat handslag fastställer inte heller att avsändaren skulle vägra en framtida nedgraderad anslutning. Inkludera kontrollerade negativa fall när det är tillåtet, särskilt innan ett strikt transportkrav möjliggörs.
Arbeta igenom ett täckningsgap
I det här syntetiska inventeringsexemplet har mx1.example.net IPv4 och IPv6 -rutter och mx2.example.net är en säkerhetskopia. En provobservation täcker endast mx1:s IPv4 adress. Inventeringen måste markera IPv6 och backuprutter oprövade snarare än att sprida framgång över alla tre. Observationen är uttryckligen syntetisk och har inget anspråk på ett verkligt samband.
Lägg till en godkännanderad på avsändarsidan för en stödjande MTA med en giltig tillämpningspolicy, en annan med en tom cache och en DANE-kapabel avsändare med validerad TLSA. Dessa rader förblir väntande tills faktiska stockar fångas. Detta gör acceptplanen användbar utan att presentera förväntade resultat som mätningar. Den låter också en räddare se om den misslyckade rutten någonsin har utövats.
Stämma av rapporter och operativa bevis
Referenser: RFC 8460 §4.1, RFC 8460 §4.2.
TLS-RPT rapporter kan avslöja misslyckanden som upptäcks av deltagande avsändare under en rapporteringsperiod, vilket kompletterar tidpunktsundersökningar. Deras antal sessioner är inte antalet unika meddelanden och deras täckning är inte universell. En lugn rapporteringsperiod bevisar inte att alla rutter lyckades, och upprepade försök kan komplicera uppskattningar av affärseffekter. RFC 8460 avsnitt 4.4.
Behåll det råa resultatet, tidsstämpeln, verktygsversionen eller kommandot och den snävare slutsats du drog av det. Testa om efter certifikatförnyelse, MX migrering, DNSSEC ändringar och policyuppdateringar. Granskningspaketet innehåller sju bevarade 7 november 2026 loopback-transkriptioner, med peer-certifikatbytes för de fyra sessioner som nådde certifikatfångst. De täcker en lokal IPv4 Python-klient/server vid genererade portar med explicit konfigurerade förtroende- och policyingångar, inte Internet SMTP , en DNSSEC valideringskedja, produktions-MTA-köer eller full MTA-STS -certifikatprofilkompatibilitet. De historiska sessionerna inspekterades men kördes inte om här. Exempel på Internet IPv4 , IPv6 och säkerhetskopieringsvägar förblir oprövade; ingen ärver ett lokalt pass. Den nyligen körda offlinetäckningsmodellen kontrollerar bara att en syntetisk observerad rutt lämnar de andra listade rutterna oprövade. Fånga avsedd MTA och routingobservationer innan du gör anspråk på distributionsgaranti.