确定DNS更改可能影响哪些故障
DNS对于邮件路由和身份验证至关重要，但正确的记录并不能解决所有投递问题。 DNS正确应答后，邮件可能会因收件人策略、内容、信誉、队列行为、帐户限制或其他条件而失败。从观察到的故障阶段开始，询问哪条记录（如果有）参与该决策。在没有该链接的情况下重复编辑DNS可能会产生新的风险，同时不会影响原始问题。
本文使用保留的主DNS 、 SMTP和提供商文档。它不检查活动域或执行交付测试。该目录需要针对确切所有者名称和记录类型的带时间戳的权威和递归答案。这些观察结果仍然缺失，因此这里没有声明真正的配置正确或错误。
将记录发布与解析器观察分开
在查询之前记录完全限定的所有者名称和记录类型。一个 TXT记录 在一个 DKIM选择器 与域顶端的TXT记录不是同一对象，并且子域的管理方式可以与其父域不同。保留实际返回的记录边界和值，而不是仅仅依赖DNS编辑器显示它们的方式。 RFC 1035定义了DNS响应中使用的资源记录结构和 TTL。 RFC 1035
提议的证据集应包括权威观察和相关的递归观察，每个观察都带有时间戳和查询上下文。递归缓存可以反映以前的状态，而权威服务则显示较新的状态。不要在不检查名称、类型和响应状态的情况下调用每个差异传播。本地缓存刷新并不能确定外部接收器观察到的内容。
将身份验证记录与实际消息身份联系起来
SPF, DKIM 和 DMARC 取决于特定的身份和消息条件。错误名称的看似有效的记录并不能证明该消息使用了该名称。 DMARC评估与可见发件人域的一致身份验证，而DKIM识别其签名域和选择器。保留实际收到的消息上下文（如果可用），而不是假设发送平台使用配置的身份。 RFC 9989 RFC 6376
DNS修复可以解决丢失或格式错误的查找依赖项，而无需修复未签名的消息、修改的签名或意外的发送路由。相反，消息可以成功通过身份验证，但在另一个策略下仍然会被拒绝。因此，封闭测试必须涵盖失败的机制，而不仅仅是显示DNS检查器现在返回绿色。
在选择下一层之前读取接收器的响应
Yahoo的SMTP指南区分了临时延迟、身份验证失败、无效收件人和基于内容的策略阻止。这些类别不共享一种DNS补救措施。永久无效收件人响应不应触发SPF扩展，内容诊断需要有关邮件和发送实践的证据，而不是推测性MX更改。 Yahoo SMTP诊断
Microsoft 的Exchange Online NDR 参考同样将特定身份验证错误与收件人自定义阻止列表和自动转发限制区分开来。确切的响应和收件人上下文决定了应该调查哪个所有者。发件人的DNS管理员可能无权更改收件人的策略，并且正确的DNS答案不会覆盖该策略。 Microsoft NDR 参考
将SMTP接受和收件箱放置分开
SMTP接受建立传输阶段结果，而不是收件人阅读或通用收件箱传送。稍后的过滤器可以应用其自己的处理。保留完整的事务和任何后续 DSN，而不是将成功的DNS查询或接受的切换视为业务消息到达预期接口的证据。 RFC 5321
当DNS编辑后问题发生变化时，准确记录发生的变化。新的尝试可以使用不同的路由、收件人或消息正文。如果没有受控条件，证据可能会显示出改进，但无法证明是DNS编辑造成的。不要仅仅因为时机方便就声称根本原因；保留前后的观察结果和相互矛盾的解释。
原始 DNS 到交付工作表
使用此建议的工作表来确定DNS更正是否相关以及还剩下什么。真实域尚未完成。
- 失败：准确响应、受影响的收件人、 SMTP阶段和观察时间。
- 候选依赖性：所有者名称、记录类型以及记录可能影响失败的原因。
- 权威答案：服务器查询、时间戳、响应状态、保留结果。
- 递归答案：解析器上下文、时间戳、TTL 和保留结果。
- 消息身份：可见的发件人、信封身份、签名域和相关选择器。
- 非 DNS 条件：收件人策略、内容、帐户、声誉或路由证据。
- 批准的更改：预期的更正、所有者、回滚和不相关的记录保持不变。
- 结束：受控的后续结果及其支持的精确主张。
明确标记不存在的证据。如果原始故障响应未保留，请在选择维修之前收集新的授权观察结果。如果递归结果与权威结果不同，请保留两者并调查时间和命名空间。如果两者都正确，不要仅仅因为业务问题仍未解决而继续编辑。
虚构示例：身份验证已修复，但转发仍被阻止
虚构的 Maple Transit 在计划练习中更正了预期的身份验证记录，然后遇到单独的转发策略拒绝。拟议的审查将假设的DNS改进与接收者或租户策略决策区分开来。它不会仅仅因为整个工作流程仍无法完成而假设DNS修复失败，也不承诺另一次记录编辑将消除限制。
下一步将是确定负责的保单所有者，并确认转发行为是否是有意的和授权的。受控测试需要保留准确的路线和响应。 Maple Transit 是虚构的：未观察或更改任何DNS应答、消息、租户策略或传送结果。该场景说明了多个独立的门，而不是经过验证的修复。
使用狭义的、基于证据的完成声明
一个好的DNS闭包语句可以识别现在观察到的确切名称和类型、权威和递归上下文以及重新测试的机制。它还列出了该范围之外的其余交付条件。 “选择器查找现在返回预期的密钥”比“送达能力已固定”更窄且更有用，尤其是在没有观察到接收方结果的情况下。
避免将扩展身份验证授权或更改路由记录作为对声誉或内容问题的一般响应。此类更改可能会影响不相关的流并造成安全隐患，而无法解决接收者的实际原因。将纠正措施与证据和负责人的批准联系起来。
该目录的带时间戳的权威和递归证据仍然开放。人类SME、来源适用性、生产路线、视觉可达性和所有者发布也都是开放的。该草案提供了诊断边界和工作表，而不是实时DNS验证或保证邮件将到达收件箱。