将接收报告的请求与传输保护分开
TLS-RPT 要求发送系统报告SMTP TLS观察结果。它本身不需要加密传送或修复 MTA-STS 或者 DANE 配置。检查器应首先解释报告请求是否可发现和可解析，然后分别解释目的地是否可以接受报告以及任何收到的报告实际建立了什么。
本文是建议的检查器指南，而不是已实现的EmailAuth功能。未测试任何域、邮箱、报告端点或消息。确切的工作工具要求仍然开放：实现并测试承诺的功能。一篇文章、模型或规范本身并不是一个有效的工具。
验证正确所有者的发现记录
对于策略域， RFC 8460将请求放置在_smtp._tls处，后跟该域。保留被查询的所有者， TXT记录 边界、响应状态和收集时间。建议的检查员应区分收集失败和确认缺席。过滤支持的 TLSRPT 版本的返回记录必须恰好留下一条可用记录；一条记录中的多个字符串不带空格地连接在一起。
根据规范解析所需的v=TLSRPTv1和rua信息，包括其URI转义规则。 RFC 8460支持 mailto 和 https 报告目标。不要仅仅因为两种协议都使用 rua 字段而将 DMARC 特定的外部目标授权语法粘贴到TLS-RPT中。验证实际协议和端点合同。 RFC 8460 ，第 3 节.
区分端点语法和操作接受
语法上有效的地址并不能证明邮箱存在、接受报告大小或运行兼容的处理器。同样，为网页提供服务的 HTTPS 目标并不证明它接受指定的报告 POST。记录端点所有者、支持的传输、导入格式和单独批准的验收证据。不要仅仅为了将状态指示器变为绿色而发送测试报告或披露客户材料。
报告传送具有特殊的传输语义。 RFC 8460允许 HTTPS 提交者忽略证书验证错误，并要求SMTP报告在发生与 TLS 相关的故障时继续进行，并且可能无需加密。这些协议允许不允许此检查器绕过证书警告或不安全地传输敏感数据。在选择或测试目标之前，部署必须明确审查机密性后果及其自身的安全策略。
准确应用SMTP报告签名要求
SMTP承载的报告必须具有有效的 DKIM签名 来自报告域；收件人必须忽略缺少该信息的报告。 RFC 8460第 3 节还禁止 DKIM l= body-length attribute for these signatures. A generic DKIM pass is insufficient if the reporting signature relies on l=, because the requirement protects against appended misleading report content.
公钥记录应声明 tlsrpt 服务类型，如果缺少该声明，接收者可能会忽略报告。保留哪个签名域， 选择器 并签名支持报告的接受决定。这些特定于 SMTP 的要求不得描述为 HTTPS POST 的 DKIM 签名要求。 RFC 8460 ，第 3 节.
使用明确的导入限制解析报告
TLS-RPT报告使用 I-JSON，包含元数据、报告间隔和策略数组。电子邮件传输使用规定的报告MIME结构；规范支持并推荐 gzip 压缩。将压缩输入和纯输入视为不可信。在将记录导入分析之前，限制传入和扩展的大小、处理时间、内存、嵌套和策略或失败条目计数。
使用 I-JSON 感知验证路径，包括拒绝重复的对象成员名称，而不是信任宽松的 JSON 库保留的任何值。保留原始输入来源和解析器版本，并隔离不受支持或格式错误的报告，而不将其标记为域传输故障。这里没有实现导入限制或解析器。 RFC 8460 ，第 4-5 节, RFC 7493 和 OWASP 文件上传指南.
解释观察结果及其分母
将每个发现链接到报告组织、策略域、策略类型、间隔、接收主机和相关故障详细信息。 sts-policy-fetch-error 涉及检索MTA-STS策略；证书主机不匹配涉及证书身份验证。这两个标签都无法单独识别确切的维修情况。在选择更改之前，将报告的时间和上下文与单独授权的端点、策略或MX证据相关联。
计数描述的是会话，而不一定是单个消息。对于同一尝试，失败类别可以重叠，并且报告可以包含多个应用的策略。因此，将每个故障详细信息计数添加到唯一消息总数中可能会夸大受影响的人口。保留摘要和详细语义，而不是将它们扁平化为一种普遍的失败率。 RFC 8460 ，第 4.2–4.3 节.
缺席报告并不能证明传输成功。发送者可能不参与，报告路径可能失败或者本地处理器可能拒绝输入。相反，成功的会话计数表示用于报告系统观察的符合策略的TLS连接，而不是最终收件箱传送或消息身份验证。将收集健康状况和传输结果保存在单独的输出字段中。
在要求修复之前需要证明问题
在虚构的诊断计划中，重复的策略获取错误将导致所有者将报告的时间间隔与策略主机可用性和证书证据进行比较。该工具应保留替代解释，直到确认原因为止。它不得自动更换报告目的地、放松执行或发布新政策。
确切的原始证据门是：链接到已确认端点或策略问题的经过编辑的TLS-RPT JSON 示例。尚未提供实际报告或已确认的事件。参考文献于 2026 年 11 月 8 日进行了审核。拟议的工作流程仍需要经过测试的实施、安全导入固定装置、独立和人工技术审核、目视检查和所有者发布授权。