取消供应商合同并不一定会消除其为您的域发送经过身份验证的邮件的能力。卸载必须涵盖剩余的服务帐户、凭据、 DNS关系和操作依赖项。目的是删除不必要的权限，同时保留可能共享该权限的合法应用程序。
设定退休界限
确定确切的供应商帐户、服务目的、所有者和最终授权发送时间。列出计划作业、重试、排队消息、入站回复、退回处理和集成。确认服务是否完全停止或仅丢失一个域。在访问消失之前保留配置和相关证据，并遵守保留和隐私要求。
存货 SPF 机制， DKIM 键或 选择器 该服务使用的委托、自定义返回路径、委托区域、API 凭证、连接器和报告目标。这些是具有不同撤销步骤的不同依赖项。 RFC 6376中指定了DKIM密钥发布和验证；过早删除密钥可能会影响对已签名消息的验证。 DKIM规范。不要假设合同终止已更改DNS或撤销 API 令牌。
在删除之前查找共享权限
对于每个建议的删除，请识别依赖于同一对象的其他应用程序。 SPF中包含的提供商可以支持多个批准的帐户。删除它可能会损害合法邮件；保留它可能会留下比预期更宽的授权路径。确定是否可以拆分依赖关系或是否可以在其帐户边界禁用已停用的服务。检查提供者特定的行为而不是治疗 SPF记录 作为每个用户的权限列表。 RFC 7208.
记录停止顺序、验证顺序和恢复限制。恢复受损凭据的回滚并不等同于恢复意外删除的DNS记录。如果怀疑受到损害，请在重新启用旧权限之前协调响应。正常撤离和紧急遏制可能需要不同的时间，但都需要负责任的决定和证据。
避免让一次成功的检查关闭每个依赖项
考虑同一提供商的假设退休计费帐户和幸存工资帐户。他们的选择器不同，但他们的SPF包含是共享的。删除已停用的选择器并不表明其 API 凭证已被撤销，并且删除共享包含可能会影响工资单。首先将每个对象映射到帐户边界和幸存用途，然后批准具体的停止顺序。
假设稍后授权的DNS观察确认退休选择器不存在，同时没有提供者帐户撤销证据可用。将DNS停用记录为已观察，将凭证吊销记录为待处理。请勿执行未经授权的发送来填补该空白；使用提供商支持的管理证据或明确批准的安全测试。这些是假设的决定，而不是实际的DNS或凭证操作。
排队合法邮件的保留公钥与允许新发送的活动凭证具有不同的用途。平衡验证的连续性与事件所有者的任何可疑妥协；不要采用通用保留延迟或自动恢复泄露的秘密。
验证移除和连续性
通过经批准的安全方法测试退役路线不再具有预期的权限。单独测试共享基础设施的合法服务，包括低容量事务路径。检查接收者身份验证和业务交付结果，而不是仅依赖DNS发布。 DMARC 结果描述 域对齐 和处理，而不是证明您的库存完整。 RFC 9989.
关闭注销记录，删除依赖关系，故意保留对象、原因、所有者和审核日期。在业务仍然需要的地方保留注册或接收依赖项。监视与退役服务相关的后续观察结果并调查其来源，而不是假设每个延迟的报告都意味着撤销失败。当批准的权限范围和证据一致时，案件就完成了。
独立关闭各个权限
将帐户禁用、凭据吊销、 DNS停用和剩余流检查作为单独的结果。即使所有DNS检查都通过，也将缺失的提供商后检查标记为挂起。为每个保留的依赖项指定所有者和安全验证方法。