身份验证审核包应该回答一个实际问题：其他人是否可以在不询问作者电子表格列含义的情况下得出相同的有限结论？截图可以支持 一个记录，但它很少保留重现发现所需的范围、转换和排除。从一项主张开始，然后提供支持该主张的投入和推理。
陈述主张及其限制
使用诸如“三个注册服务之一缺乏一致的身份验证通行证的当前证据”之类的声明。避免“域名是安全的”。在下面 RFC 9989, DMARC 评估身份验证 标识符对齐。它不证明发件人的商业目的、保证送达或解释每种假冒方法。
定义组织、服务、领域、审核间隔、时区和证据截止时间。将库存分母与实际观察到的消息分开。服务可能已获得批准，但在较短的观察间隔内并未出现。遥测缺失是关于可见性的一个发现，直到有更多证据解释为止。
保留重建路径
使用收集时间戳和完整性哈希将原始输入保留在受限区域中。记录转换、重复数据删除密钥、排除和工具版本。为了 汇总报告，保留报告标识、报告组织和间隔以及每个提取的行。 RFC 9990 描述报告结构；报告行不是完整的交易历史记录或收件箱放置证明。
将每个发现与确切的服务注册条目、相关行、解释和纠正决策联系起来。将个人内容排除在一般审计摘要之外。哈希检查保留的字节是否改变；它不证明真实性、完整性或授权批准。单独保存源出处和访问历史记录。
重建一个独立的假设发现
假设注册了三种服务：账单、工资和时事通讯。这三者目前均已获得商业批准。帐单和时事通讯在声明的审查间隔内具有当前授权的对齐通行观察；工资单上没有。根据拟议的规则，需要批准和现有证据，三分之二的服务符合资格。工资单是一个证据缺口，而不是已证明的身份验证失败。这些是陈述的假设，而不是保留的操作文件或执行的审计。
仅将工资单的假设观察更改为当前一致的通行证即可使覆盖范围达到三中之三。相反，从原始案例开始并删除帐单批准，剩下三个之一。这些单独的反事实表明结论如何取决于输入。真正的审稿人需要实际的冻结记录和出处，而不仅仅是这些例句。
给审稿人一个有界的任务
要求独立审核员重建三分之二的结果，确定工资差距并解释为什么未观察到的与身份验证失败不同。为审阅者提供相同的冻结输入和规则，然后记录他们的身份、结果、分歧和确切的输入哈希值。对于真正的审计，外部复制仍处于等待状态，直到单独的审核员实际检查冻结的证据并记录结果。回顾本文或其假设的算术并不能满足操作保证门的要求。
仅当其声明的结束证据存在时才结束调查结果。对于工资单，这意味着服务所有者确认的路线和带有接收者身份验证证据的当前授权测试，而不是从分母中删除工资单。保留未解决的项目、审核日期和负责人，以便下一次审核可以区分进度和变化的群体。