更改政策前调查路线
即使来自同一发送者的直接传递消息成功，间接消息也可能失败。这种差异是调查干预路由的原因，而不是证明发送者的整个身份验证策略是错误的。从一个狭义的事件开始：哪个消息、哪个接收路径、哪个时间以及哪个观察到的故障？ “转发的邮件已损坏”结合了太多可能的原因来支持安全更改。
目的是找到直接交付和间接交付之间第一个有意义的差异，并确定谁可以纠正它。将策略更改、路由更改和接收者例外作为不同的可能决策。一项有用的调查可能最终支持范围内的策略审查，但不应仅仅因为一条转发的消息被拒绝而削弱对不相关流量的保护。
保留一对可以回答问题的
从同一发送流请求授权的直接和间接样本，最好使用具有同等内容的受控消息。保留完整的标题以及相关的信封和传送日志，而不仅仅是显示的发件人的屏幕截图。记录时间戳、消息标识符、最终接收者上下文和已知中介。如果没有相同的样本，请说明该限制，而不是像对照实验一样比较不相关的活动。
不要仅仅为了收集问题消息而再次转发它：另一个转发步骤可能会更改证据。使用经批准的导出或收集方法来保留原始表示形式。限制对收件人地址和邮件内容的访问。将经过编辑的工作副本与受保护的原件分开维护，这样编辑就不会成为证据包中无法解释的签名破坏转换。
将结果锚定在可信边界内
读 Authentication-Results 仅在谁插入它以及哪个接收系统信任该源的情况下。声称通过的标头可能来自不受信任的发件人。将接收者添加的结果与实际评估位置和消息路径进行比较；不要选择包含最有利判决的标题。 RFC 8601 ，第 1.2 节和第 7 节 解释了为什么这些字段需要信任边界。
对于每个示例，列出作者域， 信封发件人 域，在评估器上连接 IP， DKIM 签署域名、验证结果和 结盟 关系。将身份验证结果与处置分开。邮箱接受消息并不能证明 DMARC 通过，并且在SMTP期间被拒绝的邮件可能没有收件人端存储的副本。在这种情况下，服务器日志和确切的响应就成为重要的证据。
找到第一个丢失的对齐路径
SPF 根据当前事务中的身份评估SMTP客户端。转发通常会改变客户端IP；信封重写还可以更改检查的域。当受保护的内容保持完整时， DKIM可以继续转发，但修改可能会使相关签名失效。 DMARC需要一个具有所需对齐方式的传递身份验证标识符，而不仅仅是标头中某处的传递。 RFC 7208 ，第 2.4 节, RFC 6376 ，第 6 节 和 RFC 9989 ，第 4.4 节.
一个虚构的事件说明了这种方法。来自billing@sender.example的直邮在建议的比较中具有一致的签名。间接路由通过添加页脚的团队列表并使用其自己的返回路径。调查应询问页脚是否使原始签名无效以及替换信封是否对齐。这些是要测试的假设，而不是捕获的结果。将列表的基础结构添加到原始发件人的基础结构中 SPF记录 没有合理的授权模型就无法回答这两个问题。
在不更改结果标签的情况下评估ARC
如果 ARC 出现时，保留每组和最终接收者的实际链评估。确定接收者是否识别相关中介以及本地策略是否使用该信息。不要将DMARC失败重写为通过，因为ARC链已经过验证。该链可以承载较早的断言；决定信任它们是一个单独的接收者操作。 RFC 8617 ，第 7 节和第 9 节.
状态对建议很重要。 RFC 8617仍处于实验阶段 2026 年 11 月 8 日审查。2026 年 10 月提出历史地位的有效草案尚未成为 RFC 或完成的状态变更。在推荐新的依赖项之前，它需要进行明确的审查，但它并不能证明特定安装的接收器已停止使用ARC 。 ARC状态提案.
将干预措施与证据相匹配
如果转发者的可选修改破坏了唯一幸存的对齐签名，请与其所有者一起调查该转换。如果原始流从未正确签名，请修复发送方配置。如果由于不可信标头被误认为接收者的评估而导致结果不一致，请在更改基础设施之前更正分析。 Google 的转发指南同样强调保留受 DKIM 保护的材料，并描述了Gmail自己的身份验证评估；它不承诺普遍交付。 Google 转发指南.
当证据支持时，政策仍然值得进行实质性审查。 RFC 9989的互操作性讨论向其用户在 Internet 邮件列表中发布有关拒绝策略的域发出警告，并要求接收者考虑的不仅仅是已发布的策略。这不是无限期忽略间接邮件失败的命令。在提出范围建议之前，记录受影响的人口、替代方案、业主批准和预期的保护权衡。 RFC 9989 ，第 7.4 节.
以匹配的重新测试结束，而不是新的假设
拟议的重新测试应保留原始比较尺寸并在可行时更改一项相关条件。记录交付配置和身份验证，包括任何剩余的特定于接收者的异常。不要仅仅因为测试到达收件箱一次或因为策略记录被编辑而宣布成功。
直接和间接传递样本与路线、信封、签名和可信结果进行比较。这一确切的目录要求仍然开放。该草案没有原始样本、实时标头、 DNS观察或受控消息测试。调查序列仅可用作批准的证据收集计划，而不是作为任何发件人策略应更改的证据。