将部署定义为可观察的DNS属性
DNS部署研究可以确定在特定所有者名称和时间观察到特定记录。它本身无法确定来自组织的每条消息都经过身份验证、接收者应用了相同的策略或业务请求是合法的。研究应在收集数据之前定义其测量属性：记录存在、语法有效性、适用的策略发现和操作消息合规性是不同的结果。
RFC 1035 定义DNS消息和记录结构。 RFC 9989 定义 DMARC 发现和 结盟 行为。这些标准支持可重复的测量方法，而不是声称进行了扫描。本手稿不包含领域观察、采用百分比或推断的消息结果。
查询前请选择单位和人口
指定研究是否计算注册域名、完全限定名称、发送身份或客户组织。这些单位不可互换。一个组织可以操作多个域，而一个域可以托管多个独立的发送工作流。网站名称列表不会自动成为发送邮件的域列表。记录样本的选择方式以及选择排除的内容。
使用版本标识符和保留的哈希冻结输入列表。定义对重复项、国际化名称、尾随点、别名以及所有权或状态更改的处理。不要在看到结果后默默地删除困难的名字。如果总体是一个方便样本，请以这种方式进行描述，而不是将其呈现为所有电子邮件域的代表。没有为此草稿创建或查询人口列表。
区分确切名称的观察和发现
与确定适用的DMARC策略相比，精确的TXT查找回答的问题范围更窄。在下面 RFC 9989，发现过程可能涉及 DNS树漫步。仅查询一个预期所有者名称的方法应将其结果标记为确切名称存在，而不是完整的DMARC部署。保留所使用的算法和标准版本，以便其他分析师能够理解负面结果的含义。
SPF 有自己的身份和记录选择规则 RFC 7208。在网站域中查找策略并不能证明它是 邮件来自 组织消息使用的身份。仅限 DNS 的研究可以描述选定名称的发布，但不得发明发送身份或用品牌名称替代观察到的SMTP上下文。
分别保留权威证据和递归证据
对于每个授权观察，记录确切的所有者、类型、类、服务器或解析器、时间和响应状态。权威答案描述了被询问的权威机构的回应；递归答案可能反映缓存的数据和解析器自己的处理。如果两者都被收集，则保留两者而不是选择符合预期结果的答案。他们的分歧具有重要的分析意义。
记录如何发现权威服务器以及该方法如何处理它们之间不一致的答案。记录发现路径中的任何失败，而不是将其标记为不存在最终策略。递归 TTL 可以反映剩余的缓存生命周期，因此不应在没有证据的情况下将其报告为原始配置的 TTL。该研究应将原始转录本与标准化字段一起保留，以支持以后的审查。
保留记录边界和错误类别
TXT RDATA 一条记录中可以包含多个字符串。这与同一所有者的多个TXT资源记录不同。测量解析器应该在应用特定于协议的选择之前保留这些边界。不相关的TXT数据可以与认证记录共存；它不应夸大策略计数或合并到看似有效的断言中。
区分名称错误、成功应答但没有请求的数据、服务器故障、超时、无效语法和不明确的相关记录。这些类别不应全部成为缺失部署。结果表应保留原始响应和用于分配类别的规则。如果方法重试，请预定义重试计划和最终分类，以便不会根据所需结果对临时故障进行不同的处理。
将DNSSEC证据保留在自己的领域
RFC 4033 区分安全、不安全、虚假和不确定的验证状态。 一个记录 可以在没有经过安全验证的链的情况下出现。验证失败还会阻止解析器返回可用数据。如果研究测量 DNSSEC，它必须记录信任锚和解析器上下文，而不是假设任何可见记录都经过身份验证。
不要将DNSSEC状态设置为会更改样本分母的隐藏排除项。使用收集到的实际证据报告评估了多少个名字、观察到了哪些状态以及无法确定哪些状态。本草案不包含此类罪名。该方法的重点是保留不确定性，而不是将不可用的数据转变为方便的部署结果。
将发布与消息级合规性分开
已发布的SPF策略不会显示哪个 IP 地址提交了真实的邮件。一个 DKIM 密钥并不表明提供者签署了特定消息或安全地保留了相应的私钥。 DMARC策略并不表明每个合法流都是一致的。这些问题需要来自实际路线和可信接收者的操作证据。
RFC 8601 解释了信任边界 Authentication-Results。匹配的接收消息样本可以支持范围内的消息级别观察，但它不会自动验证DNS研究中的每个域或工作流程。将发布指标和消息指标作为单独的衡量标准，并具有各自的人群和限制。请勿将DNS采用百分比重新标记为已实现合规性或保护。
可重复的观察工作表
创建一个包含示例版本、域单元、规范化输入、精确查询所有者、记录类型、查询方法、观察时间、权威转录本、递归转录本和解析器版本的工作表。添加分配的结果类别、适用策略发现路径、评估的DNSSEC状态以及错误解释。保留原始证据的链接，而不仅仅是最终分类。
分析规范应说明每个指标的分子和分母。所有尝试名称中的存在性、具有响应的名称中的有效性以及适用策略的覆盖范围是不同的分数。如果有几个有用，请分别报告。在分析之前定义排除项并保存包含原因的排除日志。本手稿中没有提供原始输入、查询记录或测量结果。
虚构的诊断：部署图表成为合规声明
一位虚构的分析师查询公司网站域列表，并在其中一些域中找到了具有策略性的TXT数据。演示文稿标记结果电子邮件身份验证合规性。拟议的审查发现了两个差距：样本没有建立实际的发送身份，并且记录存在没有建立消息级身份验证。应重命名图表以描述观察到的DNS属性及其示例。
后来授权的研究可以添加发送者清单和接收消息证据，但它需要一个新的指标定义，而不是默默地升级原始声明。此示例不包含真实的域、计数或扫描。它说明了假设方法中的报告错误，而不是有关组织或已完成的部署研究的发现。
发布具有证据限制的方法
有用的研究结论说明了总体、观察日期、查询算法、结果类别以及证据无法确定的内容。它避免了有关通用接收者行为、收件箱递送或防止欺诈的声明。透明的DNS测量仍然很有价值，因为它的范围很明确。
该目录需要带时间戳的权威和递归答案以及确切的所有者名称和记录类型。这些原始成绩单仍然开放。人类专家审查、来源适用性、生产路线、可访问性和所有者发布也保持开放。该草案是建议的测量方法，而不是执行的扫描或消息合规性结果。