在测量其领域之前定义银行实体
银行领域研究必须区分持牌机构、控股公司、品牌、分支机构和技术服务提供商。这些单位可以共享一个网站或运营不同的域，它们的关系可以通过合并或品牌重塑而改变。对品牌公共网站的DNS观察不会自动描述整个法律机构的电子邮件资产。因此，实体域映射是证据的一部分，而不是要丢弃的初步细节。
这篇手稿提出了一种无需收集银行人口或扫描域的方法。它不对真实机构的安全性、合规性、偿付能力或客户风险做出任何声明。我们的目标是产生可重复的映射和技术上有限的结果，而不是根据模糊的品牌名称构建排名表。
使用适合所选司法管辖区的权威机构
对于美国受保银行范围， FDIC BankFind API 文档 将机构数据与位置或分支机构数据区分开来。这是一个有用的官方来源结构，而不是所有银行或金融服务的全球列表。涵盖另一个司法管辖区的研究必须保留相关权威及其覆盖范围。不要将不同的监管群体混合在一个不合格的银行业分母下。
FDIC 文件还指出，主要互联网地址由机构报告，链接站点不在 FDIC 的控制范围内。它的免责声明对于解释很重要：列出的网站是来源支持的映射线索，而不是对每个页面的认可或发件人域的全面清单。保留字段来源和验证日期，而不是将网站字段视为完整的安全断言。
建立关系模型而不是平面名单
为机构、相关母组、分支机构或地点以及公共品牌创建单独的标识符。将每个采样域链接到支持该关系的特定实体和源。记录合并、重命名品牌和退役域名的生效日期。标有熟悉的银行集团的单行可以隐藏多个许可实体和不同的运营职责。
定义共享域的加权方式。将每个分支计算为单独的身份验证部署可能会给大型分支网络带来不成比例的影响。仅计算父域可以忽略具有独立发送安排的子公司。这两种方法本质上都不是每个问题的正确答案。研究必须在计算任何指标之前选择一个单位并解释其后果。
将抽样网站与发件人资产分开
机构可以使用不同的域来进行员工邮件、客户通知、卡服务、调查、营销、招聘和外包通信。公共网站样本通常无法识别所有这些。在没有授权研究范围的情况下，请勿生成看似合理的子域或搜索客户消息来填补该空白。映射应说明域是采样网站、独立证明的发件人还是未解析的候选者。
RFC 7208 评估 SPF 使用相关的SMTP身份。 RFC 9989 评估 DMARC 结盟 到可见的 From 域并定义策略发现。这些规则使限制变得具体：在一个 Web 域上发布无法建立通过另一域或供应商控制的路由发送的消息的身份验证。
保持控制和归因的不确定性
注册信息可以帮助记录域关系，但不应被视为当前操作控制的证明。 RFC 9083 定义 RDAP 对象、角色和事件； RFC 9537 描述实施时的编辑信息。受隐私保护或不完整的回复应该仍然是可见性限制，而不是对银行隐藏所有权的指控。
同样，共享DNS主机或发送提供商并不表明这些机构共享安全策略或管理帐户。将观察到的依赖性与推断的控制分开记录。如果无法支持所有权或发件人归属，请将关系标记为未解决，并根据声明的规则将其排除，而不是通过熟悉的服务名称来断言确定性。
独立设计DNS测量
冻结映射的域列表并指定确切的所有者名称、记录类型、解析器上下文、时间戳、重试和解析器版本。将精确名称查找与当前适用策略发现区分开来。保留原始答案和错误类别，以便其他分析师可以重现结果。在没有相关证据和范围的情况下，查询失败不应被描述为银行没有认证。
在收集时将权威观察和递归观察分开。保留多个 TXT记录 和协议选择之前的字符串。分类应确定在抽样名称中观察到的内容，而不是整个机构的通过或失败。这项工作没有收集DNS查询、 SMTP探测或收到的消息样本。
避免消费者风险和合规性推断
仅DNS发布并不能显示客户财务信息是否被暴露、是否发生欺诈或机构是否遵守法律要求。这些结论需要不同的证据和合格的审查。缺失或无效的政策观察可以证明研究范围内的技术发现是合理的，而不会成为对银行服务安全性的主张。
不要通过简单的认证分数对机构进行排名，除非衡量标准、权重和限制是透明且合理的。请求执行的策略并不能证明每个合法流都是一致的或所有模仿都被阻止。该研究应避免暗示较低的观察设置会直接预测客户的财务损失。
实体域映射工作表
创建管辖权、权威来源、来源日期、机构标识符、实体类型、母公司关系、品牌、分支机构关系和样本域的列。添加域链接证据、生效日期、映射置信度、域角色、查询计划和排除。当一对多映射无法在一行中忠实表示时，保留关系表。
发布包应包括映射、源出处、规范化查询输入、原始观察结果和分类规则。审阅者应该能够根据已发布的调查结果找到机构和确切的领域，而无需猜测其意图是哪个品牌或子公司。此方法不需要敏感的客户数据、帐户详细信息和私人员工信息，并且不得收集这些数据来修饰它。
虚构诊断：集团网站成为各子公司
一位虚构的研究人员选择一家银行集团的公共网站，并将其观察到的政策报告为每个子公司的结果。映射审查发现，来源列表区分了多个机构，而领域证据仅支持集团网站。建议的更正是发布范围较窄的网站观察结果，并将范围较广的发件人资产标记为未测量。
该团队稍后可以获得授权的子域证据，并根据修订的数据集版本扩大范围。它不应该用猜测的名称来填补空白，也不应该因为映射不完整而暗示安全缺陷。此场景是虚构的，不包含真实的银行、域、扫描或合规性指控。
发布状态
该目录要求发布实体域映射，并区分采样的网络域和更广泛的发件人范围。原始映射仍然开放。人类专家审查、来源适用性、生产路线、可访问性和所有者发布也保持开放。该草案提供了银行特定的研究设计，而不是有关机构的填充数据集或调查结果。