CISO 需要了解组织的域控制是否覆盖预期资产以及重要的合法服务是否仍然有效。一个全球性的 DMARC 百分比本身回答了这两个问题。构建一小组措施来区分部署、观察到的身份验证、证据新鲜度和未解决的异常。
以下措施为操作建议。它们使用 RFC 9989 和 9990 中的协议和报告边界，但它们不是标准化的DMARC合规性分数。
从拥有的库存开始
参考： RFC 9989 §4.10.1, RFC 9989 §5.4.
从负责任的清单中定义域群体，包括发送域、非发送品牌、委托服务和相关子域。记录所有者、预期用途、政策发现结果和最新验证日期。如果区别很重要，则分别计算显式记录和继承的有效策略。
部署度量可以通过除以所有范围内域的预期有效策略来验证范围内域。解释验证的含义以及哪些政策符合组织的目标。发布任何记录并不等于请求执行，请求执行并不能保证每个接收者都会得到相同的待遇。
衡量合法服务运营
参考： RFC 9990 §3.1.1.8, RFC 9989 §5.3.5, RFC 9989 §5.3.8.
维护经过验证的应用程序到域的清单。对于每项关键服务，记录预期身份、责任所有者、最新代表性测试和观察到的一致结果。显示在此期间未观察到的服务，而不是授予他们通行证。
对于适用的有效策略和已完成的评估，通过将消息计数与对齐的通过率相加来计算基于观察的通过率 SPF 或者 DKIM 结果并除以包含的消息观察结果。说明接收器覆盖范围、时间窗口、重复处理和分类标准。将该比率与服务覆盖率指标分开，其分母是应用程序而不是消息。
克服误导性的平均值
综合示例：营销服务有 99,990 个通过的观察结果，而经过验证的发票路径有 10 个失败的观察结果。综合合格率为99.99%。观察到的发票路由的通过率是十分之零，并且列出的两个服务之一存在未解决的身份验证问题。
这些事实证明，尽管总体利率很高，但紧急发票途径调查是合理的。他们无法证明所有十张发票都被拒绝，或者每个发票接收者都提供了报告。在指标旁边显示发票所有者的确认、示例消息证据和恢复状态。
添加可见性和例外措施
跟踪重要记者的最新报道间隔和到达延迟。显示未分类的观察量、未经测试的关键路线和逾期的所有权决策。贡献记者的变化可能会改变百分比，而发件人却没有任何改善。标记这些变化而不是将它们融入一种趋势。
对于例外情况，请衡量期限、业务关键性、下一步行动和到期时间，而不仅仅是开放票证的数量。与许多快速解决的低影响观察结果相比，影响支付工作流程的单个长期异常可能更值得关注。不要将所有未知来源的故障称为阻止攻击。
使董事会摘要可审计
对于每个公布的数字，保留其总体、分子、分母、计算修订、证据日期和负责人。包括深入了解关键服务和已知差距。当分母为零或证据不存在时，使用不可用。
控制语句应说明已配置的内容、已观察到的操作内容以及仍不确定的内容。在域名收购、提供商迁移或新的发送应用程序后进行审查。强大的指标计划使这些变化可见，并制定具体的补救决策；它不会将不完整的数据集转变为通用的安全保证。
继续调查
使用 汇总报告演练 对于基础字段和 对准诊断指南 当原始身份验证成功不满足DMARC时。
将插图保留在证据范围内
本地综合计算给出 99,990/100,000 = 99.99% 的总体合格率，但 0/10 = 0% 的发票合格率。在所提供的场景下，两个指定服务之一仍然存在问题。这不是测量的遗产覆盖分数、交付损失计数或行业基准。