加密的电子邮件仍然可能导致不安全的诊断报告。 RFC 9989 警告最初加密或以其他方式保护的消息可能会出现在未安全发送的报告中。因此，故障报告保护必须针对报告本身进行设计，而不是通过假设从原始通信中继承。
本指南是接收方设计和验收清单。它并不声称每个报告接收器都支持加密的故障报告有效负载，而是规定了新的 DMARC 为特定产品标记或提供经过测试的配置。在收集敏感材料之前，建立报告和消费系统的实际能力。
分离三层保护层
传输保护涉及携带报告的连接。消息级加密涉及报告负载以及谁可以解密它。存储保护涉及收到后保留的数据和副本。这些层针对不同的曝光路径，并且不会相互替代。
受保护的SMTP跃点并不能证明附件在邮箱、导出或票证中保持加密状态。加密存储的文件并不能证明每个传输跃点都受到保护。签名或认证结果也不建立保密性。描述特定的保护及其边界，而不是将整个工作流程标记为加密。
同意报告系统可以提供什么
询问生成器是否可以通过商定的安全路径发送所需的报告格式，是否支持有效负载加密，以及消费者的解密身份如何建立和维护。记录任何支持限制、故障行为和允许的后备。不要假设报告 URI 自动协商兼容的加密方案。
RFC 9991 鼓励安全渠道并强调最小化和受控目的地。其ruf报告机制不应被解释为消息级加密的普遍保证。如果无法验证所需的保护，请考虑受控诊断样本或聚合数据，而不是默认接受更广泛的敏感收集。
准备解密边界
如果支持有效负载加密，请分配收件人密钥、批准的解密服务、访问日志记录、轮换和恢复的所有权。将私钥保留在普通支持票证和报告存储之外。确定哪个进程可以查看纯文本以及该进程是否创建临时文件、日志、预览或后续副本。
将成功解密视为对不受信任内容的访问，而不是对其安全性的验证。报告中的原始消息可能包含恶意软件或 网络钓鱼 材料。即使加密信封来自预期来源，也应使用单独的摄入、受限分析和适当的隔离。
使用无害的装置测试完整路线
说明性验收测试：商定的报告系统通过批准的路径发送无害的装置。授权消费者可以处理；未经授权的帐户无法访问明文；记录故障而不将消息内容写入通用日志；导出的证据遵循批准的编辑流程。
还要测试不可读或意外的有效负载、缺失的解密功能以及任何记录的密钥转换过程。指定安全结果是隔离、拒绝还是批准重试。当加密是收集要求时，切勿默默地退回到分发明文。这些是提议的测试，而不是声称任何系统已经通过它们。
使用命名的装置和预期结果矩阵
提议的装置 Fixture-01 仅包含标记 REPORT-TEST-ONLY 和example.com下的发明地址。账户A为授权报告消费者测试账户；帐户 B 是一个普通帐户，没有报告访问权限。仅使用两个测试系统明确支持的加密格式和测试密钥排列。本练习不涉及任何生产私钥或真实消息。
以下矩阵是假设的，尚未针对报告服务运行。它描述了要验证的验收结果，而不是指定产品承诺的功能。
- 测试输入或操作：使用批准的测试密钥处理完整的fixture-01；预期验证结果：A 可以在受限分析边界内读取 REPORT-TEST-ONLY；需要保留的证据：测试ID、授权帐户、时间和结果，无需密钥材料
- 测试输入或操作：B尝试相同的访问；预期验证结果：B无法访问明文或解密服务；要保留的证据：拒绝访问事件和帐户身份
- 测试输入或操作：加工fixture-01，测试键错误或缺失；预期验证结果：无明文发布；根据批准的失效设计隔离或拒绝；没有自动明文回退；要保留的证据：故障代码和隔离或拒绝参考
- 测试输入或操作：A 处理故意损坏的副本；验证的预期结果：检测处理故障并隔离它；不呈现部分内容或默默将其视为有效报告；要保留的证据：损坏的夹具 ID 和错误结果
- 测试输入或操作：A完成处理并运行临时工作清理；预期验证结果：一般日志不包含固定标记或消息正文；根据批准的清理规则删除临时明文副本；保留证据：日志检查和临时存储检查
- 测试输入或操作：A导出批准的诊断摘录；预期验证结果：导出仅包含约定字段； B仍然无法访问；要保留的证据：审查导出字段列表和目的地访问检查
- 缺少能力是未解决的测试结果，而不是通过。执行授权测试时，将实际结果与此矩阵一起记录。如果可以在记录的设计下安全地解析损坏的输入，请明确检查该行为，而不是在失败后削弱预期结果。
覆盖明文的生命
解密后，限制访问并仅保留诊断目的所需的内容。在数据地图中包括邮件转发、分析下载、搜索索引、事件附件和备份。接收时加密不会阻止授权用户或集成创建不必要的明文副本。
记录支持每个保护层、系统所有者和未解决的限制的证据。使用审核日期来确认持续的兼容性和访问控制。合理的结果是经过验证的具有明确差距的报告处理边界，而不是加密邮件使故障报告安全的一般声明。
将能力决策与测试计划分开
书面案例 ENC-01 假设消费者支持加密的有效负载，但生成器的支持未知。因此，Fixture-01 尚未发送，并且每个矩阵结果都处于待处理状态。在授权无害测试之前，集合所有者应获得记录的兼容性；成功的邮箱TLS不会建立有效负载兼容性。不要仅仅因为存在解密服务就启用更广泛的原始报告接收。没有使用密钥、帐户或报告。