批准回答了另一个问题
组织可以批准供应商发送新闻通讯、收据或运营通知。该业务决策建立了预期的关系；它不能证明每条声称供应商身份的消息都来自批准的帐户或其身份验证配置是正确的。因此，诸如已知发件人之类的仪表板标签应被视为库存上下文，而不是技术证据的替代品。
从所有者批准的确切产品、帐户和路线开始。单个供应商可以通过默认域、自定义域、委托基础设施和多个不同的工作流程进行发送。正在调查的报告行必须映射到具有明确置信级别的这些路径之一。仅凭熟悉的 IP 范围或品牌名称不足以确定映射。 DMARC 评估一致的身份验证，而不是业务许可名单。 RFC 9989 ，第 4.4 节
在决定失败原因之前先阅读身份
DMARC使用 RFC5322 .来自 域作为参考 结盟 与成功的 SPF 或者 DKIM 验证。供应商信封域上的原始SPF传递不一定与可见的发件人域一致。同样，一个有效的 DKIM签名 可以使用未对齐的签名域。在单独的字段中解释原始协议的成功和DMARC对齐，而不是将整个消息标记为未经限定的身份验证。
DMARC传递可以由对齐传递机制支持；它不需要通过所有观察到的身份验证检查。相反，发件人可能是合法的，但仍然无法通过DMARC因为其配置或中介处理会阻止对齐身份验证。在建议DNS或供应商方面进行更改之前，审查应分别确定有关SPF 、 DKIM和对齐的已知信息。 RFC 9989 ，第 4.4 节和第 5 节
将报告视为有限制的观察结果
汇总报告 提供分组观察，不一定是完整的原始消息或重建交易所需的每个事实。保留报告组织、报告标识符、报告间隔、策略信息、源地址、计数、评估结果和可用的身份验证域。不要用来自单独报告或当前配置屏幕的假设来填充缺失的字段。
RFC 9990 明确警告聚合报告数据可能被伪造。因此，报告不应被视为其所描述的业务关系的自我验证证据。保留摄取来源，并在需要时使用授权路线或消息证据来证实后续决策。大量的计数可以证明调查的合理性，但它本身并不能证明恶意活动、帐户受损或特定的财务影响。 RFC 9990 ，第 3.1 和 8.2 节
在不破坏不确定性的情况下对故障进行分类
使用实用的分类集：确认批准的路线，但存在配置问题；可能已批准的路线正在等待证实；需要消息证据的中介相关行为；来源不明；以及报告证据不足或不可靠。这些是建议的工作流类别，而不是新的DMARC协议结果。与它们一起保留基于标准的基础结果。
对于已确认的路由，请确定负责的配置所有者以及有证据支持的确切身份不匹配或签名问题。对于不确定的路由，仅收集区分它所需的缺失所有权或消息详细信息。对于未知来源，避免仅仅因为它出现在报告中就添加授权。如果尚未建立帐户关系，则包含域或签名域更改可能会授权超出预期的权限。
不要无限期地使用一种分类。供应商迁移、产品变更或客户注销可能会使昨天的映射变得陈旧。记录谁批准了该路线、上次验证地图的时间以及哪些证据将触发重新评估。这是一个清单和审查建议，而不是声称存在或执行了自动分类系统。
报告决策工作表
创建一个工作表，保留原始源字段并将解释与操作分开。第一部分应确定报告工件、间隔、行、计数和摄取来源。第二个应该记录所声明的发件人路线、企业所有者、支持的产品范围以及对映射的信心。第三个应该区分原始SPF 、原始DKIM 、对齐结果和生成的DMARC评估。
添加一个决策部分，其中包含狭窄的拟议行动、理由、所有者和仍需要的证据。可能采取的行动包括要求批准的供应商确认其当前的自定义域配置、通过授权流程获取经过编辑的接收消息样本，或者将来源保密以等待进一步的证据。起草行动计划并不授权外部联系或生产DNS更改。
验收要求审阅者遵循从报告字段到分类再到下一步行动的链条，而不依赖于无记录的跳跃。如果数据无法区分已批准的帐户与使用共享基础设施的另一个帐户，请说明。如果原始消息证据不可用，请保留临时的签名级别解释，而不是发明一个损坏的 选择器 或改变身体。
虚构诊断：批准的收据、未对齐的信封
一家虚构的公司已批准收货服务。虚构的聚合行报告供应商信封域的SPF通过、公司发件人域的DKIM失败和DMARC失败。假设企业主确认该特定产品路线是有意的，但尚未获得原始消息。这些是说明性假设，不是保留的报告或真实的供应商诊断。
支持的解释是原始SPF成功没有为显示的公司域建立一致的身份验证，而报告的DKIM结果也没有提供通过的一致路径。下一步是确认产品实际支持的自定义域和签名配置，并在需要时获取授权的编辑样本。仅凭该报告并不能证明发明选择器或将通用SPF包含添加到可见的“发件人”域中是合理的。
如果后来的证据表明该行属于共享基础架构上的另一个租户，则必须更改映射。该组织对其自己的供应商帐户的批准不会授权其他流量。这种可能性就是工作表记录置信度和帐户范围而不是将提供商名称视为合法性的永久证明的原因。
缺少证据和释放状态
对于此工作示例，没有检查真实的报告、帐户、消息或DNS结果。该目录需要经过编辑的从报告到决策的演练，其中包含源字段、分类不确定性和下一步行动。原始证据仍然开放，虚构的演练不被视为已完成的操作要求。
所有六个释放门均保持打开状态。在批准任何更改之前，人工审核应检查身份术语、来源适用性和拟议决策的范围。更正后的身份验证路由仍然无法保证收件箱的放置或证明业务请求是安全的。将可交付性、内容风险和业务验证与狭隘的身份验证结果分开。