当使用与发件人中显示的域不相符的身份时， Amazon SES消息可以成功进行身份验证。一个 DMARC 因此，安装程序需要 SES 身份配置和实际应用程序的接收消息结果。
使用正确的 AWS 账户、区域和身份。从该配置中获取生成的值，而不是复制另一个帐户的值 选择器 目标或假设其他地方的设置覆盖当前发送路由。
建立身份和签名模型
记录可见的 From 域、应用程序及其使用的 SES 配置。确认是否 DKIM 通过 Easy DKIM 、自带密钥安排或其他受支持的身份配置提供。
在更改工作设置之前，请保存其当前状态并检查谁拥有DNS和签名更改。新的指南并不是盲目地重新建立工作身份的理由。
域名验证和DKIM签名状态都应该在实际服务中检查。单独的公钥或委托并不能证明应用程序发送时带有预期的传递签名。
从所选身份配置DKIM
对于使用 Easy DKIM验证的域身份，AWS 会记录身份的身份验证设置、Easy DKIM选择和签名启用。它生成必须由DNS提供商完成的DNS验证配置。
使用提供的完整记录集并验证其权威答案。确认最终的服务状态，然后将代表性应用程序消息发送给独立收件人。
AWS 的 Easy DKIM指南 还记录了从 BYODKIM 迁移到 Easy DKIM时的迁移风险：在新配置挂起时消息可能未签名。遵循其支持的迁移指南并规划关键流量，而不是假设切换是无缝的。
单独检查 MAIL FROM 域
SES 使用amazonses.com子域作为默认值 邮件来自 身份。一个路过的 SPF 结果，因为该身份本身并不能建立 结盟 使用您自己的可见域。
整齐划一的传球 DKIM签名 可以提供DMARC传递路径。支持的自定义 MAIL FROM 设置还可以在适当的域关系下建立SPF身份。
在经过验证的 SES 身份的父域下选择一个专用子域。 AWS 表示不得将其用于其他目的，包括普通发送或接收邮件。自定义 MAIL FROM 名称恰好需要一个 MX记录;多个MX记录会导致 SES 设置失败。跟随 AWS 的自定义 MAIL FROM 要求 并使用所选身份生成的MX和SPF值。该接收功能支持退回邮件和投诉处理；不要将其与移动组织的正常邮箱MX记录混淆。
故意选择 MX 故障行为
AWS 记录了两种自定义 MAIL FROM 故障行为。当未验证自定义域所需的MX配置时，该服务可以回退到其默认的 MAIL FROM 域或拒绝发送。
回退可以更改SPF身份及其对齐关系。这并不一定意味着DMARC失败，因为可能会保留对齐的传递DKIM路径。
在综合情况下，计费消息的 From 位于example.com并通过DKIM进行对齐，但其自定义 MAIL FROM 验证失败，并且允许的回退使用 SES 域。 SPF 对齐期望已更改，但DKIM仍可提供通过路径。
记录所选行为及其对关键应用程序邮件的影响。不要将该决定视为未解释的默认决定。
对于经过验证的域身份，AWS 记录了以下控制台序列：
- 在目标区域中打开 SES，选择配置 → 身份，然后选择已验证的域。
- 在自定义来自域的邮件中，选择编辑。启用使用自定义 MAIL FROM 域，输入专用子域并选择MX故障时的行为。
- 保存更改，然后将MX和SPF TXT值从发布DNS记录复制到权威DNS提供商。保持不相关邮箱的MX记录不变。
检查 SES 中生成的自定义 MAIL FROM 状态、权威DNS答案以及收到的应用程序消息作为单独的证据。这 AWS程序 是控制台标签更改时的参考；此序列并不表明这些步骤已被执行。
发布预期的DMARC策略
评估现有政策、报告目的地和域的合法发送群体。在调查单独的 SES 配置问题时，保留现有的更强有力的批准策略。
使用 记录工作流程 用于出版和收集检查。策略选择应该适合域的实际使用和当前的互操作性指南，而不是发布拒绝的通用指令。
验证最终申请途径
从用户所依赖的应用程序发送，而不仅仅是控制台或隔离的测试工具。检查收件人处的原始邮件并保留发件人、SPF 评估域、每个相关的DKIM签名和受信任的DMARC结果。
对实际使用的材料区域、身份或路线重复此操作。如果出站中介更改了消息，请验证该路由之后的结果。将提供商状态、 DNS观察结果和收到的消息证据保留为单独的接受记录。
监视后续故障以及对自定义 MAIL FROM 配置的更改。有用的结果是受支持的、拥有的 SES 发送路由，该路由具有经过验证的对齐和理解的故障行为。