从定义发送域的联系电子邮件开始
ControlShift 官方 发件人身份验证配置指南，于 2025 年 5 月 20 日更新，将其平台发送身份与组织的联系电子邮件联系起来。该指南称，该地址用于向采取行动的支持者和订阅通知的管理员发送平台邮件。确认配置的地址属于预期地址 组织域 在创建身份验证记录之前。第一步中的拼写错误或过时的品牌域可能会为错误的标识产生技术上一致的配置。
记录的路径是管理员主页、设置、联系人，其中输入并保存地址。将更改该地址视为通信配置更改，而不仅仅是身份验证修复。保存前确定受影响的消息类别、回复期望和负责人员。本文不更改地址、联系支持者或发送平台通知。当前帐户的适用性和代表消息使用的实际路由仍然开放。
使用送达率设置获取特定于帐户的记录
设置联系电子邮件后，指南会将管理员引导至“设置”、“送达能力”。显示的域名源自联系电子邮件。如果错误，请先更正联系电子邮件，而不是发布非预期域的记录。在提供的字段中输入组织的技术联系人电子邮件，并通过授权帐户工作流程进行保存。仅应在获得适当许可的情况下提供技术联系地址，并随着员工职责的变化而保持最新。
保存后页面出现三个 CNAME 记录。通过组织的权威DNS提供商发布确切的发布所有者和目标。指南解释了映射的方向：左侧的名称指向右侧的目标。不要反转这些字段，而是替换 一个记录 从其他组织复制，或用通用SendGrid示例替换已发布的配置。 ControlShift 的帐户生成的值是此工作流程的实施输入。
在编辑之前，将每个完整的所有者名称与DNS编辑器的后缀处理和现有区域数据进行比较。在一个面板中，相对标签可能就足够了，而另一个面板则需要完全限定的名称。保留当前记录并记录批准的变更。这三个 CNAME 代表应保留归因于此平台配置的依赖项，以便在将来的迁移、域更改或卸载期间可以对其进行审查。
在解释之前检查DNS可见性 验证
该指南称， Cloudflare用户应保持电子邮件送达记录不受代理。这是针对这些身份验证记录的具体指导，而不是在整个网站上禁用代理或安全控制的原因。如果DNS主机提供代理功能，请与授权DNS所有者一起检查相关记录设置，并确认已按要求公开颁发的别名。本文未更改DNS设置。
创建记录后，返回到交付能力并选择验证。记录的成功消息表明 ControlShift 的DNS检查已通过。将观察结果与提交的更改和实际公共记录分开保留。提供者检查并不能证明所有未来消息都已正确签名或可见作者域是否一致。如果验证失败，请在重复等待或重建配置之前检查确切的所有者、目标、权威区域和相关记录设置。
提供商的简短传播估计不应被视为通用截止日期。不正确的记录所有者或代理别名无法仅通过经过的时间来修复。记录发生了什么变化、何时发生变化以及提供者观察到的情况。如果权威答案和提供商的最新状态尚未协调一致，请明确不确定性。
解决选择器冲突而不覆盖另一个发送者
ControlShift 特别警告已经直接或通过其他工具使用SendGrid组织可能有 s1。 _domainkey和 s2。 _domainkey记录。该指南提供了定制 DKIM选择器 通过高级设置来避免此类碰撞。它描述了选中“使用自定义DKIM选择器”、输入最多三个字符的选择器并保存，以便生成的 CNAME 反映该选择。执行前确认当前接口可接受的值；这是特定于产品的限制，而不是通用的 DKIM 选择器长度规则。
不要仅仅为了适应新页面的默认记录而覆盖现有选择器。确定拥有每条现有记录的服务以及它是否仍在签署邮件。如果配置已进行到已发布记录，则指南将描述将其删除并重新开始选择自定义选项。这是对现有身份验证配置的更改，需要进行影响审查，特别是在生产邮件已经依赖它的情况下。
源添加了一个重要警告：删除并重新创建配置后，第一个CNAME也可能会更改。检查整个新发布的集合，而不仅仅是明显包含选择器的两个名称。更新 DKIM 记录但保留过时的第一个别名的验收清单可能会留下隐藏的不匹配。在更改记录中保持新旧值可区分，并且不要删除不相关的依赖项。
将新的联系电子邮件域视为配置迁移
该指南区分了更改联系电子邮件的本地部分和更改其域。根据记录的工作流程，同域地址更改不需要更改送达能力设置。不同的域可以：该指南描述了删除旧的交付能力配置、更新联系电子邮件并再次完成设置。该序列应该被规划为具有明确所有者和回滚决定的迁移，而不是随意的修饰编辑。
确认新域由组织控制，并且其DNS所有者可以发布已发布的记录。在恢复正常使用之前，请检查预定通知的时间和所需的证据。前一个域通过验证的事实不会将该结果转移到新域。保留先前配置的上下文接受记录，同时将新身份明确标记为未经验证，直到完成适当的检查。
验证消息身份而不承诺发送
单独授权的验收工作应检查无害的代表性消息和可信接收者结果。记录可见的作者域、签名域和选择器、信封身份和实际平台路由。 RFC 6376 ，第 3.5 节 定义了 DKIM签名 字段，以及 RFC 9989 ，第 4.4 节 解释 结盟。成功的DNS检查并不能替代消息级关系。
保留的设置指南提供了三个 CNAME，而不是通用的 SPF 包括添加到每个组织根。不要仅仅因为通用清单要求SPF就发明包含或添加第二个SPF策略。如果实际路线确实需要单独的SPF更改，请在下面查看 RFC 7208 ，第 3.2 和 4.6.4 节 与负责的操作员一起。身份验证可以解决身份检查问题；它不保证收件箱放置、支持者参与或每个链接请求的安全。
虚构诊断和空白接受工作表
一个虚构的社区组织 Riverbank Neighbours 已经为另一个平台提供了SendGrid选择器。其管理员在 ControlShift 中选择自定义选择器，但在重新创建配置后仅更新两个与选择器相关的 CNAME。审查发现，首次发布的记录也发生了变化。建议的修正是将完整的新集合与权威区域进行比较，保留其他平台的选择器并获取新的验证证据。此场景是虚构的，不包含实际的DNS观察、支持者信息或执行的操作。
- 当前联系人电子邮件域和受影响的邮件类别：______
- 送达域名和授权技术联系人：______
- 完成三记录所有者/目标集和发布时间：______
- 现有选择器所有者和自定义选择器决策：______
- 任何重新创建后所有更改的记录，包括第一个：______
- 权威DNS和相关代理设置审核：______
- 验证结果和可信接收消息身份证据：______
- 域迁移时间、回滚所有者和发布决定：______
原始实施证据、人类主题审查、当前源适用性、生产路线测试、视觉可访问性和所有者发布仍然开放。没有更改联系地址、身份验证配置或DNS记录，也没有发送任何消息。更广泛的目录实施要求仍然取决于实际授权帐户和消息证据。