从邮箱和中继路由开始
E-Zorg 的文档将邮箱托管与中继签名区分开来。它是 SPF 文章指导邮箱托管在其他地方的客户使用其邮件托管提供商的传出服务器，而不是将 E-Zorg 连接视为通过 E-Zorg 发送的权限。对于邮箱由 E-Zorg 托管的域，它记录了将include:_spf.ezorg.nl添加到现有SPF策略。 DNS管理仍由域管理员负责。 E-Zorg SPF指南
在提议DNS更改之前应该解决这种区别。记录谁托管邮箱、哪个系统发起每条消息以及哪个服务将其提交到公共互联网。通过特定网络连接的工作站不会自动继承该网络运营商提供的所有电子邮件功能。同样，面向接收者的 MX记录 不要建立应用程序、扫描仪或托管服务使用的所有出站路由。
本文回顾了记录的 E-Zorg 邮件和中继边界。它不建立特定客户中继服务的资格，也不声明已配置 Zorg Messenger 安装。当前帐户适用性和原始接收消息身份表保持打开状态。未执行任何帐户访问、中继激活、 DNS修改或测试消息。
将默认签名与客户域身份验证分开
中继文章涵盖了使用 smtpnodes.ezorg.nl 连接的域，还描述了通过内部中继或 Zorg Messenger SMTP服务器发送的互联网邮件。它指出这些消息使用 ezorg.nl 接收签名。该提供商域签名不得被误认为是客户可见的 From 域一致的证据。 E-Zorg 中继DKIM指南
DMARC 评估可见作者域和合格的经过身份验证的标识符之间的关系。有效的 DKIM签名 可以在不满足客户要求的情况下识别不同的责任域 结盟 要求。相反，即使另一个签名未对齐，对齐的通过SPF结果也可以提供合格路径。捕获所有相关标识符，而不是简单地标记消息经过身份验证或未经身份验证。 RFC 9989 ，第 4.4 节
在请求更改之前，请询问该服务在激活后打算使用哪个签名身份、它将覆盖哪个域以及包含哪些发送路径。这些是接受问题，而不是假设服务将接受任意标识符。将帐户所有者的答案与提供商的说明一起记录下来，并将未解决的差异留给发布审核者。
满足记录的激活先决条件
E-Zorg 需要先激活必要的DNS记录 DKIM 激活并在提交表格之前。其标准选项使用两个 CNAME 记录，ezorgmail1。 _domainkey和 ezorgmail2。 _domainkey ，针对 ezorg.nl 下的相应名称。替代方案允许定制 选择器 用 E-Zorg 的钥匙命名。该页面将客户引导至帮助台进行域设置。 E-Zorg激活说明
将提供的两个所有者视为协调的更改，而不是邀请发布更改并看看会发生什么。确定任一所有者是否已被活动签名服务使用。在批准覆盖之前，必须与域和服务所有者解决冲突。如果建议使用自定义选择器，请记录其经过批准的准确拼写和映射；不要从说明性示例中推断产品名称。
记录用于证明已发布记录有效的证据。 DNS编辑器的保存状态和外部可见的DNS答案是不同的观察结果。提议的激活请求应确定已审查的记录版本以及对任何剩余差异负责的人员。不要将提供商的先决条件削弱为建议在激活后的某个时间发布记录。
将SPF作为一项完整的政策进行审查
现有的策略可能会授权比E-Zorg更多的路由。在添加包含或更改最终的所有机制之前清点这些依赖项。以相同名称创建单独的SPF策略并不是在添加服务时保留旧策略的正确方法。审查被评估业主的一项连贯政策，对每项拟议的搬迁负有明确的责任。 RFC 7208 ，第 3.1 和 3.2 节
提供者一般解释中的两个速记语句需要协议精确性。 TXT字符串有 255 个八位字节的限制，但这并不是整个文本的通用 255 个字符限制。 SPF记录：一条记录可以包含多个字符串。评估限制涉及整个评估路径中指定的导致 DNS 查找的术语，包括相关的递归评估，而不是简单的数据包计数或可见的顶级包含。 RFC 7208 ，第 3.3 节和 4.6.4 节
此外， -all在评估时会产生SPF失败结果；它不会强迫每个接收者拒绝消息。接收者策略和更广泛的身份验证上下文仍然相关。请勿将成功的SPF更改用作所有合法邮件将到达收件箱或所有冒充邮件将被拒绝的承诺。 RFC 7208 ，第 8 节
保留记录名称和公共数据
在更改计划中将每个预期所有者写入为完全限定名称，然后将其转换为实际DNS编辑器所需的语法。 DNS主文件中的 @ 约定表示当前源；它没有建立通用的图形界面规则。在批准结果名称之前，请检查接口是否附加区域后缀。 RFC 1035 ，第 5.1 节
保留适用说明中的记录类型和目标。公钥委托并不是披露私钥的指令。可重复使用的工作表只需要公共记录数据、所有权和证据参考；它绝不应该收集邮箱密码、 SMTP凭证、患者信息或机密医疗保健消息的内容。可以建议合成的非敏感消息用于单独授权的操作测试，而不包含真实的业务数据。
独立诊断每个结果
中继文档指出，当域也通过 E-Zorg 的垃圾邮件过滤器进行签名时，可能会发生额外的签名。因此，第二个签名是检查两个身份的原因，而不是自动表明错误的迹象。 E-Zorg 中继签名
对于每个观察到的签名，记录签名域和选择器、公钥查找结果和可信接收者结果。 DKIM验证涉及签名和签名消息数据，而不仅仅是连接 IP。更改SMTP路由可能会影响SPF ，同时保留现有签名可验证；更改签名内容可能会影响DKIM而无需更改源地址。不要将这些不同的检查合并到一个故障排除标签中。 RFC 6376 ，第 3.5 节和3.6.2.2节
如果消息从未到达接收者，请保留发送方事件和可用的传递响应作为单独的传递调查。丢失的消息本身并不表明对齐失败。同样，传递的消息不足以证明所有预期身份均已通过。验收决定应说明观察到的情况以及哪些检查无法完成。
虚构案例：错误身份的签名
在虚构的评论中，Harbor 示例看到传递的DKIM结果命名了提供商域，并假设其自己的 From 域已准备好执行策略。审阅者要求提供实际身份，并发现变更请求中没有附加任何客户域激活证据。观察结果不足以建立一致的DKIM ；它并不能证明服务已损坏。
团队首先确认实际的中继权利和预期的激活后身份。它准备完整的记录对，检查现有选择器依赖性并保持激活请求挂起，直到先决条件证据准备就绪。然后，它将使用单独授权的消息来评估生成的身份路径。此示例是虚构的，不提供实时DNS结果、成功激活或患者数据查找。
空白工作表和发布边界
- 域名所有者和邮箱托管提供商：______。
- 申请发送、转发途径及账户资格：______。
- 预期可见发件人和预期SMTP身份：______。
- 提供商域签名与请求的客户域身份：______。
- 标准或自定义选择器以及完整的CNAME映射：______。
- 现有选择器所有权和冲突解决：______。
- 当前SPF基线、保留的发件人和评估的依赖性：______。
- 所有必备DNS记录均处于活动状态的证据：______。
- 授权激活请求参考和提供商响应：______。
- 非敏感消息引用、可信结果和每个签名：______。
- 对齐评估、未解决的交付问题和回滚所有者：______。
- 独立审查员和发布决定：______。
该工作表故意留空。原始证据、人类 SME 审查、当前来源适用性、生产路线验证、视觉可访问性和所有者发布仍然开放。文档可以证明提议的工作流程的合理性，但它不能取代接受实施所需的特定于帐户的观察。