从客户端域开始，而不是复制的记录
Instiller 面向代理的发送模型使域所有权成为实际部署问题。其可接受的使用政策要求 SPF 和 DKIM 并要求为每个客户定制发送和点击域。因此，身份验证工作应从指定客户端、发送域和负责的DNS管理员开始，而不是从复制到每个区域的机构范围示例开始。 滴注器发送要求.
本指南涵盖通过 Instiller 发送的电子邮件营销活动。它不会为每个白标签部署、事务集成或自定义信封选项建立相同的设置。捕获现有的发件人地址、发送工作流程、点击跟踪域和已知的退回处理。这些身份可能有不同的目的；有效的跟踪主机名并不能证明消息本身已通过身份验证。
要求管理帐户的提供商确认完整的记录集以及预期的签名和信封域。将该响应与计划的更改一起保存。如果DNS归客户所有，请同意维护窗口并避免接受未保存编辑器的屏幕截图作为完成证据。
有意获取并发布DKIM
Instiller 的DKIM文章告诉托管服务用户从其提供商处获取所需的公钥。它描述了 TXT记录 在下面 选择器的_domainkey名称并区分根域和子域放置。它不会为每个客户提供通用帐户选择器或完整的生产密钥。 滴注器DKIM指南.
请求选择器、完整所有者、记录类型、完整的公钥值、激活要求和轮换过程。仅发布为批准的域提供的公共材料。除非提供商特别支持该工作流程，否则不要在本地生成替换密钥：如果发送服务仍然使用不同的私钥进行签名，则新的公钥是无用的。
在发布之前，检查选择器名称处的现有记录并确定DNS主机如何表示长TXT数据。确保最终的DNS答案保留整个密钥，而不会插入意外的字符。公开文章讨论了旧的密钥大小和轮换指南；询问帐户当前支持的设置，而不是将这些历史语句视为现代安全基线。 DKIM记录指导.
协调实际路由的SPF和DMARC
第一方SPF文章表示该策略取决于发送 IP 范围，并以其记录作为示例进行标记。获取此帐户的当前授权，而不是发布示例地址范围。为每个相关所有者保留一份SPF策略，并保留其他合法发件人。 滴注器SPF指导.
SPF根据SMTP信封身份进行检查。明确询问预期的活动是否使用客户端域、客户端子域或提供商域；检索到的公共设置并不能证明真实账户的选择。当合作伙伴运营服务或多个客户端域共存时，特定于帐户的确认尤其重要。
DMARC 评估传递的SPF或DKIM域是否与可见的发件人域一致。两种技术都可以通过，但两者都不一致。相反，一条对齐的传递路径可以满足DMARC ，即使 Instiller 分别需要这两种技术来运行。其批量发件人指南还指出 结盟 以及DMARC策略作为要求。 滴注器批量发送器指南 和 DMARC.
计划对使用该域的每个合法发件人进行强制执行。新的活动集成并不能证明通过监控替换现有的隔离或拒绝策略是合理的，成功的DNS发布也不能证明在不审查其他邮件源的情况下提高执法力度是合理的。
接受带有消息证据的活动
原始测试计划：通过确切的客户端工作流程向受控的外部收件人发送小型、无害的活动。捕获时间、客户帐户、来自域、 Return-Path、可信SPF身份和结果、所有DKIM d=/s=对以及可信DMARC结果。将这些观察结果与提供商承诺的配置进行比较。确认回复和退回处理仍然到达其预期目的地。
如果未找到密钥，请检查选择器拼写、子域放置和公共DNS答案。如果签名失败，请向提供者提供经过编辑的消息源，而不是替换任意密钥。如果身份验证通过但对齐失败，请询问必须更改哪个受支持的身份设置。暂停新的客户端发送方，直到了解原因，并保留之前批准的回滚配置。
未测试任何实时 Instiller 帐户、 DNS发布或活动。当前的特定账户记录、信封行为和端到端结果仍然存在证据差距，仍然需要 SME 的批准。
一次移交一份客户记录
为每个客户使用单独的建议接受卡：提供商联系人、发送域、颁发的选择器和密钥、 SPF所有者和授权、预期信封、激活要求和测试工作流程。将承诺的身份与观察到的身份分开记录。提供商响应缺失导致受影响的客户处于搁置状态；它不能证明借用其他客户的密钥或扩大共享SPF是合理的。本文中没有为真实账户完成任何卡。