保持当前设置间隙可见
该草案以当前的 Simpro 帮助指南为起点，处理归因于 simPRO 的邮件。目前的第一方配置证据仍处于搁置状态。这 帮助指南登陆页面 列出一个 SPF记录 主题和帮助台路线，但是 SPF 链接已解析至本研究中的通用文章门户。该检索未建立所需的SPF值或当前的签名程序。
A 提供商主持的DKIM讨论 包含日期为 2021 年 9 月的工作人员回复，指示请求者提供支持。它是支持路线的有用历史证据，而不是当前的可用性承诺、自助服务程序或特定于帐户的DNS值的来源。不要将该回复变成通用设置配方。
从受影响的业务消息开始
确定企业需要传递的实际消息。报价、发票或通知应与其原始工作流程和责任所有者相关联。仅包括组织部署中存在的工作流。不要假设类似品牌的附加组件或集成共享核心应用程序的出站基础设施。
记录实例标识符、产品或模块、可见的发件人域以及任何已知的邮件中继。当多个业务部门使用不同的域时，请创建单独的行。技术联系人需要了解问题是否影响每条消息、一个工作流程、一个发送者或一个接收者系统。这种区别决定了需要提供哪些证据以及有用的重新测试是什么样的。
还记录业务后果。延迟的内部通知可能会允许进行有计划的调查；等待时间敏感文档的客户可能需要已经批准的后备流程。验证工作不应默默地创建重复的发票、改变客户承诺或重新发送整个批次。
准备可得到答复的支持请求
询问已验证的当前提供商渠道以确认确切实例和域的身份验证要求。提供预期的发件人身份和受控消息标识符，而不是“启用 DMARC”。询问哪个团队执行激活、哪个记录DNS所有者发布以及如何确认完成。
为了 DKIM，请求支持的签名域， 选择器、记录所有者、记录类型和公共价值。询问范围是否是域、实例或其他帐户边界，以及多个域是否需要单独工作。对于SPF ，请求当前支持的授权及其适用的信封标识。对于自定义信封支持，请明确询问该功能和退回邮件处理，而不是从回复地址中推断。
保留回复及其日期和范围。如果支持人员为不同的产品或部署提供文档，请在发布任何内容之前要求澄清。此草案不会提出支持请求或断言支持已批准配置。
根据上下文审查拟议的DNS更改
在授权更改之前，请导出当前的相关记录并确定权威的DNS所有者。将建议的选择器名称与现有记录进行比较。冲突应该由提供者解决，而不是通过覆盖另一个服务的密钥。避免从不同客户的示例中复制密钥、选择器或服务器授权。
RFC 7208 定义SPF处理，包括 DNS查找限制。在建议添加后评估完整的策略并保留不相关的活动发件人。不要仅仅因为历史服务器主机名类似于实例的 Web 地址而替换它。浏览器主机名和发送邮件的系统是单独的观察结果。
RFC 6376 定义签名域和选择器如何识别DKIM验证密钥。一旦支持问题值，将公共DNS与这些确切值进行比较并记录观察时间。保存的DNS表单并不能证明接收者可以检索正确的密钥。
协调发布和提供商激活
与提供商就操作顺序达成一致。记录DNS发布时间、提供商检查时间以及为每个域激活签名的时间。仅经过等待期并不能证明激活。成功的记录查找也无法确定应用程序在新生成的消息上使用哪个密钥。
如果第一个样本缺少预期签名，请确认它是在激活后通过预期工作流程生成的。检查不同的发件人域或中间路由是否解释了该结果。避免在原始请求状态不清楚时重复发出新密钥；这可以使配置的多个版本处于流通状态。
将私钥、登录凭据和不相关的客户内容保留在证据包之外。发布步骤涉及公共验证记录，而不是帐户机密。任何帐户登录或凭证配置都需要其自己批准的流程。
测试时不产生真正的客户义务
使用经企业主同意的允许的测试环境或无害的受控工作流程。不要仅仅为了生成电子邮件样本而创建实际费用、接受截止日期或面向客户的承诺。如果唯一可用的路线是重要的，请停止并获得精确测试的批准，而不是将其视为常规邮件故障排除。
为每个有意义的领域和工作流程边界捕获一个样本。保留消息标识符、UTC 发送时间和接收系统，以便支持人员可以将观察结果关联起来。从员工邮箱发送的普通电子邮件无法验证应用程序生成的路由，即使两者显示相同的发件人地址也是如此。
记录最终可见的发件人、回复、信封域、每个DKIM d= 和 s= 对以及可信接收者的身份验证结果。 RFC 9989 解释 结盟;识别实际的通过路径，而不是只记录“ SPF绿色”或“已交付”。将收件箱放置和业务收据作为单独的结果。
使用实例和文档工作流程工作表
下面的内联支持和消息验证工作表连接了支持案例、域、 DNS更改、激活事件和收到的示例。它还记录测试是否会产生业务义务以及谁批准了安全方法。将当前提供商值留空，直到通过经过验证的渠道提供。
如果有多个公司身份或工作流程，则需要做出覆盖范围决定。所有者应该提供测试或明确标记发布范围之外的路线。不要允许来自一个分支的成功样本默默地批准其他所有发件人。
涉及第二业务领域的虚构诊断案例
仅虚构示例：Harbor Mechanical 审查拒绝的应用程序生成的文档。一个业务单位的受控消息具有预期的对齐签名，而另一个单位使用不同的 From 域，但没有。管理员最初将第一个结果视为应用程序已完全配置的证据。
工作表公开了缺失的域行。该团队请求支持人员确认第二个域的范围和激活状态，然后准备无害的重新测试。它使部署不完整，而不是改变整个组织的策略。此示例中未观察到 Harbor 帐户、Simpro 支持案例、 DNS记录或成功激活。
恢复路线并保留接受保留
就任何生产变更之前的后备方案达成一致。如果新配置中断了重要的工作流程，请暂停该部署并与应用程序、邮件和DNS所有者协调恢复。不要删除排队消息可能仍需要的密钥，也不要在不了解实际拒绝情况的情况下扩大收件人绕过范围。
剩下的关卡是当前提供商拥有的设置说明、确切的原始产品范围、支持的帐户值、实时DNS和收到的消息证据。目视审查和 SME 人工批准也正在等待中。这是一个完整的研究和验证草案，具有明确的设置保留，而不是任何 simPRO 路由已通过身份验证的证据。
内联支持和消息验证工作表
在授权操作员提供证据之前，所有字段均处于待处理状态。将秘密和客户内容保留在此记录之外。
- 实例、产品、业务工作流程和所有者：待定。
- 发件人域、回复处理和受影响的文档：待处理。
- 延误的后果、安全测试方法和批准：待定。
- 当前支持参考、日期说明和适用性：待定。
- 已颁发的DKIM域、选择器、所有者、类型和公共值：待处理。
- SPF授权、评估的信封域和自定义信封支持：待定。
- DNS发布、查找和提供商激活时间戳：待定。
- 受控消息引用、最终发件人、回复收件人、信封和每个DKIM身份：待处理。
- 可信接收器结果、一致机制和路线覆盖范围：待定。
- 后备所有者、排队消息依赖项和未解决的发布门：待处理。
将消息接受与策略推出分开
通过对齐的SPF结果可以满足邮件评估的要求，但并不能单独证明将整个域移至拒绝。 RFC 9989 第 7.4 节要求有效的DKIM进行域发布 p=reject 并警告间接邮件互操作性。在策略所有者批准执行之前，清点所有合法发件人和间接路由。本文未执行任何DNS更改、租户操作或接收消息测试。