确定邮件实际使用出站服务
垃圾邮件英雄的 SPF 和 DKIM 指南明确涉及其出站SMTP服务。该页面的日期为 2026 年 11 月 6 日，并于 2026 年 11 月 9 日审核了本稿件。其出站概述区分了通过该服务路由外发邮件的方式。仅使用 SpamHero 进行传入过滤的组织不应假设其出站邮件已被自动覆盖。
记录帐户、域、源邮件系统和预期中继路径。确定该组织是直接客户还是通过经销商进行合作，因为记录的SPF说明会区分这些情况。还记录哪些邮件类别绕过中继（如果有）；一个来源的工作路由不会建立组织中的所有发件人。
这是文件指导和拟议的验收流程。尚未创建或更改中继凭据、帐户设置、连接器或DNS记录。经常账户的适用性和更广泛的目录实施要求仍然开放。 出站认证指南; 出境服务概览
将适当的SPF指令应用于一份完整的保单
对于具有现有SPF策略的直接帐户，该指南指示管理员在终止所有机制之前添加include:spf.spamhero.com 。它明确告诉经销商使用经销商区域中发布的包含内容。这种区别应该在更改请求中保持可见，而不是在复制示例时丢失。
该页面还为没有SPF域提供启动策略，包括机制和softfail终止。不要将该起点视为每个组织的自动授权决策。检查每个提议的机制是否代表预期的发件人和其他合法出站服务的帐户。
多选 SPF记录 会产生错误，因此当已经存在 SpamHero 策略时，不要仅为 SpamHero 创建单独的策略。保留机制排序并审查嵌套的 DNS 相关评估术语。成功的文本编辑并不能证明相关消息路径已获得授权或一致。 启用SPF; RFC 7208 ，第 3.2 节; RFC 7208 ，第 4.6.4 节
区分DKIM启用和自定义域签名
提供商的记录路径是出站 > 出站设置。在“其他设置”下，选择为出站邮件启用DKIM签名。然后，该指南描述了可选显示的内容 CNAME 记录：配置它们会导致服务使用客户的域进行签名；否则它会使用内部域进行签名。
这种区别对于接受至关重要。消息可以携带有效签名，同时使用与组织的可见作者域不同的身份。记录预期结果是否仅仅是提供商签名或自定义域签名，并保留后者的确切帐户显示别名。不要发明一个 选择器 或者假设其他客户的目标适用。
在发布之前，将发布的名称与现有记录以及实际DNS编辑器的后缀行为进行比较。审查冲突并保留之前的状态。公共指南提供了工作流程，但它并不能证明任何帐户的签名切换已启用或其别名已发布。 启用DKIM
将入站过滤和出站授权分开
通过过滤网关接收邮件和通过出站中继发送邮件是不同的路径。建议的清单应显示相关的两者，但出站身份验证更改必须由发送路径证明是合理的。不要仅仅因为提供商的 IP 地址出现在传入跃点上就添加发件人授权。
SPF根据指定SMTP身份的策略评估连接发件人，包括 邮件来自。可见的发件人地址不会自动成为策略查找域。 DMARC 添加一个 结盟 与作者域进行比较，因此不相关的服务标识的传递结果可能无法满足组织的预期结果。
如果邮件系统在转发之前已经对消息进行了签名，请保留并检查生成的签名，而不是假设它们在每次转换中都保持有效。提议的接受应确定最终签名的内容和受信任的接收者结果。本手稿不会禁用入站检查或更改安全控制以使消息通过。 RFC 7208 ，第 2.4 节; RFC 6376 ，第 3.5 节; RFC 9989 ，第 4.4 节
验证接收到的路由及其身份
提议的最终检查是实际经过预期出站路由的授权代表消息。保留最小化的标头提取及其作者域、可用的信封身份、 DKIM签名域和选择器以及受信任的接收系统结果。记录发送时间和来源系统，以免意外替换其他路径的证据。
将观察到的签名域与预期的自定义域配置进行比较。如果它仍然是内部服务域，请检查帐户显示的别名和签名设置是否与建议的设计匹配。不要仅仅因为一个签名未对齐就得出所有身份验证失败的结论；根据DMARC规则检查相关通过身份。
将身份验证接受与中继传递事件、收件箱放置和收件人参与分开。提供商的可传递语言并不能保证每个目的地都会接受或显示该消息。同样，经过身份验证的消息并不能证明其业务请求是合法的。 RFC 9989 ，第 4.4 节; 自定义与内部签名
出站中继移交的验收工作表
使用此最初建议的工作表来连接源系统、帐户类型和最终收到的身份。
- 路由范围：帐户、直接或经销商关系、源邮件系统和实际出站中继路径。
- 覆盖范围：包括消息类别、旁路路由以及对任何异常负责的所有者。
- SPF请求：正确的直接或经销商包含、完整受影响的政策并保留合法来源。
- DKIM意图：内部域或自定义域签名、相关帐户设置和准确显示的CNAME记录。
- DNS审查：预期所有者名称、别名目标、现有冲突和批准的发布范围。
- 消息证据：授权样本、路由时间戳、作者和签名域、选择器和可信结果。
- 安全控制：确认入站过滤、连接器和凭据未在批准的任务之外进行更改。
- 发布：审阅者、回滚所有者和未解决的经常账户或生产证据。
该工作表是空白的规划指南。它不包含密码、API 机密、真实消息正文或执行的验证结果。
虚构诊断： DKIM通过内部域
虚构组织启用出站DKIM ，并在样本上看到通过的DKIM结果。它宣布自己的域现在已通过身份验证，而无需将签名的签名域与可见的作者地址进行比较。相反，该示例显示了内部服务标识。
拟议的审查将成功的提供商签名与所需的自定义域对齐区分开来。该团队检查记录的CNAME步骤和实际帐户值，同时保留现有的SPF策略和不相关的发件人。它还验证样本是否遍历了预期的出站中继而不是另一个邮件源。
不会仅仅为了更改仪表板外观而削弱策略，也不会更改入站过滤规则来修复出站配置差距。最终移交记录了授权变更后仍需要收集的证据。这是一个虚构的诊断，不是真正的 SpamHero 事件或执行的邮件测试。