范围和特定于提供商的配置
使用简化文档发件人域身份验证 SPF, DKIM 和 DMARC。其较新的批量发送器文章阐明了从旧版 k5 的过渡 DKIM选择器 到 dkim2048。在评估域时使用当前行为，而不是将任何历史密钥视为预期签名路径的证据。
清点发件人地址中使用的域及其现有身份验证记录。发件人域指南发布SPF基线v=spf1 include:carmamail.com ~all 。将所需的包含内容与其他授权服务合并到单个策略中。在未审查完整的发送清单和查找预算的情况下，请勿替换既定策略或采用基线的结尾。
对于DKIM ，新指南说 Symplify 标志带有 2048 位密钥 使用选择器 dkim2048。在 dkim2048 上以TXT形式发布当前提供商公钥。 _domainkey .<您的域>。从当前源复制不间断的密钥，而不是从屏幕截图或本文转录长密钥。如果DNS编辑器由于其 255 个字符的字符串限制而需要多个字符串，则它们必须形成一个逻辑字符串 TXT记录。不要将这些块变成独立的竞争密钥记录或在公钥材料中添加空格。
提供商解释说，当只有 k5 时。 _domainkey存在，它将继续使用旧密钥，直到添加 dkim2048。如果没有发布任何密钥，Symplify 使用自己的域进行签名，并且该签名与客户的 From 域不一致。这就是为什么通用DKIM通行证不足以作为接受证据。读取收到的营销活动中的实际 d= 和 s= 值。
发布或审查适用的DMARC政策。提供商提供 p=none 作为起点和报告地址示例，但邮箱必须是真实且经过授权的。不要降级现有策略来镜像示例。 Symplify 通过domainsetup@symplify.com提供设置验证；询问该团队是需要授权的单独通信。身份验证也不会取代收件人权限、列表卫生或可见的取消订阅链接。较新的指南说 一键取消订阅 标头由服务添加，而可见链接仍然由模板所有者负责。
重要的决定
确认 dkim2048 签名与客户的发件人域一致，而不是接受提供商域DKIM通行证。
验证发布记录和真实发送路径
在编辑之前记录变更所有者、发送产品、域、批准的维护时段和先前的DNS答案。从指定帐户或记录的提供商工作流程获取当前记录值。将提供商提供的值与您的组织控制的选择（例如DMARC策略和报告收件人）分开。现有邮箱MX 、不相关的验证TXT记录和活动DKIM选择器不会仅仅因为添加新服务而成为清理候选者。
发布后查询每个确切所有者和记录类型的权威名称服务器。记录查询时间、响应服务器和完整答案。将TXT字符串作为一个逻辑值进行比较，其中DNS响应将它们拆分为字符串。查看 CNAME 目标以及起始别名。然后比较递归解析器答案以识别缓存差异。成功的提供者验证是配置的有用证据，但它并不能确定实际接收者收到的内容。
使用预期产品路线仅将授权测试发送给受控收件人。保留原始消息和可信接收系统的 Authentication-Results。记录可见的发件人域、 SMTP 邮件来自 或观察到 Return-Path 域、每个DKIM d= 和 s= 值、 SPF和DKIM结果以及接收者的DMARC结果。仅当其经过身份验证的域与适用策略下的可见发件人域一致时，通过SPF或DKIM检查才支持DMARC 。回复和品牌显示名称不是联盟身份。 RFC 7208 、 RFC 6376和RFC 9989为这些区别提供了协议基础。
验收工作表、恢复和证据限制
这是原始验收工作表，而不是现场测试报告。将每个门标记为待处理，直到证据存在：账户范围已确认；先前捕获的DNS ；发布确切的新所有者/类型/值；提供商验证完成；预定的行使路线；收到记录的身份信息；已确认一致的身份验证；其他发件人不受影响。为每个门分配一个人和证据文件。即使提供商仪表板为绿色，红色门也会阻止推出。
如果测试失败，首先区分丢失的发布、过时的缓存数据、不活动的提供程序配置、错误的出站路由和未对齐的身份验证。纠正所显示的最小缺陷并再次测试。不要仅仅为了通过一项测试而削弱DMARC或删除其他发件人的记录。如果更改损害了现有邮件，请使用批准的恢复计划和捕获的更改前配置，协调任何提供商端发件人更改以及DNS 。当排队的消息或批准的重叠仍然需要旧密钥时，请保留旧密钥。
此稿件没有可用的客户租户、更改前后的权威信息或真实收到的消息。保留的资源支持文件工作流程；他们不满足委托的现场证据门。独立检查员审查和人类中小企业批准仍有待确定。请勿将本指南描述为经过现场验证或将其发布为已通过这些门槛。
将后备签名视为不完整的证据
书面案例 SY-01 假设活动具有 From news@example.org ，客户域选择器均未发布，并且假设的接收者显示来自不相关提供商域的传递签名。确切的提供商域、选择器和SPF结果故意未知，因此没有断言完整的DMARC判决。 DNS所有者应与活动所有者协调预期的 dkim2048 记录，然后获取受控接收的消息。请勿将通用DKIM通行证标记为客户域对齐或更改实施以隐藏丢失的身份。未发生任何活动、验证电子邮件或DNS操作。
保留执行边界
对于发布p=reject, RFC 9989第 7.4 节要求有效的DKIM而不仅仅是SPF ，并就间接邮件和邮件列表互操作性发出警告。一次成功的直接消息测试并不能证明每条合法路线都已准备好采取更强有力的政策。保留现有批准的保护，同时诊断实际差距；任何政策变化都需要自己的决定。