仅当应用程序发送该身份验证所适用的帐户和身份时， SendGrid中经过身份验证的域才有用。不同帐户中的绿色状态或来自不同地址的测试会使真实的工作流程未经验证。
以特定消息开始：企业需要发送的发票、登录链接或通知。识别其SendGrid帐户、任何子用户、可见的发件人地址以及可以更改其配置的人员。
将发件人验证与域身份验证分开
Twilio 将单一发件人验证与域身份验证区分开来。对此处评估的生产路由使用域身份验证；单独的邮箱验证并不能建立DNS和 结盟 本指南需要的证据。
确认应用程序使用哪种配置。对一个邮箱的访问并不表明域的DNS已配置为一致的身份验证。同样，对父帐户进行身份验证并不能消除检查应用于子用户实际消息的身份的需要。
在相关帐户中使用域身份验证工作流程。在请求DNS更改之前记录所选的域和安全选项。这会在应用程序、生成的记录和变更批准之间创建链接。
以明确的目的发布生成的记录
使用该配置显示的记录名称、类型和目标。请勿复制其他组织的 选择器 或根据记忆构建特定于帐户的目标。
自动安全性使用DNS委派让SendGrid维护与身份验证相关的值。关闭该选项会更改记录和维护责任。检查所选模式，而不是组合两个不同设置过程中的值。
将生成的记录集视为完整的更改请求：识别每条记录的用途、查询结果名称并根据所选帐户配置进行验证。如果帐户输出与已发布的指南发生冲突，请在更改实时区域之前获得澄清。不要从历史教程中推断出固定的记录数。
审查提议的 DMARC 分别值。设置向导的示例不是批准替换现有策略或报告目标。保留域所有者的预期策略，同时添加所需的发件人配置。
验证DNS而不干扰其他服务
在活动权威主机上，检查编辑器如何处理完整主机名。重复的后缀可以以接收者永远不会查询的名称发布记录。
在建议的位置查找现有选择器或其他数据 CNAME 所有者。不要覆盖其他服务以使新设置通过。选择可用的受支持的不同选择器，或解决与两个服务所有者的冲突。
发布后，将权威答案与预期的名称和目标进行比较。完成SendGrid的验证步骤，保留结果的账号、配置和时间。不要将其与实时消息测试等同起来。
测试应用程序，而不仅仅是设置屏幕
通过真实的 API 或SMTP路径发送给受控收件人。捕获原始收到的消息和相关的发送事件。检查可见的发件人域、信封身份、 DKIM 签名域和可信接收者结果。
DMARC需要传递对齐 SPF 或DKIM路径。两种机制都可以传递与可见 From 域无关的身份，因此请记录身份以及结果标签。
Twilio 记录帐户和子用户的匹配和默认域行为。如果签名身份是意外的，请在再次编辑DNS之前检查该分配和应用程序的“发件人”设置。
在综合示例中，密码重置服务使用的子用户的默认身份验证域属于单独的品牌。父帐户将预期域显示为已验证，但收到的重置消息使用了错误的签名身份。纠正工作是在实际发送上下文中分配和使用预期域，然后重复重置工作流程。
留下可维护的移交
存储应用程序所有者、帐户或子用户参考、生成的记录集、测试证据和停用程序。将 API 机密保留在内容记录之外并支持屏幕截图。
当机构发生变化、子用户被替换或应用程序移动帐户时，请重新检查路由。发送者清单提供业务上下文；对齐诊断解释了一个短暂但不相关的身份。成功的设置意味着预期的应用程序会重复使用预期的经过身份验证的身份。
使子用户案例可检查
对于虚构的重置流 SG-01，假设来自reset@brand-a.example ，子用户 reset-worker，该子用户中没有匹配的经过身份验证的域以及有效的默认brand-b.example 。假设收到的消息有一个传递 DKIM签名 d=brand-b.example, s=demo1. That unrelated signer supplies no alignment to brand-a.example; SPF and all other signatures remain unknown, so the complete DMARC result is unresolved. The parent’s brand-a verification is not evidence of this subuser assignment. Confirm current assignments and application configuration, authorize any scoped correction and retest the actual reset route. No API credential, account, DNS change or message was used here.
自动设置和自动安全是不同的选择：前者通过支持的连接写入DNS ，而后者选择提供商管理的身份验证委托。单独审查访问和生成的记录。 Twilio 的当前设置页面描述了四个生成的资源记录；使用准确的帐户输出，解释每条记录并解决差异，而不是将旧的固定计数教程视为权威。
保留执行边界
RFC 9989 第 7.4 节要求有效的DKIM ，而不仅仅是SPF来进行域发布 p=reject，并对间接邮件和邮件列表互操作性发出警告。一次成功的直接消息测试并不能证明每条合法路线都已准备好采取更强有力的政策。保留现有批准的保护，同时诊断实际差距；任何政策变化都需要自己的决定。