一个 电子邮件标头 是不同系统在不同时间写入的字段的集合。有些字段表达了发件人自己的声明；其他人则报告接收者观察到的情况。一项有用的调查可以确定谁可以编写每个重要字段，然后再决定它证明什么。粘贴的标题分析器无法仅从文本确定出处。
保留完整的原件
授权后通过接收系统支持的导出方式获取原始消息。将原始字节与带注释的工作副本分开保留。屏幕截图、转发的副本和复制的标头片段可以省略重复的字段、更改行折叠或添加新的传输事件。记录源邮箱、收集时间和访问限制，而无需分发不必要的邮件内容。
保留重复的字段及其顺序。读取两个已收到或 Authentication-Results fields 确定导出的消息包含的内容，而不是谁编写了任一字段。成功的解析并不是身份验证检查。
识别可信接收边界
使用管理员知识、网关配置和传送日志来确定哪些系统处理受信任管理域内的消息。找到这些系统生成或明确信任的身份验证结果。如果外部发送者可以插入相同的字符串并且接收边界无法删除或区分它，那么熟悉的 authserv-id 字符串是不够的。 RFC 8601第 1.2 节和第 7 节.
然后将选定的结果与其评估的身份联系起来。 SPF 涉及该评估中使用的SMTP身份； DKIM 标识签名域； DMARC 将经过身份验证的标识符与可见的 From 域相关联。不要用回复、发件人或消息 ID 代替这些输入。通过是有界域身份验证结果，不能证明消息无害或其业务请求合法。
读取带有停靠点的运输轨迹
当邮件通过SMTP系统传输时，接收字段通常会预先添加。阅读从最新条目到较早跳跃的可信部分，然后在遇到不受信任的提供材料时停止将链视为已建立的链。将连接地址、队列标识符和时间与接收系统的日志相关联。即使后来的可信跳真正收到了该消息，也可以伪造较旧的声明跳。 RFC 5321第 4.4 节.
如果无法证实较早的跃点，请将其文本保留为声明，而不是通过它扩展已验证的路由。后来可信接收者的存在并不能验证所有预先存在的跟踪信息。
得出一个简短的以证据为主导的结论
说明观察到的接收源、可信身份验证结果、相关身份差异和未解决的差距。例如，解释所选接收结果报告可见作者域失败，而不相关的提供结果声称通过。不要默默地选择有利的结果。如果来源不可用，请在采取相应的安全或业务行动之前，将结论标记为有条件的，并要求提供原始接收者证据。
进行假设的发票审核
假设授权原始导出显示 From: accounts@brand.example和 Reply-To: help@different.example 。它还包含DMARC失败的接收者报告和声称通过的不相关的提供报告。这些都是虚构的观察结果，而不是捕获的事件。
首先确定接收系统真正生成的是哪个报告。如果其日志和记录的边界证实了 故障报告，保留报告的结果并排除不相关的通过声明。如果无法确定来源，则可以说可信身份验证未知，而不是选择首选结果。接下来，在发送敏感信息之前，通过已建立的联系人或批准的工作流程确认异常回复目的地。
结果并不表明发件人有欺诈行为。这是有界审查：已知的消息源、支持的身份验证结果或明确的不确定性、未解释的回复目的地以及合理的下一次检查。这里没有测试解析器、验证器、邮箱或支付请求。
编写可供决策的标题摘要
- 来源：确定授权原始出口和收集时间。
- 信任：命名接收系统并证实日志或记录的边界。
- 身份：记录发件人、分别评估SPF身份和DKIM签名域。
- 范围：区分报告的认证与内容安全和业务权限。
- 下一步行动：在更改DNS或响应敏感请求之前解决最小的证据差距。