从下到上读取收到的标头通常被教导为遵循消息路径的方法。这种排序可以解释时间顺序，但它不能验证最旧的条目。发送者可以在第一个可信接收者处理消息之前将发明的跟踪字段放入消息中。首先找到您可以证实的接收边界。
了解如何添加跟踪
当邮件通过SMTP系统时，会在其前面添加已接收的跟踪信息。因此，最新条目通常最接近顶部。字段可以记录接收系统、声明的发送主机、连接信息、协议、队列标识符和时间。并非每个实现都包含相同的可选细节。 RFC 5321第 4.4 节.
可信接收者观察到的连接 IP 与客户端提供的证据不同 EHLO/ HELO名称或复制到较低标头中的主机名。保留这些区别，而不是将每个名称都显示为经过验证的物理跃点。私有地址或内部主机名可以描述合法的内部段，而无需公开解析。
首先建立值得信赖的细分市场
从最终接收系统开始，并通过操作和日志已知的系统进行逆向工作。确定消息从该边界之外进入的点。将可信字段的队列标识符、连接记录和时间戳与服务器日志相关联。如果网关由第三方操作，请使用来自该网关的授权证据，而不是假设整个链是可信的，因为最后一个接收者接受了它。
除非得到证实，否则边界以下较旧的油田仍属于主权主张。稍后有效 DKIM 结果不会自动建立每个早期的网络跃点，并且不受信任的跟踪线路中的熟悉域并不能证明消息穿过该组织。
重建假设的三入口链
假设顶部的“已接收”字段在 10:05 UTC 识别内部中继，下一个在 10:03 UTC 识别外围网关，最旧的在 09:58 UTC 声明银行主机。授权日志证实了两个内部处理事件和在外围观察到的对等地址。没有证据证实银行的说法。
支持的路由返回到外围的观察对等点，然后停止。熟悉的银行名称仍然是提供的文本。即使内部时间戳之间的两分钟差异也只是一个明显的间隔，直到检查时钟准确性和队列记录为止；它本身并不向服务器分配延迟。
这些是发明的字段和日志假设，而不是测量的路线或执行的解析器。在实际事件中，保留支持每一跳的证据，并向相关管理员询问丢失的记录，而不是将最低行作为来源证明。
谨慎使用时机
将时间戳转换为一致的时区，同时保留原始时间戳。时钟可能是错误的，并且可能会发明不可信领域中的时间戳。负间隔或长间隙是调查的线索，而不是篡改或延迟的确切位置的证据。队列日志可以区分等待时间和时钟差异。
以路由图或简短的有序列表结尾，将每个跃点标记为观察到的、证实的或声明的。确定最后的可靠边界、任何无法解释的时间以及可以解决该问题的其他来源。不要将明显的原始知识产权转变为个人的身份或地理确定性。
建立有界路线记录
- 从您可以证实的最终接收者开始。
- 将每个受信任的跃点与队列和连接记录进行匹配。
- 将发件人声称的名称与观察到的对等地址分开。
- 保留原始时区值并在分配延迟之前调查时钟差异。
- 在未经证实的边界处停下来；确定继续所需的日志源。