编辑是一种证据转换。它可以使示例更安全地进行讨论，同时删除回答原始技术问题所需的信息。首先定义该问题：标题解释， 域对齐、路由、签名验证或内容过滤。每个任务的最小有用数据都不同。
保留原件并识别衍生品
将原始消息存储在受限位置并计算其字节级 SHA-256 指纹。单独制作一份副本以进行清理。记录收集者、收集方式、时间和原始hash；然后记录导数的新哈希值。哈希支持稍后的完整性比较，但不能证明消息的真实性或发送者。
请勿覆盖唯一的原始文件或将编辑后的文件标记为“原始原始文件”。 消息标头 可以包含收件人地址、内部主机、公共和私有 IP 信息、跟踪 URL 和标识符。 MIME部分和附加消息可以重复可见正文中不存在的敏感信息。 RFC 5322描述消息结构；这里的编辑工作流程是一个操作建议，而不是规定的编辑标准。 RFC 5322第 2 节和第 3 节.
保留诊断所需的关系
对于域对齐讨论，请保持可见发件人、信封身份和签名域之间的关系清晰。用相同的占位符替换每个域可以制造对齐；用不相关的占位符替换对齐的域可能会破坏它。如果无法共享真实域，请提供明确说明性的映射，以保留关系并声明无法从派生域中检查真实DNS 。
对于路由，保留跃点顺序并清楚地标记已删除的主机或地址。对于时间线分析，保留时区偏移并解释任何时间变化。对于传递状态分析，保留收件人块边界、操作、状态和相关诊断，同时删除不相关的消息内容。 RFC 3464定义了这些每个收件人字段。 RFC 3464第 2 节.
不承诺保留签名的密文
更改签名标头或签名正文可能会破坏 DKIM。一些空白变化可以轻松地生存 规范化，但这不是一般的编辑保证。即使一个签名覆盖范围之外的更改也可能会改变另一个签名或删除解释信任所需的上下文。当问题需要加密验证时保留签名字节。 RFC 6376第 3.4 节和第 5 节.
修订日志应标识每个转换及其删除的诊断能力。不要仅仅因为衍生品仍然显示一个签名验证而声称它保留了签名验证 DKIM-Signature 场地。如果不审查结果内容，就不能认为消毒剂是完整的。
分享之前检查整个衍生品
查看标题、纯文本和 HTML 部分、附件、嵌套消息、URL、注释和文件名。删除不需要的操作标记，例如特定于收件人的取消订阅值。避免将简单的搜索和替换作为唯一的隐私检查，因为可能会保留编码或重复的数据。
给分析师一个简短的能力声明：这个副本可以支持标头解释和标记的身份关系，但无法建立原始签名有效性或未公开的DNS状态。如果分析人员需要更多数据，请寻求特定附加数据和收件人的授权，而不是自动发送完整的原始数据。当密文日志包含映射回个人详细信息时，请限制密文日志。
完成假设的对齐示例
假设问题是跳出子域和可见作者域是否具有配置的对齐模式所需的关系。授权的说明性映射可能会将作者替换为brand.example ，将其弹跳子域替换为bounce.brand.example ，并将不相关的供应商替换为vendor.example 。将所有三个映射到example.com将掩盖区别。
将映射标记为说明性并说明相关的严格或宽松关系。它不能替代评估真实域、策略或DNS 。如果问题更改为DKIM有效性，请在批准的访问安排下使用受限原件，而不是承诺经过编辑的副本可以回答该问题。
在共享之前，检查每个部分是否有重复的地址、令牌和标识符，包括嵌套消息。这是一个假设的选择工作流程，而不是执行的编辑或声称实际样本可以安全披露。
分享回答问题的最少证据
- 保留唯一的原始限制并创建单独标记的衍生品。
- 保留所需的身份关系、接收者块、跳跃顺序和时间上下文。
- 查看所有MIME部分、嵌套内容、链接和文件名。
- 说明哪些测试衍生品不再支持。
- 对外共享前需获得实际数据和接收者的授权。