首先定义供应商的诊断问题
退回邮件或邮件标头可能包含超出支持工程师所需的信息：个人地址、内部主机名、路由标识符、邮件主题、跟踪链接，有时还包括敏感内容。默认发送整个原件可能会造成不必要的曝光。从确切的问题开始，询问诊断该问题需要哪些字段、谁将接收它们以及如何保留它们。
本文提出了一种最小化的证据共享工作流程。它不会收集、上传或通过电子邮件发送任何真实消息、凭证或个人数据。尚未批准供应商目的地。该目录需要批准的最小样本和明确的保留决定；通用模板或虚构示例不能满足这些操作要求。
保留原件并创建单独的支持副本
将未动过的原件保存在授权的内部证据位置，并由负责的保管人保管。创建一个单独的副本用于密文和注释。记录两者之间的关系，而不将完整的原件放在广泛共享的票证中。这保留了以后调查的能力，同时限制了供应商获取实际需要的证据。
不要声称经过编辑的消息在加密上与原始消息相同。 DKIM 验证取决于其覆盖的标头和正文内容 规范化 规则；编辑相关字节可能会使独立重新验证失效。经过编辑的副本仍然可以说明身份和诊断关系，但必须将其标记为经过转换的证据。如果需要实际重新验证，双方需要针对所需原始材料采用经批准的安全方法。 RFC 6376
保持诊断结构完整
RFC 3464定义了每个消息和每个收件人的 DSN 字段，包括报告信息、操作、状态和诊断代码。保留受影响的收件人和响应之间的关系。不要删除完整的诊断文本，只保留通用单词，例如失败。同样，保留时区并将报告系统与退回邮件中引用的远程服务器区分开来。 RFC 3464
对于 Microsoft NDR，共享的 5.7 前缀可以涵盖非常不同的条件；其详细的代码参考说明了为什么完整的响应很重要。 Yahoo同样区分临时错误和永久错误，并在需要支持时要求特定的诊断。最小包应该保留相关的代码和上下文，而不是发送不相关的正文内容作为替代。 Microsoft NDR 参考 Yahoo错误指导
将字段映射到目的和披露风险
在编辑之前创建字段映射。对于每一项，说明诊断目的、是否需要精确值、建议的转换以及授权接收者。声誉关联可能需要精确的发送 IP，而收件人的个人本地部分则可能不需要。实时DNS分析可能需要域名；用占位符替换它会使分析变得不可能，应该予以披露。
当关系很重要时，使用一致的占位符。如果相同的域出现在可见的发件人中， 信封发件人 和DKIM身份，在经过编辑的解释中保留这种平等。如果它们不同，请使用不同的占位符。不要将所有域编辑为一个值并意外地使未对齐看起来像 结盟。除非有必要披露并获得批准，否则请将原始映射保密。
故意删除秘密和无关内容
检查主题、正文、附件、URL 和自定义标头，以获取与支持问题无关的信息。从支持副本中删除密码、身份验证令牌、会话链接和私钥；不要要求供应商将其作为常规诊断来接收。即使主机名看起来无害，URL 也可以在其路径或查询中包含机密。不要仅仅因为此类材料来自某个公共分析器或票证，就将其粘贴到公共分析器或票证中。 电子邮件标头.
公共DKIM签名和公钥引用与私有签名密钥不同，但它们仍然可以泄露操作标识符。检查它们的相关性，而不是将每个看似技术的领域视为无害或秘密。如果供应商要求额外的数据，请询问哪些诊断步骤需要这些数据，并在扩展包之前获得适当的批准。这是一项拟议的隐私做法，而不是针对特定供应商合同的声明。
保留身份验证结果的信任上下文
Authentication-Results 断言需要一个已知的信任边界。保留足够的上下文来识别哪个接收者或可信验证者产生了相关结果。不要剥离每条路由线索，然后将通行标签表示为独立可信。如果证据副本无法确定出处，请明确说明该限制。 RFC 8601
对于特定于供应商的字段（例如 Microsoft 的 compauth），请在相关时保留准确的结果和原因对。保留记录的字段名称并将其与普通SMTP代码区分开。供应商应该知道它是否正在解释原始收到的标头、经过编辑的副本或手动准备的摘要。 微软标头定义
原始最低限度证据工作表
使用此建议的工作表来批准支持包。它不是完整的披露授权或保留的样本。
- 目的：供应商将调查的确切故障或解释问题。
- 接收者：经过验证的组织、支持渠道、预期人员或访问范围。
- 字段映射：每个保留字段、诊断需求以及是否需要精确值。
- 转换：删除的内容、一致的占位符以及由此产生的分析限制。
- 原始保管：内部所有者、受保护位置和批准的访问流程。
- 传输：授权的安全通道以及对转发共享的任何限制。
- 保留：明确的持续时间或基于事件的删除决定、所有者和确认方法。
- 批准：授权确切包和任何后续扩展的人。
保留决定应该是具体的，而不是“永远根据需要保留”。这可能取决于组织的政策、供应商条款和案例要求，因此本文并未发明通用的天数。记录商定的内容、适用范围以及跟进人员。在未确认其实际流程的情况下，请勿承诺第三方删除。
虚构的示例：供应商需要拒绝，而不是发票
虚构的 Elm Basin 要求其邮件供应商调查被拒绝的发票消息。提议的第一个包包含时间戳、路由上下文、完整诊断和一致编辑的收件人标识符。它省略了发票附件和付款详细信息，因为这些不能回答最初的运输问题。原件由内部保管人单独保存。
如果供应商稍后需要确切的发送域或消息标识符进行关联，团队将解释其目的并批准通过经过验证的渠道进行额外的披露。它不会自动转发整个发票线程。榆木盆被发明；本作品中不存在任何消息、供应商票据、转让或保留协议。
确认已共享的内容以及仍然不可用的内容
在真实案例中授权披露后，记录软件包版本、收件人、时间、批准字段和保留决定。供应商的确认并不证明其完成了诊断或删除了早期的副本。单独跟踪这些结果。如果编辑阻止了所请求的分析，请报告限制，而不是默默地替换发明的值或声称验证成功。
该目录需要数据字段地图和经批准的最小证据样本以及明确的保留决定。本手稿提供了拟议的地图，但没有实际批准的样本或保留协议。原始证据、人类 SME、来源适用性、生产路线、视觉可达性和所有者发布仍然开放。尚未向供应商发送任何信息。