当两个 SPF 检查器显示不同的查找计数，不要选择更令人放心的数字。确定每个工具测量的内容。一个可以在评估的路径上显示依赖于 DNS 的术语，另一个可以扩展策略图，第三个可以显示网络查询。即使这些输出检查同一域，也可以回答不同的问题。
请问计数器是什么意思
RFC 7208第 4.6.4 节 限制跨递归评估的 DNS 相关术语。这不仅仅是所有TXT字符串、每个DNS数据包或可见写入顶层的包含数量的计数。缓存的答案不会授予更大的逻辑术语预算。
也将其他约束分开。规范地址 无效查找 除了主要评估期限上限之外，还包括特定机制的限制。一个工具可能会显示一个组合警告，而另一个工具则会显示每个类别。保存确切的警告文本和文档，而不是假设每个红色标签都表示相同的意思。
为两个工具提供相同的夹具
记录评估的域名、连接IP、发送者身份、 HELO 相关的解析器视图和查询时间。如果该工具仅接受一个域，请查明其计数是静态估计、最坏情况分析还是特定的合成路径。仅域扫描并不自动等同于评估真实连接。
对于使用宏的策略，缺失的身份输入可能会产生直接影响。当同时出现IPv4和IPv6情况时，分别进行比较。保留DNS答案或可重复的受控装置，以便以后的提供商更改不会将假定的工具比较转变为不同策略的比较。
走一个小的说明性例子
考虑一个综合策略：
v=spf1 ip4:192.0.2.10 include:_spf.vendor.example -all
在下面 RFC 7208 §4.6.2 和 RFC 7208 §5.6，对于192.0.2.10 ，显式地址可以在评估包含之前匹配。对于另一个地址，评估可以到达包含及其嵌套依赖项。即使第一条消息的路径从未到达该分支，图形扩展工具也可能会显示该分支。不同的数字需要解释，而不是自动判定任一工具有缺陷。
明确包含目标以比较数字计数。在这个合成装置中， _spf.vendor.example 正好有一个SPF TXT记录, v=spf1 ip4:192.0.2.20 -all。假设DNS检索成功、语法有效、没有额外的依赖项和普通的 邮件来自 对父域的评估。
- 输入192.0.2.10 ：父级的第一个 ip4 机制匹配。实际路径评估 0 个 DNS 相关术语，并且从不访问包含项。
- 输入192.0.2.20 ：父级的 ip4 不匹配。 include 被评估，其目标 ip4 匹配，父级返回 pass。实际路径评估 1 个 DNS 相关术语，即 include。
- 输入192.0.2.30 ：包含目标达到-all并返回失败，因此包含不匹配。父级达到其自己的-all并返回失败。实际路径仍然评估 1 个 DNS 相关项，与 RFC 7208 §5.2.
对于整个装置，无论选择哪个连接，与 DNS 相关的术语的静态图计数都是 1。需要对父策略进行初始TXT检索，但其本身并不是针对此限制计算的评估术语之一。因此，第一个输入的 0 显示和扩展图形的 1 显示都可以得到解释。这些是分析预期结果，而不是执行的测量或网络数据包计数。
现在想象一下，两次扫描之间包含的策略发生了变化。一次新的扫描可以合法地暴露不同的依赖树。在升级分歧之前保存时间戳和实际答案。没有输入的屏幕截图是薄弱的证据。
比较第一个分歧处的迹线
构建评估术语的并排列表。找到工具不一致的第一个地方：记录选择、早期匹配、递归、 DNS错误、宏扩展或计数约定。检查一个是否因错误而停止，而另一个则继续进行诊断。诊断扩展在不代表有效的完整评估的情况下也可能很有用。
如果工具似乎与标准相矛盾，请生成最小的合成夹具和带有部分参考的预期行为。通过正常的支持流程将其发送给工具维护人员，避免使用固定装置处理机密生产数据。不要仅仅为了使不一致的仪表板一致而改变生产。
根据已解决的证据做出决定
一个发件人的有效短路径并不能为每个发件人建立健康状况。测试代表性的合法输入和不匹配的输入，并检查稍后可能更改的依赖关系。相反，大型静态图本身并不能证明每条消息都超过了评估的术语限制。
记录哪些衡量标准支持您的决策、任何未解决的工具限制以及拟议变更的预期影响。使用 机制排序 只有在了解了这些路径之后。如果您无法调和相应的差异，请保留当前证据并寻求针对具体实施的审查，而不是提出无法解释的计数作为确定性。
以书面形式作出决定
对于给定的两条记录夹具，保留父文本和子文本、输入地址、计数定义和预期通过/失败。 0/1/1 值是分析评估的术语计数，而不是测量的DNS数据包或独立工具执行。如果工具报告的数量不同，请在比较之前对其进行标记。错误处理路径中的差异需要其自己的固定装置，而不是从这些成功的查找中推断。