身份驗證審核包應該回答一個實際問題：其他人是否可以在不詢問作者電子表格列含義的情況下得出相同的有限結論？截圖可以支持 一個記錄，但它很少保留重現發現所需的範圍、轉換和排除。從一項主張開始，然後提供支持該主張的投入和推理。
陳述主張及其限制
使用諸如“三個註冊服務之一缺乏一致的身份驗證通行證的當前證據”之類的聲明。避免「域名是安全的」。在下面 RFC 9989, DMARC 評估身份驗證 標識符對齊。它不證明寄件者的商業目的、保證送達或解釋每種假冒方法。
定義組織、服務、領域、審核間隔、時區和證據截止時間。將庫存分母與實際觀察到的訊息分開。服務可能已獲得批准，但在較短的觀察間隔內並未出現。遙測缺失是關於可見性的一個發現，直到有更多證據解釋為止。
保留重建路徑
使用收集時間戳和完整性雜湊將原始輸入保留在受限區域中。記錄轉換、重複資料刪除金鑰、排除和工具版本。為了 總結報告，保留報告標識、報告組織和間隔以及每個提取的行。 RFC 9990 描述報告結構；報告行不是完整的交易記錄或收件匣放置證明。
將每個發現與確切的服務註冊條目、相關行、解釋和糾正決策聯繫起來。將個人內容排除在一般審計摘要之外。哈希檢查保留的位元組是否改變；它不證明真實性、完整性或授權批准。單獨保存來源出處和存取歷史記錄。
重建一個獨立的假設發現
假設註冊了三種服務：帳單、薪資和電子報。這三者目前均已獲得商業批准。帳單和時事通訊在聲明的審查間隔內具有當前授權的對齊通行觀察；工資單上沒有。根據擬議的規則，需要批准和現有證據，三分之二的服務符合資格。薪資單是一個證據缺口，而不是已證明的身份驗證失敗。這些是陳述的假設，而不是保留的操作文件或執行的審計。
僅將薪資單的假設觀察值改為目前一致的通行證即可使覆蓋範圍達到三中之三。相反，從原始案例開始並刪除帳單批准，剩下三個之一。這些單獨的反事實表明結論如何取決於輸入。真正的審查者需要實際的凍結記錄和出處，而不僅僅是這些例句。
給審稿者一個有界的任務
要求獨立審核員重建三分之二的結果，確定薪資差距並解釋為什麼未觀察到的與身分驗證失敗不同。為審閱者提供相同的凍結輸入和規則，然後記錄他們的身份、結果、分歧和確切的輸入雜湊值。對於真正的審計，外部複製仍處於等待狀態，直到單獨的審核員實際檢查凍結的證據並記錄結果。回顧本文或其假設的算術並不能滿足操作保證門的要求。
僅當其聲明的結束證據存在時才結束調查結果。對於工資單，這意味著服務所有者確認的路線和帶有接收者身份驗證證據的當前授權測試，而不是從分母中刪除工資單。保留未解決的專案、審核日期和負責人，以便下一次審核可以區分進度和變化的群體。