這句話 DMARC 旁路可以描述非常不同的事件。來自過度授權來源的有效通行證、儘管結果失敗但仍進行交付以及實施錯誤並不是相同的失敗。從可證偽的主張開始：主張哪個身分、哪個證據可信、哪個決定與預期規則不同？
重建觀察到的決策
保留作者網域、信封網域、簽章網域、可信任身分驗證結果和接收者設定。記錄政策和觀察時間。正在傳遞的訊息本身並不證明DMARC通過。接收方處理包含本地政策，域所有者請求的處理並不是通用的遞送保證。 RFC 9989.
同樣，複製的 Authentication-Results 字串並不是接收系統決定的證明。建立可信任認證服務和相關躍點。 RFC 8601。如果唯一的證據是顯示「通過」的螢幕截圖，則將聲明保留為未解決，直到基礎身分和信任上下文可用。
將過度授權與規則規避分開
BreakSPF 研究如何寬容 SPF 共享基礎設施的授權和存取可以允許 欺騙。其威脅模型為攻擊者提供了合格的來源路徑；然後接收者可以評估所發布的書面授權。 BreakSPF，第 III.A 節和圖 3.
如果攻擊者控制的來源位於授權範圍內並使用對齊的信封身份，則普通通過規則可以成功。弱點在於授予的權限或服務邊界，而不是DMARC的新定義。相反，如果僅對不相關的身份進行身份驗證且作者網域未對齊，則聲明的通行證需要不同的解釋。
對三個假設發現進行分類
假設來自alerts@brand.test的單一可見以及其他合格的DMARC評估。這些是書面假設，而不是觀察到的事件。
- 授權案例：來源192.0.2.99在規定的SPF ip4:192.0.2.0/24範圍內； 郵件來自 bounce@brand.test透過SPF ；不 DKIM簽名。對齊的SPF路徑會產生訊息級DMARC通行證。詢問該來源是否確實可以由非預期寄件者控制以及哪個所有者授予其權限。
- 處理案例：MAIL bounce@other.test通過SPF且 DKIM d=other.test passes, but assume neither aligns with brand.test. DMARC fails. If the trusted receiver record separately says delivered, investigate its handling policy; delivery alone has not changed the failed 結盟 結果。
- 證據案例：複製的標頭顯示通過，但受信任的接收者來源、評估的身份和應用的策略未知。既沒有建立違反協議的行為，也沒有建立可信的通行證。索取原始記錄和接收方記錄。
授權的肯定發送者192.0.2.10和外部來源198.51.100.10可以在調查第一個案例時提供建議的控制。假設的ip4:192.0.2.10/32 -all記錄只承認前者；此前綴算術不會產生真正的生產變化。這裡沒有執行解析器、簽章檢查或利用。
RFC9989第 7.4 節需要有效的DKIM才能進行域發布 p=reject。傳遞對齊的SPF機制足以滿足特定訊息的傳遞條件，但不建議僅執行 SPF。
讓發現具有可操作性
說出重現的情況和仍然缺失的證據。一個有用的發現表明，指定的來源由指定的授權所承認，並確定了負責任的所有者。這並不是說所有DMARC保護都已失效。檢查真實服務是否限制租用戶身分、來源是否可控、接收者是否應用了所聲明的結果。
在測試提議的緩解措施時，保留無害的授權積極控制。縮小範圍或更改連接器可能會破壞合法寄件者。要求特定路線的變更批准和變更後驗證，並明確解決未在實驗室中測試的提供者行為。這支援精確修復，而不會將教育模型誇大為生產漏洞。