合法的服務可以傳送非法的請求。使用者可能會濫用平台的正常共享或通知功能，帳戶可能會被盜用，或者授權的發送者可能會提出未經授權的業務請求。網域身份驗證可以正確識別服務或配置的寄件者，同時使這些風險無法解決。調查應該解釋這兩個事實，而不是將每條傳遞的惡意訊息稱為身份驗證失敗。
區分服務和請求
記錄訊息中的實際寄件者網域、簽章網域、信封身分和連結。決定哪些身分屬於服務，哪些身分屬於客戶控制的網域。不要假設熟悉的標誌或可見的顯示名稱表示該訊息源自於被冒充的組織。 DKIM 將簽名域與訊息關聯起來；它不證明訊息陳述的真實性。 RFC 6376.
詢問平台實際驗證了什麼。它可能已經驗證了帳戶會話、配置的網域或通知工作流程。沒有必要證明帳戶所有者有意更改付款或共享文件是安全的。在服務所有者和業務接受者提供證據之前，請保留這些問題。
建構需求和證據矩陣
使用單獨的行進行網域身份驗證、帳戶控制、內容審核和業務審核。每行都需要一個要求、證據、信心、所有者和下一步。通過的對齊簽章可以滿足窄域認證行而不滿足其他行。 RFC 9989 描述 DMARC基於領域的範圍，而不是關於內容的一般保證。 DMARC規範.
對於財務請求，獨立驗證尤其重要。使用已知的聯絡方式，而不是訊息中新提供的電話號碼或回覆地址。聯邦調查局建議獨立檢查付款請求和帳戶詳細資訊的變更。 聯邦調查局指導.
閱讀透明工作負載範例
書面範例假設支付變更訊息具有一致的身份驗證、沒有業務批准且已知供應商聯絡人拒絕更改。因此，它的矩陣會保留身份驗證通行證，同時保留付款變更。它無法推斷帳戶是否被盜用、服務功能是否被濫用或被指控的寄件者是否參與其中。
同樣的假設模型使用每月 10,000 則訊息的說明性工作負載、1% 的評論選擇率以及每個所選訊息四分鐘的時間。計算得出 100 條評論和大約 6.67 小時的分析師時間。這些是計劃假設，而不是衡量的平台濫用率、人員配置基準或供應商價格。它們不包括調查升級、週末、誤報處理和事件協調，因此它們並不是完整的營運成本估算。
進行調查而不過度阻塞
保留訊息識別碼和特定於提供者的物件參考（如果可用），但避免不必要地傳播敏感文件內容。要求授權服務所有者調查帳戶活動、共用設定和審核日誌。任何遏制行動的範圍都應限於已驗證的威脅，並得到組織回應流程的允許。
阻止整個流行服務可能會中斷合法的工作流程，而無法解決其他地方的帳戶洩露問題。考慮是否支援更窄的寄件者、物件、URL 或帳戶操作並且是否合適。這些是決策標準，而不是未經授權執行刪除或更改他人帳戶的指示。
關閉已證明的身份事實、未經驗證的因果解釋、業務成果和回應所有者。如果服務仍然可用，請保留其驗證配置，同時解決濫用路徑。刪除DKIM以避免信任的出現會削弱有用的訊號，而不會保證內容的安全。目標是正確解釋該訊號並添加請求所需的獨立檢查。
保持四個證據行不同
對於本發明的情況，規定域認證通過；郵件管理員擁有檢查真實接收證據的權力。帳戶控制未知；授權服務擁有者必須檢查實際帳戶活動。內容安全未解決；安全性負責範圍內的內容審查。未獲得商業批准且規定的已知供應商拒絕該請求；財務保留付款保留。沒有聯繫真正的供應商，沒有調查帳戶，也沒有改變付款方式。此範例提供了決策結構，而不是識別犯罪者的證據。
源和執行邊界
RFC 9989第 4.4、5.3.5 和 5.4 節 區分認證， 結盟 和處理；通行證並不認可訊息內容。這裡的營運決策是範圍內的建議和明確的假設範例，而不是對客戶、提供者或歷史固定裝置的新測試。任何真正的改變都需要有自己的授權範圍、保留的證據和負責任的決定。