Prima di iniziare

• Permessi specifici nell'ambito di prodotto, sicurezza o piattaforma.
• Per diagnosi tecnica, un client autenticato autorizzato e nessuna esposizione di token o corpi email.

Passo dopo passo

1. Definisci cosa stai verificando: operazione di prodotto, sicurezza o piattaforma. Usa l'endpoint audit pertinente con l'identità e l'ambito autorizzati.
2. Cerca autore, tenant/azienda, azione, oggetto, esito e data dell'intervento. Confronta questi riferimenti con il risultato effettivo invece di dedurre successo dalla sola richiesta.
3. Per comunicazioni controlla lo stato nell'outbox autorizzata. Distingui messaggi in coda, falliti, recapito incerto e accettati dal provider.
4. Se SMTP è disabilitato, considera i messaggi conservati in attesa; non presentarli come email consegnate. Per un invio incerto verifica il trasporto prima di indurre un retry.
5. Registra la diagnosi usando identificativi e traceId necessari, senza copiare password, link con token, segreti SSO, testi liberi o contenuti cifrati.

Limiti e recupero

• Non è presente una pagina UI completa audit/outbox nei sorgenti inventariati.
• accepted_by_provider significa accettazione SMTP, non ricezione, lettura o assenza di duplicati; il provider reale richiede collaudo.

Before you start

• Specific permissions in the product, security or platform scope.
• For technical diagnosis, an authorised authenticated client without exposing tokens or email bodies.

Step by step

1. Identify whether you are investigating a product, security or platform operation. Use the corresponding audit endpoint with an authorised identity and scope.
2. Look for actor, tenant/company, action, object, outcome and timestamp. Compare those references with the actual result rather than inferring success from a request.
3. For communications, inspect state in the authorised outbox. Distinguish queued, failed, uncertain-delivery and provider-accepted messages.
4. If SMTP is disabled, treat retained messages as waiting rather than delivered. For uncertain delivery, inspect the transport before triggering another attempt.
5. Record diagnosis using the necessary identifiers and trace IDs, excluding passwords, token-bearing links, SSO secrets, free-text responses and encrypted content.

Limits and recovery

• The inventoried source has no complete audit/outbox UI page.
• accepted_by_provider means SMTP acceptance, not receipt, reading or guaranteed deduplication; real-provider operation needs qualification.