DMARC邮件认证

DMARC(Domain-based Message Authentication, Reporting and Conformance,基于域的消息认证、报告与一致性)是一种电子邮件认证协议,它在SPF和DKIM两项技术的基础上,让域名所有者可以发布策略,告知收件方服务器如何处理未通过认证的邮件,并获取相关反馈报告。

概述

电子邮件协议诞生之初并未考虑发件人身份验证,因此伪造发件地址极为容易,成为垃圾邮件和钓鱼的温床。DMARC通过域名的DNS记录发布策略,与SPF、DKIM协同工作,帮助收件方判断邮件是否真正来自其声称的域名,从而阻断冒名邮件。

核心原理

• SPF核验发件服务器IP是否在域名授权范围内。
• DKIM通过数字签名验证邮件内容在传输中未被篡改且确由该域发出。
• DMARC引入对齐(alignment)检查,要求可见的发件域名与SPF或DKIM验证的域名一致。
• 域名所有者可设置处置策略:none(仅监测)、quarantine(投入垃圾箱)或reject(直接拒收)。

此外,DMARC还提供聚合报告和失败报告机制,让管理员了解谁在以其域名名义发信,便于逐步收紧策略。

应用场景

DMARC被企业、政府机构和邮件服务商广泛部署,用于保护品牌域名不被冒用、降低钓鱼邮件成功率,并提升自有邮件的送达率。许多大型邮箱服务商已将其作为反垃圾邮件评估的重要依据。

常见问题

问:部署DMARC需要先有SPF和DKIM吗?答:是的。DMARC本身不做认证,而是依赖SPF和DKIM的结果并检查域名对齐,因此必须先正确配置这两者。

问:一上来就设为reject策略好吗?答:不建议。通常先用none策略监测报告,确认所有合法邮件都能通过认证后,再逐步升级到quarantine和reject,以免误拦正常邮件。