DMARC（邮件域名验证协议）

DMARC（Domain-based Message Authentication, Reporting and Conformance，基于域名的邮件验证、报告与一致性）是一种电子邮件身份验证协议，让域名所有者能够声明如何处置冒用自己域名发出的邮件，防止域名被用于钓鱼和诈骗。

概述

电子邮件的原始设计并不校验发件人身份，攻击者可以轻易把发件地址伪造成任意域名，冒充银行、企业或同事行骗。这类手法叫做邮件伪造（Email Spoofing），是钓鱼邮件和商业邮件诈骗（BEC）最常见的入口，DMARC 正是为堵住这一漏洞而生。

DMARC 建立在 SPF 和 DKIM 两项验证技术之上：域名所有者在 DNS 中以 TXT 记录的形式（主机名为 _dmarc 前缀）发布一条策略，收件服务器收到邮件后，除了检查 SPF、DKIM 是否通过，还会核对验证所用的域名与信头中用户肉眼可见的发件域名是否一致（称为「对齐」），再按策略决定放行、隔离还是拒收。该规范于 2015 年以 RFC 7489 的形式发布，如今已被各大主流邮箱服务商广泛支持，一些大型邮件服务商还要求批量发信方必须配置 DMARC。

核心功能

• 策略声明：通过 p 参数指定处置方式，none 只监控不处置，quarantine 将可疑邮件投入垃圾箱，reject 直接拒收。
• 身份对齐：要求 SPF 或 DKIM 验证的域名与用户看到的发件域名一致，防止「验证通过但冒名顶替」。
• 报告机制：收件方按记录中的 rua、ruf 地址回传聚合报告和失败样本，帮助域名所有者掌握谁在用自己的域名发信。
• 渐进部署：可先用 none 模式观察报告，确认正常邮件不受影响后，再逐步收紧到 quarantine、reject。

与 SPF、DKIM 的关系

SPF 声明哪些服务器有权替域名发信，DKIM 用数字签名证明邮件内容未被篡改，但两者都不强制要求验证域名与用户看到的发件地址一致，也没规定验证失败后怎么办。DMARC 补上了这两块短板：它统一规定处置策略，并把执行结果反馈给域名所有者。三者配合，才构成完整的发件域名保护体系，常被称为邮件认证「三件套」。

常见问题

问：部署 DMARC 前需要准备什么？答：应先为域名正确配置 SPF 或 DKIM（最好两者都配），再添加 DMARC 记录，否则自己的正常邮件也可能验证失败被拒收。

问：不发邮件的域名也需要配置 DMARC 吗？答：建议配置。闲置域名同样会被冒用来发垃圾邮件和钓鱼邮件，可直接发布 reject 策略，明确告知收件方拒收一切冒名邮件。

问：DMARC 能挡住所有钓鱼邮件吗？答：不能。它只防止别人冒用「你的域名」，攻击者仍可注册形似域名（如把字母换成相近字符）行骗，因此还需配合安全意识培训等其他防护手段。