DMARC（基于域的消息认证）

DMARC(Domain-based Message Authentication, Reporting and Conformance,基于域的消息认证、报告与一致性)是一套建立在 SPF 和 DKIM 之上的邮件策略协议,由 RFC 7489 定义。它让域名所有者对验证失败的邮件规定处置方式,并获得可视化的报告反馈。

概述

SPF 和 DKIM 各自解决了发信 IP 授权和内容签名问题,但它们校验的域名未必是用户实际看到的 From 头域名,且缺少统一的失败处置策略。DMARC 补上了这两块:一是要求 SPF 或 DKIM 至少一项通过并与 From 头域名对齐;二是让域名声明失败邮件该如何处理,并通过报告机制让管理员掌握全局。

核心原理

• DMARC 记录发布在 _dmarc.example.com 的 DNS TXT 中,以 v=DMARC1 开头。
• 策略标签 p 决定处置:none 仅监控,quarantine 投入垃圾箱,reject 直接拒收。
• 对齐(alignment)检查 SPF/DKIM 验证的域名是否与用户可见的 From 头域名匹配,可设为严格或宽松模式。
• rua 标签指定接收聚合报告的邮箱,管理员可据此发现被冒用的情况,并逐步收紧策略。

应用场景

金融、电商、政务等品牌敏感机构广泛部署 DMARC 拒绝策略,以彻底封堵冒名钓鱼。大型邮件服务商也把 DMARC 通过与否作为反垃圾评分的重要依据。推荐的部署路径是先用 p=none 观察报告,再逐步升级到 quarantine 和 reject。

常见问题

问:上来就设 p=reject 有风险吗?答:有。若尚未把所有合法发信源都纳入 SPF/DKIM,直接拒绝会误杀正常邮件,应先用 none 收集报告确认覆盖完整后再收紧。

问:DMARC 能替代 SPF 和 DKIM 吗?答:不能。DMARC 本身不做验证,它依赖 SPF 或 DKIM 的结果做对齐判断,必须先配好至少一项底层验证。