什么是 DMARC？
DMARC 是一条 DNS 记录，它告诉接收邮件的服务器：当一封声称来自您域名的邮件未通过验证时应如何处理。它还会让这些服务器向您发送报告，说明有谁在以您的名义发送邮件。
与工程师沟通 知识库
它是什么
DMARC 是 Domain-based Message Authentication, Reporting and Conformance 的缩写。它建立在 SPF 和 DKIM 之上，并补上了它们所缺少的一环：与收件人看到的 From 地址之间的关联。
这种关联称为对齐。当 SPF 针对与 From 域名匹配的域名通过验证，或来自匹配域名的 DKIM 签名有效时，邮件即通过 DMARC。只要有一项对齐通过即可。
记录
DMARC 是一条 TXT 记录，位于 _dmarc 后面加上您的域名，发布在 DNS 中。一条起步用的记录形如 v=DMARC1; p=none; rua=mailto:，后面跟接收报告的地址。p 值即策略：
- none：不采取任何行动，只做报告。
- quarantine：将验证失败的邮件视为可疑邮件，通常意味着放入垃圾邮件文件夹。
- reject：拒收验证失败的邮件。
汇总报告
rua 地址会收到大型邮件服务商发来的汇总报告，通常每天一次，格式为 XML 文件。每份报告列出以您的域名发送邮件的服务器、邮件数量，以及 SPF 和 DKIM 是否通过并对齐。它们会暴露出被遗忘的、以您名义发信的服务，也会暴露伪造者。
稳妥的部署步骤
- 从 none 开始。发布带有报告地址的记录，并收集几周的报告。
- 修复每个合法发送方。为每个发送方配置 DKIM 密钥和 SPF 条目，直到报告显示它通过验证。
- 改为 quarantine。验证失败的邮件此时会进入垃圾邮件。
- 改为 reject。一旦没有合法邮件再验证失败，伪造的邮件就会被拒收。
为什么它对企业重要
如果没有强制执行的 DMARC 策略，任何人都可以发送在 From 行显示您确切域名的邮件，而接收方没有被告知要阻止这种行为。自 2024 年起，Google 和 Yahoo 要求批量发件人对其邮件进行验证。我们的电子邮件验证指南说明了这三种记录如何配合。
KawaConnect 如何使用 DMARC
在设置和管理 Microsoft 365 的过程中，我们会为域名发布 DMARC，从 none 开始，只有在合法发送方都通过验证之后才会收紧策略。更多内容请见我们的 Microsoft 365 页面，背景知识见企业电子邮件指南。
相关服务
了解更多
- 维基百科上的 DMARC对对齐、策略和报告的中立概述。
- dmarc.org 上的 DMARC 概述该标准自己的网站，讲解接收方如何应用 DMARC 策略。
- Google 电子邮件发件人指南Google 对发往 Gmail 的邮件在 SPF、DKIM 和 DMARC 方面的要求。
- Microsoft 365 中的电子邮件验证Microsoft 的指南，并附有设置 DMARC 的步骤链接。
