什麼是 DMARC？
DMARC 是一筆 DNS 記錄，告訴收件郵件伺服器：當某封郵件自稱來自您的網域卻未通過驗證時，該如何處理。它也會讓這些伺服器寄報告給您，說明有誰在以您的名義寄信。
與工程師談談 知識庫
它是什麼
DMARC 是 Domain-based Message Authentication, Reporting and Conformance 的縮寫。它建立在 SPF 與 DKIM 之上，並補上了它們缺少的部分：與讀者所見 From 地址之間的連結。
這個連結稱為對齊（alignment）。當 SPF 對與 From 網域相符的網域通過，或來自相符網域的 DKIM 簽章有效時，郵件即通過 DMARC。只要有一項對齊通過就足夠。
記錄內容
DMARC 是一筆 TXT 記錄，位於 _dmarc 加上您的網域，發布在 DNS 中。起始記錄看起來像 v=DMARC1; p=none; rua=mailto: 後面接上應接收報告的地址。p 值就是政策：
- none：不採取行動，只做報告。
- quarantine：將未通過的郵件視為可疑，通常是放進垃圾郵件匣。
- reject：拒收未通過的郵件。
彙總報告
rua 地址會收到大型郵件服務商寄來的彙總報告，通常每天一次，格式為 XML 檔案。每份報告列出以您的網域名義寄信的伺服器、郵件數量，以及 SPF 與 DKIM 是否通過並對齊。它們能揭露被遺忘、仍以您名義寄信的服務，也能揭露偽造者。
合理的導入步驟
- 從 none 開始。發布附有報告地址的記錄，並蒐集幾週的報告。
- 修正每個合法寄件者。為每一個寄件者設定 DKIM 金鑰與 SPF 項目，直到報告顯示它通過為止。
- 改為 quarantine。未通過的郵件此時會進入垃圾郵件匣。
- 改為 reject。一旦沒有任何合法郵件失敗，偽造的郵件就會被拒收。
為什麼這對企業很重要
沒有強制執行的 DMARC 政策，任何人都能寄出 From 欄位顯示您確切網域的郵件，而收件方沒有收到任何阻止的指示。自 2024 年起，Google 與 Yahoo 已要求大量寄件者驗證其郵件。我們的電子郵件驗證指南說明這三種記錄如何搭配運作。
KawaConnect 如何處理 DMARC
在設定與管理 Microsoft 365 的過程中，我們會為網域發布 DMARC，從 none 開始，待合法寄件者都通過後才收緊政策。詳情見我們的 Microsoft 365 頁面，背景說明見企業電子郵件指南。
相關服務
瞭解更多
- 維基百科上的 DMARC對對齊、政策與報告的中立概述。
- dmarc.org 上的 DMARC 概述該標準的官方網站，說明收件方如何套用 DMARC 政策。
- Google 電子郵件寄件者指南Google 對寄往 Gmail 的郵件在 SPF、DKIM 與 DMARC 方面的要求。
- Microsoft 365 中的電子郵件驗證Microsoft 的指引，並附有設定 DMARC 的步驟連結。
