DMARC记录生成与检查器

为什么需要 DMARC

SMTP 协议在设计之初没有验证发件人身份的能力，任何人都可以声称自己来自任意域名。SPF 校验发信服务器的 IP 是否被授权，DKIM 校验邮件内容是否被篡改，但它们都只回答「这封邮件的来源是否合法」，无法告诉收件方当校验失败时该怎么办。DMARC 补上了这一环。

三种策略的区别

• p=none：不拦截，只通过 rua 地址把校验结果汇总成报告发给你。适合刚上线的观察期，用来摸底有多少合法邮件可能受影响。
• p=quarantine：校验失败的邮件投入垃圾箱。属于过渡策略，风险可控。
• p=reject：校验失败的邮件直接拒收。防护最强，但一旦漏配合法发信源（例如第三方营销平台、工单系统）就会丢信，务必在观察期确认无误后再切换。

对齐模式是什么意思

对齐指邮件头里的发件域（From）与 SPF 校验域或 DKIM 签名域是否一致。宽松模式（r）只要求组织域相同，例如 mail.example.com 与 example.com 视为对齐；严格模式（s）要求完全一致。严格模式防护更强，但对第三方代发平台的配置要求更高，很多场景下它们使用自己的域名签名，此时需要该平台提供自定义域支持。

部署顺序建议

先用 p=none 加 rua 观察两到四周，确认报告里所有合法来源都通过了 SPF 或 DKIM 校验；再把覆盖率降到百分之十左右、策略切到 quarantine，逐步提高比例；最后切到 reject。跳过观察期直接上 reject 是邮件丢失最常见的原因。

常见问题

记录超过 255 个字符怎么办

DNS 的单个 TXT 字符串上限是 255 字节，而整条 DMARC 记录可以更长——多数 DNS 服务商支持自动分片，或在编辑时用两段引号包围的字符串拼接。若服务商不支持，请精简 rua 地址数量。

只有一条 DMARC 记录吗

是的。同一域名下同时存在多条 v=DMARC1 记录会导致校验直接失败，这是常见故障。发布新记录前务必删除旧的同名 TXT 记录。

你可能还想问

观测策略有什么用？

只观测不处置，适合刚上 DMARC 的过渡期，用来收集报告、摸清合法发信来源，避免误拦正常邮件。

策略该从哪一级开始？

建议从观测起步，确认报告里没有遗漏的合法来源后再升到隔离，最后到拒收，逐级收紧更安全。

发件人认证没配好行吗？

不行。DMARC 依赖 SPF 与 DKIM 的对齐结果，若它们缺失或不一致，DMARC 几乎不起作用；先确保前两者正确，再上 DMARC。

相关工具

相关内容