发邮件增加可信度邮箱DMARC记录添加增加设置图文教程

在电子邮件通信日益频繁的今天，如何确保邮件的真实性和安全性成为了企业和个人面临的重要挑战。继SPF和DKIM之后，DMARC（Domain-based Message Authentication, Reporting & Conformance）应运而生，它不仅能有效防止他人伪造您的域名发送邮件，还能让您实时掌握域名被冒用的情况。简单来说就是发邮件后对方不容易将邮件识别到垃圾箱，这里主题铺就介绍一下发邮件增加可信度邮箱DMARC记录添加增加设置图文教程。

一、什么是DMARC？

DMARC可以理解为邮件发送方身份验证的“最终防线”和“反馈机制”。它建立在SPF和DKIM（域名密钥识别邮件）的基础之上，为域名所有者提供了一个策略，用于告知接收邮件服务器如何处理未能通过SPF或DKIM验证的邮件，并要求接收方发送关于这些邮件的报告。

当收件服务器（其MTA需支持DMARC协议）收到来自您域名的邮件时，它会执行DMARC校验。如果邮件未能通过DMARC策略的验证（即SPF或DKIM验证失败，且发件域名与DMARC策略中的域名不一致），接收方会根据DMARC记录中设定的策略（如拒绝、隔离或不作处理）进行处理，同时，会向DMARC记录中指定的邮箱地址发送一份DMARC报告。

主题铺认为： DMARC的强大之处在于其“报告”功能。通过这些报告，域名所有者可以了解到每天有多少邮件尝试冒用其域名发送，它们的来源IP是什么，以及这些邮件被如何处理。这为企业提供了宝贵的洞察力，帮助他们及时发现并应对邮件欺诈行为，从而保护品牌声誉和用户安全。

二、如何设置DMARC记录？

设置DMARC记录需要一定的先决条件和具体的步骤。

1. 前置条件：确保已正确配置SPF记录

在设置DMARC记录之前，您的域名必须已经正确配置了SPF记录。DMARC会依赖SPF的验证结果来判断邮件的真实性。

示例SPF记录： v=spf1 include:spf.sg.aliyun.com -all

主题铺提醒： 关于SPF记录的详细信息、添加和查询方法，请参考相关文章。确保SPF记录正确无误是DMARC生效的基础。

2. 推荐的DMARC记录设置

当SPF记录配置妥当后，您可以按照以下推荐方式设置DMARC记录：

重要提示：

• _dmarc： 这是DMARC记录的主机记录（或子域名），是固定的，不能更改。
• 记录值中的邮箱地址： a***@example.net建议填写一个您组织内部的、能够正常收发信的邮箱地址（可以是子域名邮箱）。主题铺强调： 如果您填写非同组织的邮箱地址，根据收件服务器策略的不同，您可能无法收到DMARC报告。这是为了防止滥用DMARC报告系统。

如果您的域名不在阿里云购买的，具体添加方法建议咨询域名所在服务商。

添加方法示例（以阿里云解析DNS为例）：

1. 登录阿里云解析DNS： 在您的阿里云账户中，找到域名管理或解析DNS的入口，并登录。在域名列表中，选择您需要添加DMARC记录的域名。
2. 进入解析设置界面： 找到并点击该域名旁边的“解析设置”选项。
3. 添加记录： 在解析设置界面中，点击“添加记录”按钮。
4. 填写记录信息：
   • 记录类型： 选择TXT。
   • 主机记录： 填写_dmarc。
   • 记录值： 填写您准备好的DMARC策略字符串，例如：v=DMARC1; p=quarantine; rua=mailto:a***@example.net; ruf=mailto:a***@example.net。
5. 确认并保存。

三、关于退信攻击邮件及应对措施

有时，您可能会收到大量退信邮件或自动回复邮件，这很可能是因为恶意方仿冒您的域名发送邮件，导致这些退信邮件最终退回到您的邮箱。

建议采取以下措施来应对此类情况：

1. 检查SPF解析是否配置正确。 SPF是第一道防线，确保其正确配置是基础。
2. 建议配置DMARC解析，并设置p参数为quarantine（隔离）。
   • 初始阶段，将p参数设置为quarantine，这将指示接收方将未通过验证的邮件放入垃圾箱。
   • 通过观察返回的DMARC报告，确认是否有未经授权的邮件源在伪造您的域名发信。
   • 如果确认为有人恶意伪造发信，再将p参数逐步升级为reject（拒绝）。 这一步需要谨慎，因为错误的配置可能会导致您的合法邮件也被拒绝。
3. 报告邮件会较多，建议使用同组织的专用邮箱接收DMARC报告。 这样可以避免DMARC报告与您的日常邮件混淆，方便管理和分析。

DMARC参数说明：

• p=none：
  • 含义： “不作处理”。即使邮件未通过DMARC验证，接收方也会放行所有来自您域名的邮件。
  • 用途： 这是最宽松的策略，通常用于DMARC部署的初始监控阶段，以便收集报告数据而不影响邮件送达。
  • 示例： v=DMARC1;p=none;rua=mailto:a***@example.net;ruf=mailto:a***@example.net
• p=quarantine：
  • 含义： “隔离”。指示接收方隔离一部分未通过DMARC验证的邮件，通常是将其放入垃圾箱。
  • 配合参数： 可以与pct参数（默认值为100）配合使用，设置未通过DMARC验证的邮件中隔离的百分比。例如，pct=15表示隔离15%的失败邮件。
  • 用途： 作为从none到reject的过渡阶段，可以逐步测试对邮件送达的影响。
  • 示例： v=DMARC1;p=quarantine;pct=15;rua=mailto:a***@example.net;ruf=mailto:a***@example.net
• p=reject：
  • 含义： “拒绝”。执行严格拒绝策略，所有未通过DMARC身份验证的邮件都将被直接拒绝，不进入收件箱或垃圾箱。
  • 用途： 这是最严格的策略，一旦确认DMARC配置无误且没有误判，可以设置为此策略以最大程度地防止邮件欺诈。
  • 示例： v=DMARC1;p=reject;rua=mailto:a***@example.net;ruf=mailto:a***@example.net
• rua：
  • 含义： reporting URI for aggregate reports。用于接收收件服务商发送的汇总报告。这些报告通常是XML格式，包含DMARC验证结果的统计信息，如通过验证的邮件数量、失败的邮件数量、来源IP等。
• ruf：
  • 含义： reporting URI for forensic reports。用于接收收件服务商发送的详细失败报告。这些报告包含未通过验证的邮件的更详细信息，通常包括邮件头和部分内容，有助于分析攻击模式。

代发场景说明：

在某些代发邮件场景中，邮件的真实发信地址（mailfrom，也称为信封发件人）和显示地址（from，用户看到的“发件人”）可能不一致。

主题铺提醒： 如果显示发信地址from的域名配置了DMARC策略为reject，这意味着该域名不允许被代发。此时，若收件方严格校验DMARC，即使真实发信地址通过了SPF或DKIM验证，但因from域名DMARC策略的限制，邮件也容易被收件方拒收。因此，在配置DMARC reject策略时，需充分考虑所有合法的邮件发送路径，包括代发服务。