DMARC（基于域名的消息身份验证）

定义

DMARC是一套邮件身份验证策略，用于告知收件服务器如何处理未通过SPF、DKIM校验的邮件。

DMARC全称为Domain‑based Message Authentication, Reporting, and Conformance，属于邮件身份验证协议，构建在SPF与DKIM之上，让域名所有者可以管控收件服务器如何处理未通过身份校验的邮件。可以针对校验失败邮件设置三种策略：none（仅监控）、quarantine（标记为垃圾邮件）、reject（直接拦截）。

对于B2B开发触达团队，DMARC具备两大核心作用。第一，保护域名免遭未授权发件人伪造，维护品牌声誉，同时保护潜在客户免受钓鱼攻击。第二，向邮件服务商表明我方重视身份校验、可以管控域名发件主体，以此提升整体邮件送达能力。

DMARC同时具备报告能力。配置报告接收地址后，可以收到汇总报告与取证报告，展示有哪些主体使用你的域名发信、邮件校验是否通过、收件服务器如何处理这些邮件。借助这些信息可以发现未授权发信行为，排查身份验证故障。

核心要点

• 基于SPF与DKIM，执行邮件身份验证策略
• 保护域名，抵御邮件伪造与钓鱼攻击
• 输出全部发信主体的邮件身份校验结果报告

工作原理

在DNS中发布DMARC记录，写明身份验证策略以及报告接收配置。收件服务器收到来自该域名的邮件后，结合SPF、DKIM校验结果匹配DMARC策略；如果两项校验均失败且策略设置为reject，则邮件会被拦截。报告会发送至DMARC记录指定的邮箱地址。

最佳实践

• DMARC策略先设置为"none"，先观察数据，再执行强制策略
• 确认所有合法发信主体均可通过校验后，逐步切换至quarantine，最后升级为reject
• 定期审阅DMARC报告，及时发现域名被非授权使用的情况