邮件安全记录核查
邮件安全依赖三条公开 DNS 记录：SPF 声明允许的发送源、DKIM 提供签名验证、DMARC 说明校验失败时的处理策略。这三条记录都可以通过公开查询只读获取，是邮件安全评估最省力的输入。核查结论必须结合策略级别判断：处于监控模式的策略只收集报告，并不阻止伪造邮件送达。
基本信息
| 核查记录 | SPF（发送源）、DKIM（签名）、DMARC（策略） |
|---|---|
| 核查方式 | 公开 DNS 记录查询，全程只读 |
| 产出 | 现状表与分级改进建议 |
| 关键判断 | DMARC 策略级别决定实际防护效果 |
| 适用范围 | 授权域名及其子域，含未启用邮件服务的域名 |
典型使用场景
- 品牌域名是否配置了 DMARC 策略及策略级别
- SPF 记录的包含项是否覆盖全部合法发送渠道
- 是否存在记录条目过多导致查询超限的风险
- 子域与历史域名是否存在缺失记录的情况
- 为反钓鱼整改提供分级推进建议
查询示例
查询示例
# 查询 SPF 记录（TXT 类型）
dig +short TXT example.com
# 查询 DMARC 策略记录
dig +short TXT _dmarc.example.com
# 查询指定选择器的 DKIM 公钥记录
dig +short TXT selector1._domainkey.example.com
# 记录：记录存在性、策略级别、条目数量、查询时间记录与策略读法
| 项目 | 含义 | 风险判断 |
|---|---|---|
| SPF 缺失 | 未声明合法发送源 | 高，第三方可任意伪造发件域 |
| SPF 条目过多 | 超出 DNS 查询次数限制 | 中，可能导致校验失败被误拒 |
| DMARC 监控模式 | 只收集报告不处理失败邮件 | 中，无法阻止伪造邮件送达 |
| DMARC 拒绝模式 | 校验失败直接拒收 | 防护最强，需确认发送渠道已全覆盖 |
先看 DMARC 是否处于监控模式，再给分级建议：直接建议上强制策略而不评估发送渠道，可能造成正常邮件被拒。
邮件记录核查属于公开信息核查：不发送测试邮件，也不做伪造发件的验证。
核查记录字段
- 域名与是否启用邮件服务，区分主域与子域
- SPF 记录是否存在、包含项数量与是否接近查询上限
- DKIM 是否存在可查询的选择器记录
- DMARC 记录是否存在及其策略级别与报告地址
- 查询时间与查询结果原文摘要，便于后续复核对比