邮件域名安全配置是什么
邮件安全配置既防伪造也防暴露面滥用：SPF 声明哪些主机有权代表本域发信，DKIM 用签名证明邮件未被篡改，DMARC 告诉收件方在 SPF 或 DKIM 校验失败时怎么处置。三者缺一，域名就可能被用于伪造发信、钓鱼与垃圾邮件，直接影响企业信誉与业务往来。配置还要覆盖营销子域与退信域。
基本信息
| SPF | 以 TXT 记录声明合法发信来源，注意 DNS 查询次数上限 |
|---|---|
| DKIM | 以 TXT 记录发布公钥，签名选择器（selector）需与发信方一致 |
| DMARC | 以 _dmarc 子域 TXT 记录声明策略（p=none/quarantine/reject） |
| 关联资料 | RFC 7208（SPF）、RFC 7489（DMARC） |
配置核查命令
配置核查命令
dig +short example.com TXT | grep -i 'v=spf1' # SPF 记录
dig +short default._domainkey.example.com TXT # DKIM 公钥（选择器按实际）
dig +short _dmarc.example.com TXT # DMARC 策略
dig +short marketing.example.com TXT | grep -iE 'v=spf1|v=DMARC1' # 子域是否单独配置典型使用场景
- 年度邮件域治理：核对主域、营销子域与退信域的记录是否齐全
- 收到伪造邮件投诉：核查对方是否可从本域伪造发信
- 第三方发信平台接入：为平台单独授权来源并纳入 SPF
- DMARC 策略推进：先以 p=none 收集报告，再逐步收紧
- 邮件网关自查：确认本域未被配置成开放中继
常见问题与处置
| 问题 | 表现 | 处置 |
|---|---|---|
| 无 SPF | 可被任意主机冒用发信 | 配置 SPF 并限定来源 |
| SPF 记录过长 | 查询次数超限导致校验失败 | 合并来源或使用厂商机制优化 |
| 无 DKIM | 邮件可被篡改 | 为发信域启用签名 |
| DMARC 策略缺失 | 无法指示收件方处置 | 先 p=none 观察再收紧到 reject |
发信域与退信域都可能被伪造：把邮件相关域名纳入暴露面清单统一治理，避免只维护主域而漏掉营销与通知子域。
直接把 DMARC 策略从 p=none 切到 p=reject 有业务风险：未授权的内部转发与第三方平台可能被一并拒收，先看报告再收紧。
推进节奏建议
| 阶段 | 动作 | 观察指标 |
|---|---|---|
| 现状核查 | 查询 SPF/DKIM/DMARC 记录 | 是否存在记录与选择器缺失 |
| 观察期 | DMARC 用 p=none 收集报告 | 合法来源清单是否完整 |
| 收紧期 | 切 quarantine 再切 reject | 业务邮件退信率变化 |
| 常态 | 季度复核记录与发信来源 | 新增平台是否已纳入授权 |