DMARC(Domain-Based Message Authentication, Reporting and Conformance)是啥?

[lwptoc float=”right”]

了解DMARC

基于域的邮件身份验证，报告和一致性（简称为DMARC）是一项技术标准，可帮助保护电子邮件发件人和收件人免遭垃圾邮件，欺骗和网上诱骗。DMARC允许组织发布定义其电子邮件身份验证 实践的策略， 并向接收邮件服务器提供有关如何实施它们的说明。在此版本的“ DMARC解释”中，您将了解DMARC是什么以及它如何工作。

具体地说，DMARC为域名所有者建立了一种方法来：

• 发布其电子邮件身份验证实践
• 说明对未通过身份验证检查的邮件应采取的措施
• 启用对声称来自其域的邮件所采取的这些操作的报告

DMARC本身并不是电子邮件身份验证协议，而是基于密钥身份验证标准SPF和DKIM建立的。有了它们，它补充了SMTP（SMTP用于发送电子邮件的基本协议），因为SMTP本身不包括任何用于实现或定义电子邮件身份验证策略的机制。

DMARC如何运作？

DMARC依靠已建立的SPF和DKIM标准进行电子邮件身份验证。它还搭载完善的域名系统（DNS）。一般而言，DMARC验证的过程如下：

1. 域名管理员发布策略，定义其电子邮件身份验证实践以及接收邮件服务器应如何处理违反此策略的邮件。该DMARC策略被列为域的整体DNS记录的一部分。
2. 当入站邮件服务器收到入站电子邮件时，它将使用DNS查找邮件的“发件人”（RFC 5322）标头中包含的域的DMARC策略。然后，入站服务器检查评估邮件的三个关键因素：
   • 消息的DKIM签名是否有效？
   • 邮件是否来自发送域的SPF记录允许的IP地址？
   • 消息中的标题是否显示正确的“域名对齐”？
3. 有了这些信息，服务器就可以应用发送域的DMARC策略来决定是否接受，拒绝或标记电子邮件。
4. 使用DMARC策略确定邮件的正确配置后，接收邮件服务器将结果报告给发送域所有者。

什么是DMARC记录？

DMARC记录包含在组织的DNS数据库中。DMARC记录是标准DNS TXT记录的特殊格式版本，具有特定名称，即“ _dmarc.mydomain.com”（请注意下划线）。DMARC记录如下所示：

 _dmarc.mydomain.com. IN TXT “v=DMARC1\; p=none\; rua=mailto:dmarc-aggregate@mydomain.com\; ruf=mailto:dmarc-afrf@mydomain.com\; pct=100”

该记录从左至右用普通英语阅读，解释如下：

• v = DMARC1 指定DMARC版本

• p = none 指定首选处理方式，或DMARC策略

• rua = mailto：dmarc-aggregate@mydomain.com是应将汇总报告发送到的邮箱

• ruf = mailto：dmarc-afrf@mydomain.com 是应将取证报告发送到的邮箱

• pct = 100 是域名所有者希望对其应用策略的邮件所占的百分比

域名所有者还可以在其DMARC策略记录中使用其他配置选项，但这是基础。

DMARC域名对齐是什么意思？

“域名对齐”是DMARC中的一个概念，它扩展了SPF和DKIM固有的域名验证。DMARC域名对齐将消息的“发件方”域名与以下其他标准有关的信息进行匹配：

• 对于SPF，邮件的“发件方”域名及其“返回路径”域名必须匹配
• 对于DKIM，邮件的“发件方”域名及其DKIM d =域名必须匹配

对齐方式可以是松散匹配（仅匹配主域名，但允许不同的子域名）或者是严格匹配（精确匹配整个域名）。此选项在发送方域名的已发布DMARC策略中指定。

什么是DMARC p =策略？

DMARC规范为域名所有者提供了三种选择，用于指定他们对未通过DMARC验证检查的邮件的首选处理方式。这些“ p =策略”为：

• none：将该邮件作为未经过DMARC验证的邮件一样对待
• quarantine： 接受邮件，但将其放置在收件人收件箱（通常是垃圾邮件文件夹）之外的其他位置
• reject： 完全拒绝该消息

请记住，域名所有者只能建议而不能强制执行其DMARC记录；由入站邮件服务器决定是否遵守请求的策略。

什么是DMARC报告？

DMARC报告由入站邮件服务器生成，作为DMARC验证过程的一部分。DMARC报告有两种格式：

• 聚合报告(Aggregate reports)，是XML文档，显示接收消息的统计数据，这些消息来自特定域名。报告的日期包括身份验证结果和消息处理。聚合报告被设计为机器可读的。
• 取证报告(Forensic reports)，是指身份验证失败的邮件的单独副本，每个副本都包装在AFRF特殊格式的一封完整电子邮件中。取证报告对于解决域名自身的身份验证问题以及识别恶意域和网站都非常有用。

DMARC与SPF，DKIM或其他标准有何关系？

DKIM，SPF和DMARC都是支持电子邮件身份验证不同方面的标准。他们之间是互补的。

• SPF 允许发件人定义允许哪个IP地址发送特定域名的邮件。
• DKIM提供了一个加密密钥和数字签名，可以验证电子邮件是否未被伪造或更改。
• DMARC将SPF和DKIM身份验证机制统一为一个通用框架，并允许域名所有者声明在授权测试失败时如何处理来自该域名的电子邮件。

我需要DMARC吗？

如果您是发送商业或交易电子邮件的企业，则肯定需要实施一种或多种形式的 电子邮件身份 验证，以验证电子邮件确实来自您或您的企业。正确配置DMARC有助于接收邮件服务器确定如何评估声称来自您的域的邮件，这是您可以采取的最重要的步骤之一，以提高可传递性。但是，诸如DMARC之类的标准仅适用于此。SparkPost和其他电子邮件专家建议在完整的邮件策略中实施DMARC电子邮件身份验证策略。

SparkPost是否支持DMARC？

是的。SparkPost实施并遵守电子邮件认证标准，包括DMARC。实际上，我们为用户提供的所有电子邮件都包含默认的DMARC策略，可以根据您的需求进行自定义。

阅读有关DMARC最佳做法的更多信息

通过SparkPost的电子邮件专家和其他网站的资源，了解有关DMARC的更多信息。

• DMARC项目主页。制定DMARC标准的小组已发布了有关DMARC的详细说明，操作方法和新闻。
• RFC 7489。由Internet工程任务组（IETF）发布的该文档正式定义了DMARC技术标准。
• DMARC：如何保护您的电子邮件信誉。电子邮件可传递性专家Todd Herr提供了一个速成课程，介绍如何开始配置DMARC。