保护邮件域名：SPF、DKIM 与 DMARC

先列出完整的发信来源

哪些系统可以使用您公司的域名发送邮件？请与财务、销售和 IT 一起梳理。除日常邮箱外，还可能包括开票软件、邮件订阅服务、联系表单、工单系统及扫描设备。应了解员工实际使用的服务，而不只是查看已购买的许可证清单。

为每个发信服务记录用途、收件人可见的发件地址、服务商及业务联系人。同时明确谁可以修改 DNS 记录，以及变更记录存放在哪里。这份清单既是项目需求说明，也是后续新增或停用服务的依据。

不要遗漏公司的其他域名。已注册但不应发送邮件的域名，也需要适当措施防止发件人冒用。英国国家网络安全中心（NCSC）建议将组织的全部域名纳入考虑。 [5]

SPF、DKIM 和 DMARC 分别检查什么

SPF 检查发信服务器是否获得 SMTP 信封中技术发件域名的授权。这个域名可能与收件人看到的发件域名不同。允许发信的服务器通过 DNS 指定。

DKIM 将签名域名与一封邮件关联。收件方使用 DNS 中的公钥验证数字签名。签名覆盖选定的邮件组成部分，但既不加密邮件，也不确认某个具体人的身份。

当 SPF 或 DKIM 验证成功，且通过验证的域名与可见 From 地址中的域名对齐时，DMARC 才通过。严格对齐要求域名完全相同；宽松对齐允许具有相同的组织域。与 From 域名无关的 SPF 或 DKIM 通过结果并不足够。 [1] [2] [3]

有依据地选择策略

p=none 不要求对 DMARC 失败采取特殊处理；p=quarantine 请求按可疑邮件处理；p=reject 请求拒收。实际处理方式由收件邮件服务决定。这些设置都不能保证合法邮件一定送达。

与 IT 商定观察期，并安排审查所请求的报告。观察期应覆盖每月开票及不常发生的邮件发送活动。仅观察平静的一周，无法充分了解这些流程。在批准或停用来源不明的发信服务前，先要求调查其用途。 [4]

IT 服务商应交付哪些证据

我们建议使用一份将配置与日常业务相结合的验收清单。要求为每个发信服务提供简短的证据记录。截图中显示三个绿色对勾，并不能说明开票系统或联系表单是否能正确发送邮件。

• 持续维护发信服务、域名及业务联系人清单。
• 由每个服务发送真实测试邮件，并记录收件方的 SPF、DKIM 和 DMARC 结果。
• 列出实际检查的域名及对齐证据，而不只是一个“通过”标签。
• 分别测试所需的邮件转发安排和邮件列表，并记录问题。
• 明确目标策略及其理由、变更日期，以及出现投递问题时的具体回退方案。
• 指定负责人审查报告、处理未决问题，并在服务商变更后重新检查。

仍然可能发生哪些攻击

仿冒域名可以通过它自身的 SPF、DKIM 和 DMARC 检查。熟悉的显示名称也不能证明身份。邮件身份验证不会使邮件内容自动可信。

DMARC 也无法防止真实邮箱被入侵。攻击者可能借此通过获准的服务发送邮件。对于异常付款指令或银行账户变更，应通过事先已知且独立于邮件的联系方式核实。 [6] [7]

将维护纳入项目要求

项目结束前明确责任人。新增营销软件、更换网站服务商或财务系统时，都应重新审查发信来源清单。记录新增或删除了哪些服务、进行了哪些测试，以及仍有哪些未决问题。这样即使负责人发生变化，配置也依然清晰可查。

相关阅读

• 外部攻击面：整理域名与服务清单
• 2026 年 DMARC 新标准：企业应检查什么
• 防范钓鱼：域名、邮箱和付款需要不同的保护措施