SPF、DKIM 与 DMARC：确保企业邮件送达并防止域名被仿冒

许多企业直到为时已晚才意识到邮件问题：系统发出的发票从未送达客户，报价单落入垃圾邮件箱，更糟的是，客户收到看似来自贵公司域名的诈骗邮件。这些都不只是技术上的小麻烦。电子邮件是发票、密码重置、订单确认以及与潜在客户沟通的主要渠道，邮件送不到就意味着收入延迟和信任下降。

自从大型邮箱服务商收紧对批量发件人的规则以来，SPF、DKIM 和 DMARC 这三种身份验证机制已从可选项变成基本要求。本文用企业主能看懂的语言解释这三者，并说明如何在不破坏现有邮件正常运行的前提下完成配置，包括由应用程序、ERP 系统和营销工具发送的邮件。

摘要

• SPF 声明哪些服务器可以代表您的域名发送邮件，DKIM 对每封邮件进行加密签名，DMARC 则规定两者都失败时的处理方式并向您发送报告
• 缺少这三者，合法邮件更容易进入垃圾箱，别人也更容易冒用您的域名欺骗客户或合作伙伴
• 先登记所有邮件来源：办公邮箱、应用程序、ERP、网店、营销工具和工单系统，因为被遗忘的来源是合法邮件被拒收的首要原因
• 逐步推行 DMARC：从监控到隔离再到拒绝，同时阅读汇总报告
• 将事务性邮件与营销邮件分开，并定期监控域名信誉和退信率

为什么企业邮件无法送达

电子邮件协议设计于数十年前，当时网络规模很小且彼此信任。默认情况下，任何人都可以在邮件上写任意发件人地址。这就是为什么骗子可以发出看似来自贵公司财务部门的邮件。现代邮箱服务商的应对方式是评估每封收到的邮件：发件人是否真的有权使用所显示的域名，邮件在传输途中是否被篡改。

对企业而言，后果有两个方向。第一，如果您的域名没有配置身份验证，您发出的真实邮件会被怀疑，更常进入垃圾箱或被拒收。第二，如果您的域名容易被冒用，客户和合作伙伴就会成为使用您名义的诈骗目标，品牌声誉也随之受损。这一威胁与中小企业的网络钓鱼、勒索软件与网络安全一文密切相关，因为域名仿冒是令人信服的钓鱼攻击的关键材料。

理解三种机制：SPF、DKIM 和 DMARC

三者都以 DNS 记录的形式发布在您的域名上，无需在员工电脑上安装任何软件。重要的是理解各自的作用，而不是从网上照抄配置。

SPF：允许发件人清单

发件人策略框架（SPF）是一条记录，列出获准代表您的域名发送邮件的服务器或服务。收件方收到邮件时，会将发件方的 IP 地址与该清单比对，匹配则通过。SPF 有一个常被忽略的限制：DNS 查询最多十次。同时使用多项服务（如办公邮箱、营销平台、工单系统和应用程序）的企业很容易超过这一限制，导致 SPF 在无人察觉的情况下失败。

DKIM：邮件上的数字签名

域名密钥识别邮件（DKIM）会在每封邮件的头部添加加密签名。收件方使用存放在您 DNS 中的公钥验证该签名。签名有效，说明邮件确由持有私钥的一方发出，且内容在传输中未被修改。每个发送服务通常会提供各自的 DKIM 记录，需要添加到您的 DNS。

DMARC：策略与报告

基于域名的邮件身份验证、报告与一致性（DMARC）把两者串联起来。DMARC 规定邮件必须通过 SPF 或 DKIM，并且所用域名要与读者看到的发件人地址一致。更重要的是，DMARC 告诉收件方验证失败时该怎么办：不处理、隔离或拒绝。DMARC 还会要求邮箱服务商发送汇总报告，说明有谁在以您的域名发送邮件。借助这些报告，您可以发现此前不知道的邮件来源。

建立所有邮件来源的清单

最常见的错误不在技术，而在登记。许多系统在 IT 部门从未记录的情况下，以公司域名发送邮件。动手修改 DNS 之前，先列出一份清单，涵盖：

• 员工日常使用的办公邮箱服务
• 发送通知、密码重置和验证码的业务应用与门户
• 发送发票和到期提醒的 ERP、会计和计费系统
• 发送订单确认和收据的网店及支付网关
• 邮件营销平台、网站表单和销售自动化工具
• 客户支持工单系统和人力资源软件

针对每个来源，记录负责人、使用的域名或子域名，以及该服务是否支持用您自己的域名做 DKIM。较早建成的系统往往直接从应用服务器发信，没有专门的邮件服务商。这类来源最容易验证失败，应迁移到可靠的发送服务。关于系统间集成的更广泛讨论，见企业的 Webhook 与实时集成一文。

安全的推行步骤

立即启用拒绝策略的 DMARC，是让自家发票邮件被拒收的最快方式。更稳妥的顺序如下。

1. 整理 SPF 并在所有来源启用 DKIM

将 SPF 记录合并为一条，因为一个域名不能有多条。删除已不再使用的服务。在每个发送服务上启用 DKIM 签名，然后向测试地址发信并检查邮件头进行验证。

2. 发布监控策略的 DMARC

先从仅监控的策略开始。此模式下不会拒收任何邮件，但您开始收到报告。请为报告准备专用地址，或使用报告解析服务，因为原始报告是难以人工阅读的 XML 文件。

3. 连续几周阅读报告

重点看三点：失败的合法来源、以您域名发信的未知来源，以及各来源的发送量。失败的合法来源必须先修复。未知来源需要调查，它们可能是其他部门遗忘的系统，也可能是仿冒企图。

4. 逐步提高策略

合法邮件通过率接近百分之百后，先对部分比例的邮件改为隔离，再逐步扩大到全部，最后改为拒绝。每一步都需要观察期。这一阶段需要内部沟通计划，让员工知道变更的时间。

5. 形成文档并变成例行工作

记录谁有权修改 DNS、新服务如何登记、谁负责审阅报告。没有例行机制，营销或销售新增的每项服务都会悄悄破坏配置。

事务性邮件与营销邮件应当分开

发票、密码重置和订单确认等事务性邮件，与营销邮件的投递预期不同。客户在等待事务性邮件并会立即打开，因此其信誉通常较高。批量营销邮件更常被举报为垃圾邮件，可能拉低信誉。

如果两者使用同一域名和 IP 地址，营销一侧的问题可能把事务性邮件拖进垃圾箱。常见做法是为营销（例如电子报）使用一个独立子域名，为系统通知使用另一个子域名，各自配置 SPF 和 DKIM。内容与营销自动化的策略见网店的邮件营销与自动化一文。

影响送达率的其他因素

身份验证是基本要求，而非保证。邮箱服务商还会评估您可以掌控的其他方面：

• 名单卫生：删除经常退信的地址和长期不活跃的收件人
• 收件人同意：只发给确实提出要求的人，并提供便捷的退订方式
• 发送量的一致性：此前很安静的域名突然激增显得可疑，因此新域名或新 IP 地址应逐步提高发送量
• 内容质量：避免含义不明的短链接、危险附件以及图片相对文字比例过高
• 投诉率：保持极低，因为垃圾邮件投诉是最强的负面信号
• IP 预热：如果使用专用 IP，应从向最活跃收件人少量发送开始

大型服务商收紧的批量发件人规则，总体上要求身份验证、一键退订以及较低的投诉率。具体阈值会随时间变化，因此在制定内部政策前请查阅服务商的官方文档。

值得监控的指标

配置运行后，应定期监控几个数字，让问题在客户投诉之前就显现出来。

• 汇总报告中的 DMARC 通过率，合法来源最好接近百分之百
• 事务性邮件的硬退信率和软退信率
• 收件箱与垃圾箱的投放比例，可用多家服务商的样本账号测试
• 每千封营销邮件的垃圾邮件投诉数
• DMARC 报告中出现的新来源，这是存在未登记服务或仿冒企图的信号

把这些指标纳入与网站可用性相同的运维监控，详见网站与企业应用的监控与正常运行时间。邮件投递失败是最晚被发现的故障之一，因为看不到任何错误提示。

常见错误

许多公司都会重复出现几种失败模式。

• 同一域名有两条 SPF 记录，导致两条都被视为无效
• 从其他指南复制记录，却未按实际使用的服务调整
• 忘记很少发信的系统，例如薪资应用或工单系统，导致发薪邮件被拒收
• 未经监控期就直接使用拒绝策略
• 没有为 DNS 服务商账号启用两步验证，而任何掌控该账号的人都能修改邮件记录
• 更换邮件服务商或应用供应商时没有更新记录
• 配置完成后忽视 DMARC 报告，使监控的价值丧失

关于账号安全，还可以考虑更强的登录方式，例如企业的通行密钥与无密码登录一文所述。

与 SEO、品牌声誉和安全的关系

送达率常被视为营销问题，其影响却更为广泛。邮件送达保障收入流：发票按时支付，订单得到确认，潜在客户获得快速回复。受到保护、不被仿冒的域名维护品牌声誉，这与您通过内容和网站建立的信任相关，见企业网站的基础 SEO。从安全角度看，严格的 DMARC 让伪造发件人的诈骗更困难，也是企业网络安全事件响应计划的自然组成部分。

常见问题

小企业也需要 DMARC 吗？需要。骗子不会按规模选择目标，仿冒小域名同样容易。从监控策略开始就已有收益，且没有合法邮件被拒收的风险。

实施需要多长时间？对于只有几个邮件来源的公司，初始配置一天即可完成，但走到拒绝策略通常需要数周到数月，因为要等待报告并修复失败的来源。

我们应用程序发出的邮件会自动通过验证吗？不会自动通过。直接从自身服务器发信的应用需要配置，或迁移到支持为您的域名做 SPF 和 DKIM 的邮件投递服务商。

DMARC 能保证邮件不进垃圾箱吗？不能。DMARC 证明发件人的真实性，但收件箱投放还取决于信誉、邮件内容和收件人行为。

这项职责应由谁负责？指定一位负责人，通常是 IT 部门或技术合作伙伴，同时听取作为邮件来源负责人的营销、财务和运营的意见。

结论

SPF、DKIM 和 DMARC 是投入小、影响大的措施：合法邮件更常送达，您的域名更难被滥用。关键在于盘点所有邮件来源、从监控到拒绝逐步推行、分开事务性邮件与营销邮件，并养成阅读报告的习惯。如果您的应用、ERP 和网店会发送重要邮件，请把发件配置的审查纳入集成项目，而不是等问题出现后才补救。