钓鱼邮件和域名冒用是企业邮箱安全的最大威胁。本文用通俗语言讲清DMARC、DKIM、SPF三大邮件认证协议的原理与配置方法。
邮件伪造：看不见的安全威胁
你有没有收到过"来自自己公司域名"的可疑邮件？这很可能是邮件伪造攻击。攻击者通过修改发件人地址，冒充你的域名发送钓鱼邮件，不仅损害品牌信誉，还可能导致员工或客户上当受骗。
解决这个问题，需要三道防线：SPF、DKIM、DMARC。
一、SPF：发件人策略框架
SPF（Sender Policy Framework）是最基础的邮件认证协议。它的原理很简单：在DNS中声明"哪些IP地址有权以你的域名发邮件"。
收件方收到邮件后，会查询发件域名的SPF记录，如果发送IP不在记录中，就判定为伪造。
SPF记录示例
v=spf1 include:spf.163.com -all
这条记录的意思是：允许163.com的SPF记录中列出的IP发邮件，其他全部拒绝（-all）。
二、DKIM：域名密钥识别邮件
DKIM（DomainKeys Identified Mail）比SPF更进一步：它在邮件头部添加数字签名，收件方用公钥验证签名，确认邮件确实来自该域名且未被篡改。
DKIM的优势在于：即使邮件经过转发，签名依然有效，能够验证邮件的完整性。
DKIM配置步骤
- 1. 在邮件服务器生成密钥对（公钥+私钥）
- 2. 将公钥以TXT记录发布到DNS
- 3. 邮件服务器用私钥对每封邮件签名
- 4. 收件方查询DNS公钥验证签名
三、DMARC：基于域名的消息认证
DMARC（Domain-based Message Authentication, Reporting & Conformance）是SPF和DKIM的"指挥官"。它告诉收件方：如果SPF或DKIM验证失败，该怎么处理这封邮件。
DMARC的三种策略
- p=none：仅监控，不做任何处理（适合初始部署阶段）
- p=quarantine：将未通过认证的邮件放入垃圾邮件箱
- p=reject：直接拒绝未通过认证的邮件（最终目标）
DMARC记录示例
v=DMARC1; p=quarantine; rua=mailto:dmarc@yourdomain.com; pct=100
四、网易企业邮箱的认证实践
网易企业邮箱已全面支持SPF、DKIM、DMARC配置，并在后台提供一键开启功能。管理员无需手动编辑DNS记录，只需在控制台勾选开启，系统会自动生成相应的DNS记录供添加。
此外，网易企业邮箱还提供：
- 邮件伪造检测报告，定期汇总被伪造的邮件情况
- 反钓鱼策略，自动识别并拦截钓鱼邮件
- 发件人信誉评分，帮助监控域名信誉状况
总结
SPF、DKIM、DMARC三层认证是保护企业邮箱域名安全的标配。建议企业按"SPF → DKIM → DMARC(p=none) → DMARC(p=quarantine) → DMARC(p=reject)"的顺序逐步部署，最终实现域名伪造零容忍。
威库宝提供网易企业邮箱DMARC/DKIM/SPF专业配置服务，扫码加微信即可免费咨询方案与优惠报价。
常见问题
DMARC、DKIM、SPF三者必须都配置吗？
建议三者全部配置。SPF声明合法发件IP，DKIM验证邮件完整性，DMARC是总指挥决定验证失败如何处理。三者配合才能彻底杜绝邮件伪造与钓鱼风险。
配置DMARC后邮件发送会受影响吗？
正常配置不会影响合法邮件发送。建议按 p=none（仅监控）→ p=quarantine（隔离）→ p=reject（拒绝）的顺序逐步部署，先观察一个月再收紧策略。
