killvxk 实施 DMARC、DKIM 和 SPF 邮件安全
概述
SPF、DKIM 和 DMARC 是邮件认证的三大支柱。三者共同防止域名伪造、验证消息完整性并定义处理未认证邮件的策略。正确实施可显著减少冒充组织域名的钓鱼攻击。
前置条件
- 域名的 DNS 管理访问权限
- 邮件服务器/MTA 配置访问权限（Postfix、Exchange、Google Workspace、Microsoft 365）
- 对 DNS TXT 记录的基本了解
- Python 3.8+ 用于验证脚本
核心概念
SPF（发件人策略框架）
发布 DNS TXT 记录，列出被授权代表您的域名发送邮件的 IP 地址和邮件服务器。接收服务器根据此列表检查信封发件人的 IP。
DKIM（域名密钥识别邮件）
使用私钥向外发邮件添加加密签名。相应的公钥在 DNS 中发布。接收方验证签名以确保消息在传输过程中未被篡改。
DMARC（基于域名的消息认证、报告和一致性）
基于 SPF 和 DKIM 构建，为认证失败的消息指定策略（none/quarantine/reject），并提供监控伪造尝试的报告机制。
实施步骤
步骤一：审计当前状态
# 检查现有 SPF 记录
dig TXT example.com | grep spf
# 检查现有 DKIM 选择器
dig TXT selector1._domainkey.example.com
# 检查现有 DMARC 记录
dig TXT _dmarc.example.com
步骤二：实施 SPF
# example.com 的 DNS TXT 记录
v=spf1 ip4:203.0.113.0/24 include:_spf.google.com include:spf.protection.outlook.com -all
关键 SPF 机制：
ip4:/ip6:— 授权特定 IP 范围include:— 包含另一个域的 SPF 记录a— 授权域名的 A 记录 IPmx— 授权域名的 MX 记录 IP-all— 硬拒绝其他所有（推荐）~all— 软拒绝（监控阶段）
步骤三：实施 DKIM
# 生成 DKIM 密钥对（2048 位 RSA）
openssl genrsa -out dkim_private.pem 2048
openssl rsa -in dkim_private.pem -pubout -out dkim_public.pem
# 格式化公钥用于 DNS（删除头部，合并行）
grep -v "PUBLIC KEY" dkim_public.pem | tr -d '\n'
selector1._domainkey.example.com 的 DNS TXT 记录：
v=DKIM1; k=rsa; p=MIIBIjANBgkqhki...
步骤四：实施 DMARC
# _dmarc.example.com 的 DNS TXT 记录
# 阶段 1（监控）：
v=DMARC1; p=none; rua=mailto:dmarc-aggregate@example.com; ruf=mailto:dmarc-forensic@example.com; pct=100
# 阶段 2（隔离）：
v=DMARC1; p=quarantine; rua=mailto:dmarc-aggregate@example.com; pct=25
# 阶段 3（拒绝）：
v=DMARC1; p=reject; rua=mailto:dmarc-aggregate@example.com; pct=100
步骤五：监控和分析 DMARC 报告
使用 scripts/process.py 解析 DMARC 聚合 XML 报告，识别认证失败、未授权发件人和伪造尝试。
工具与资源
- MXToolbox: https://mxtoolbox.com/SuperTool.aspx
- DMARC Analyzer（dmarcian）: https://dmarcian.com/
- Google Postmaster Tools: https://postmaster.google.com/
- Valimail DMARC Monitor: https://www.valimail.com/
- DMARC Report Analyzer: https://dmarc.postmarkapp.com/
验证
- SPF 记录在 mxtoolbox.com 上通过验证
- DKIM 签名在测试邮件上得到验证
- DMARC 记录格式正确且已启用报告
- 测试邮件在收件人的 Authentication-Results 标头中通过所有三项检查