killvxk 执行 DMARC 策略执行推进
概述
基于域名的消息认证、报告和一致性（DMARC）是邮件防欺骗保护的基石。DMARC 推进经历三个阶段：监控（p=none）、隔离（p=quarantine）和完全执行（p=reject）。配置为 p=reject 时，同时未通过 SPF 和 DKIM 检查的任何邮件都将被直接拒绝。Google 和 Yahoo 现在要求批量发件人（5000 封以上邮件）使用 DMARC，推动未认证消息减少了 65%。安全部署通常需要 3-6 个月。
前置条件
- 对域名 DNS 管理的管理员访问权限
- 了解 SPF、DKIM 和 DMARC 协议（RFC 7208、6376、7489）
- 完整的所有合法邮件发件来源清单
- DMARC 报告分析工具（EasyDMARC、DMARCLY、Valimail 或 dmarcian）
- 具备 DMARC 执行能力的邮件网关
核心概念
DMARC 策略级别
| 策略 | 行为 | 使用场景 |
|---|---|---|
| p=none | 仅监控，对失败不采取操作 | 发现阶段 |
| p=quarantine | 将失败邮件发送到垃圾邮件/垃圾箱 | 过渡阶段 |
| p=reject | 完全封锁失败邮件 | 完全执行 |
DMARC 记录结构
v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc-agg@company.com; ruf=mailto:dmarc-forensic@company.com; adkim=r; aspf=r; fo=1
- p：组织域名的策略
- sp：子域名的策略
- pct：受策略约束的消息百分比（用于逐步推进）
- rua：聚合报告目标（每日 XML 报告）
- ruf：取证报告目标（每次失败的报告）
- adkim：DKIM 对齐模式（r=宽松，s=严格）
- aspf：SPF 对齐模式（r=宽松，s=严格）
- fo：失败报告选项（0=两者都失败，1=任一失败）
SPF 和 DKIM 对齐
- SPF 对齐：Return-Path（信封发件人）中的域名必须与 From 头部域名匹配
- DKIM 对齐：DKIM 签名中的 d= 域名必须与 From 头部域名匹配
- 宽松：组织域名匹配（sub.example.com 匹配 example.com）
- 严格：需要精确域名匹配
实施步骤
步骤一：清点所有发件来源（第 1-2 周）
- 审计所有以您的域名发送邮件的系统（营销、CRM、工单、交易邮件）
- 记录第三方服务：Salesforce、Mailchimp、SendGrid、Zendesk 等
- 识别内部邮件服务器、应用程序和中继主机
- 检查影子 IT 邮件发送（部门使用未授权服务）
步骤二：配置 SPF 和 DKIM（第 2-4 周）
- 整合 SPF 记录，包含所有合法发件 IP 和 include 机制
- 确保 SPF 记录保持在 10 次 DNS 查询限制以内
- 为每个发件来源生成并发布 DKIM 密钥
- 验证 DKIM 签名对所有出站邮件路径有效
- 使用 MX Toolbox 或 dmarcian SPF/DKIM 验证器进行测试
步骤三：以监控模式部署 DMARC（第 4-6 周）
- 发布初始 DMARC 记录：
v=DMARC1; p=none; rua=mailto:dmarc@company.com; fo=1 - 等待 1-2 周收集有代表性的聚合报告
- 分析报告以识别未授权发件人和对齐失败
- 修复所有显示失败的合法来源的 SPF/DKIM
- 持续迭代直至所有合法邮件通过 DMARC
步骤四：使用 pct 标签切换到隔离模式（第 6-12 周）
- 更新为 10% 隔离：
v=DMARC1; p=quarantine; pct=10; rua=... - 监控误报（合法邮件被隔离）
- 逐步提高 pct：10% -> 25% -> 50% -> 75% -> 100%
- 每次提高：等待 1-2 周并在推进前审查报告
- 修复每个阶段发现的剩余对齐问题
步骤五：推进至拒绝策略（第 12-20 周）
- 在 100% 稳定隔离后，切换至 10% 拒绝：
v=DMARC1; p=reject; pct=10; rua=... - 逐步提高 pct：10% -> 25% -> 50% -> 100%
- 密切监控合法邮件是否被拒绝
- 建立紧急回滚流程（恢复至隔离模式）
- 应用子域名策略：
sp=reject
步骤六：持续监控和维护
- 持续监控 DMARC 聚合报告
- 在新发件来源开始发送前将其添加进来
- 审查取证报告中的欺骗尝试
- 随发件基础设施变化维护 SPF 记录
- 每年轮换 DKIM 密钥
工具与资源
- EasyDMARC：带有聚合/取证报告分析的 DMARC 监控仪表板
- DMARCLY：具备自动 DNS 更新的 SPF、DKIM、DMARC 监控
- dmarcian：DMARC 部署和管理平台
- Valimail：带托管认证的自动化 DMARC 执行
- MX Toolbox：DNS 记录查询和 DMARC 验证器
- Google 管理工具箱：DMARC 检查和诊断工具
验证
- DMARC 记录已发布并在 _dmarc.domain.com 正确解析
- 所有合法发件来源通过 SPF 和/或 DKIM 对齐
- 聚合报告显示超过 99% 的合法邮件通过 DMARC
- 来自未授权发件人的伪造邮件被拒绝
- 完全 p=reject 执行后无合法邮件被封锁
- 子域名策略（sp=）也设置为 reject