dmarc

基于域的邮件验证、报告和一致性（DMARC) 这个规范旨在减少邮件滥用（例如通过伪造邮件的“From:”
报头来篡改原件的入站垃圾邮件和网络钓鱼邮件。 DMARC 帮助域拥有者使用“域名系统”（DNS）来向收件服务器告知其 DMARC
策略，例如他们希望这些服务器如何处理自称来自他们域但无法验证实际来源的邮件。 收件服务器在处理入站邮件时通过 DNS
查询检索到的这个策略可以向服务器表明应该隔离或拒收不符合这个策略的邮件，或根本不采取任何操作（例如继续照常处理邮件）。 除了这个策略以外，该域的
DMARC DNS 记录也可以包含服务器请求来向某人发送 DMARC
报告、概述自称来自此域的入站邮件的总数、它们是否通过验证、以及任何失败的详细信息。 DMARC
的报告功能在确定您的邮件验证流程是否有效，以及伪造邮件使用您域名的频率时极其有用。

在“安全设置”对话框的“发件人验证”部分中，提供以下三个部分供您配置 MDaemon 的 DMARC 验证和报告功能： DMARC 验证、DMARC 报告和 DMARC 选项。

DMARC 验证

作为 DMARC 验证流程的一部分，MDaemon 对在每封入站邮件的“From:” 报头中找到的域执行 DMARC DNS 查询。 这用来确定该域是否使用 DMARC，如果使用了 DMARC 则检索其“DMARC DNS 记录”,其中包含了它的策略和其他 DMARC 相关信息。 此外，DMARC 使用 SPF 和 DKIM 来验证每封邮件，并要求它至少通过一项测试来通过 DMARC 验证。 如果该邮件通过验证，则按照 MDaemon
其余投递和过滤流程来照常处理这封邮件。 如果未通过验证，则取决于该域的 DMARC 策略以及您对于 MDaemon
如何处理这些邮件的配置来确定该邮件的命运。

如果一封邮件未通过 DMARC 验证，而且 DMARC 域拥有一个“p=none”策略，则不会采取任何惩罚性操作并照常处理这封邮件。 相反，当 DMARC 域拥有一个存在限制的策略，例如“p=quarantine”或“p=reject”，MDaemon 可以有选择性地将该邮件自动过滤到接收用户垃圾邮件的文件夹。 您也可以选择在该域使用“p=reject”策略时，让 MDaemon 完全拒收未通过验证的邮件。 对于使用限制性策略且未通过验证的邮件，MDaemon 将取决于策略插入“X-MDDMARC-Fail-policy: quarantine”或“X-MDDMARC-Fail-policy: reject”报头。 这帮助您使用“内容过滤器”，基于这些报头来执行一些操作，例如将该邮件发送至特定的文件夹进行审核。

建议默认情况下为大多数 MDaemon 配置启用 DMARC 验证。

DMARC 报告

在
MDaemon 查询 DNS 是否存在 DMARC 记录时，该记录可能包含一些标签，指示域的拥有者是希望接收与声称来自此域邮件相关的
DMARC 综合报告还是故障报告。 “DMARC 报告”屏幕上的一些选项供您用来指定是否希望发送请求的报告类型，并指定这些报告应该包含的元数据。
将在每晚午夜（UTC）发送综合报告，将按邮件来发送故障报告，因为每个发生的事件将触发这个报告。 报告以打包压缩（ZIP）的 XML
文件附件形式发送，而且在线提供各种分析工具，帮助收件人更简便地进行查看。

默认情况下 MDaemon 不发送综合或故障报告。 如果您希望发送这些报告，请在“DMARC 报告”屏幕上启用相应的选项。

DMARC 选项

“DMARC 选项”屏幕包含各种选项，例如在 DKIM 报告中包含特定信息、记录 DMARC DNS 记录、以及更新 MDaemon 用于 DMARC 的“公共后缀”文件。

DMARC 验证和邮件列表

因为 DMARC 的目的在于确保在邮件“From:” 报头中找到的域不被伪造，必须允许发件服务器代表该域来发送邮件。 这会给邮件列表带来一个问题，因为列表通常代表来自外部域的列表成员来分发邮件，并使“From:” 报头保持不变。 这就意味着在收件服务器尝试对这些邮件使用 DMARC 验证时，邮件会被不关联“From:”
报头域的服务器发送。 如果 DMARC 域正好使用了存在限制的 DMARC 策略，这会导致邮件被隔离甚至被收件服务器拒收。
在某些情况下，这会导致从列表的成员中删除收件人。 为了避免这个问题，在 MDaemon 发现列表邮件来自使用了受限 DMARC
策略的域时，MDaemon 将使用邮件列表的地址来替换“From:” 报头。 此外，您也开始配置 MDaemon 在列表邮件来自存在受限策略的域时，拒收这些邮件。 后者使所在域使用了受限策略的用户能够向列表发送邮件。 用来替换“From:” 报头的选项位于邮件列表编辑器的“报头”屏幕。 用来拒收邮件的选项位于“设置”屏幕。

为您的 MDaemon 域使用 DMARC

如果您希望为您自己的域使用
DMARC，这就意味着您希望支持 DMARC 的收件服务器使用 DMARC 来验证声称由您发送的邮件，您首先必须确保您已为该域创建了格式正确的
SPF 和 DKIM DNS 记录；而且您必须使这些选项正确工作来使用 DMARC。 如果您正在使用 DKIM，您也要配置 MDaemon
的“DKIM 签名”选项来签署该域的邮件。 此外，您必须为该域创建一个 DMARC DNS 记录。 通过查询 DNS 是否存在这个拥有特殊格式的 TXT 记录，收件服务器可以确定您的 DMARC 策略和各种可选的参数，例如： 您使用的验证模式、您是否希望接收综合报告、应接收报告的邮件地址等。

一旦您正确配置了
DMARC 并开始接收 DMARC XML 报告，您可以使用大量在线工具来阅读这些报告并诊断任何潜在的问题。 方便起见，在
\MDaemon\App\ 文件夹中还为您提供一个 DMARC Reporter 工具。 请参阅 DMARCReporterReadMe.txt
来获得使用说明。

定义 DMARC TXT 资源记录

以下是 DMARC 记录常用组件的基本概述。 要获得更多详细信息或有关高级配置的更多信息，请参阅： www.dmarc.org.

拥有者字段

DMARC 资源记录的“拥有者”（也叫做“姓名”或“左侧”）字段必须始终为 _dmarc，如果您希望指定该记录应用到的域或子域，也可以采用 _dmarc.domain.name 这种形式。

示例：

域 example.com 的 DMARC 记录

_dmarc IN TXT “v=DMARC1;p=none”

该记录将应用于发自 user@example.com 或子域为 example.com 的电子邮件，例如 user@support.example.com、user@mail.support.example.com 等。

_dmarc.support.example.com IN TXT “v=DMARC1;p=none”

该记录仅应用于发自 user@support.example.com 的电子邮件，不应用于发自 user@example.com 的电子邮件。

_dmarc.support IN TXT “v=DMARC1;p=none”

该记录将应用于发自： user@support.example.com、user@a.support.example.com、user@a.b.support.example.com 等的电子邮件。

DMARC 记录标签和值

必需标签

额外标签

以下列出的所有标签都是可选标签。 如果未在记录中使用任何这些标签，则假定其默认值。

要了解有关 DMARC 规范的更多扩展信息，请参阅： www.dmarc.org。

创建记录

在 SPF 和 DKIM 就绪后，您就可以通过 TXT 记录的形式向您的网域的 DNS 记录添加策略，以配置 DMARC（就像对 SPF 或 ADSP 执行的操作一样）。

TXT 记录的名称应该是“_dmarc.your_domain.com.”，其中“your_domain.com”替换为您的实际域名。

下面是 DMARC TXT 记录中的常用标记：

标记名称	必填	用途	样例
v	必需	协议版本	v=DMARC1
p	必需	域的策略	p=quarantine
pct	可选	要过滤的邮件百分比	pct=20
rua	可选	汇总报告的报告 URI	rua=mailto:aggrep@example.com
sp	可选	该域的子域的策略	sp=reject
aspf	可选	SPF 的匹配模式	aspf=r

有关其他可用标记，请参阅 DMARC 标记注册表。

 

只有 v（版本）和 p（策略）标记是必需的。有三种策略设置（或邮件处置设置）可供选用：

• 无 – 不采取任何行动。仅在每日报告中记录受影响的邮件。
• 隔离 – 将受影响的邮件标记为垃圾邮件。
• 拒绝 – 在 SMTP 层撤销邮件。

匹配模式指发件人记录与 SPF 和 DKIM 签名相比的一致程度，有两个可能的值：宽松或严格，分别以“r”和“s”表示。简言之，“宽松”允许部分匹配（例如给定网域的子域），而“严格”要求完全匹配。

请务必在可选的 rua 标记中填入您的电子邮件地址，以接收每日报告。

每日报告采用
XML 格式。阅读该报告可以更好地了解邮件流情况。此外，报告还可以帮助您确保对出站邮件源进行正确的身份验证。如果不同 IP
地址发送声称来自您网域的邮件，请确保这些 IP 地址确实合法，并使用 DKIM 对其进行正确配置，或将其添加到相应的 SPF
范围内。如果新的邮件源上线但管理员设置了拦截策略，或者现有邮件源的配置出现问题，此时报告还可以帮助管理员快速采取措施。

下面是一份报告的摘录，显示了从两个 IP 地址发送的邮件的结果，一封邮件为直接发送，另一封为转发。两封邮件均成功发送：

 <record>
 <row>
 <source_ip>207.126.144.129</source_ip>
 <count>1</count>
 <policy_evaluated>
 <disposition>none</disposition>
 </policy_evaluated>
 </row>
 <identities>
 <header_from>stefanomail.com</header_from>
 </identities>
 <auth_results>
 <dkim>
 <domain>stefanomail.com</domain>
 <result>pass</result>
 <human_result></human_result>
 </dkim>
 <spf>
 <domain>stefanomail.com</domain>
 <result>pass</result>
 </spf>
 </auth_results>
 </record>
 <record>
 <row>
 <source_ip>207.126.144.131</source_ip>
 <count>1</count>
 <policy_evaluated>
 <disposition>none</disposition>
 <reason>
 <type>forwarded</type>
 <comment></comment>
 </reason>
 </policy_evaluated>
 </row>
 <identities>
 <header_from>stefanomail.com</header_from>
 </identities>
 <auth_results>
 <dkim>
 <domain>stefanomail.com</domain>
 <result>pass</result>
 <human_result></human_result>
 </dkim>
 <spf>
 <domain>stefanomail.com</domain>
 <result>pass</result>
 </spf>
 </auth_results>
 </record> 

逐步部署

我们强烈建议您按照以下操作顺序应用策略，逐步增加 DMARC
的使用。首先，监控您的流量，并查找报告中的异常之处，例如仍没有签名或可能经过伪装的邮件。在您对结果感到满意之后，将 TXT
记录策略设置从“无”改为“隔离”。然后，再次查看结果，这次要检查垃圾邮件的捕获情况及每日 DMARC
报告。最后，在确信您的所有邮件都已签名之后，将策略设置改为“拒绝”，以充分利用 DMARC。重新查看报告，以确保结果如您所愿。

类似地，可选的
pct 标记也可以用来对 DMARC 进行分步部署和采样。因为默认值为 100%，所以，如果在 DMARC TXT
记录中采用“pct=20”，则系统只对所有受该策略影响的邮件中的五分之一（而不是全部）真正执行此操作。在您选择隔离和拒绝邮件时，此设置非常有用。在开始时设置一个较低的百分比，然后每隔几天逐步增加。

因此，比较慎重的完整部署过程应该像下面这样：

1. 全部监控。
2. 隔离 1%。
3. 隔离 5%。
4. 隔离 10%。
5. 隔离 25%。
6. 隔离 50%。
7. 全部隔离。
8. 拒绝 1%。
9. 拒绝 5%。
10. 拒绝 10%。
11. 拒绝 25%。
12. 拒绝 50%。
13. 全部拒绝。

尝试尽快删除百分比，以完成整个部署。

请记得照常查看每日报告

Source: https://www.xiaoyu.net/1144.html