电子邮件身份验证方法第3部分：什么是DMARC
电子邮件身份验证方法第3部分：什么是DMARC
准备好设置了吗？真的，复制粘贴SPF/DKIM/DMARC记录、dig验证和安全的DMARC推出，请参阅实操指南：电子邮件身份验证，端到端：SPF、DKIM和DMARC与真实配置。
假设某人试图利用你的品牌进行欺诈。好吧，最好的方法就是他们代表你发送电子邮件，充当域名所有者——你！
虽然我们希望这种情况不会真的发生，但只要一个黑客欺骗域名，他们就可以自由地滥用你的客户、潜在客户以及任何拥有电子邮件地址的人。
冒充你作为域名所有者可能会危害你品牌的声誉，导致你的合法电子邮件被标记为垃圾邮件，甚至可能让你的组织面临诉讼。为了确保你的电子邮件收件人能够区分你的电子邮件和欺诈性电子邮件，你需要使用适当的身份验证。
在之前的文章中，我们介绍了电子邮件消息身份验证解决方案的基础知识，这些方案作为一套安全系统来验证电子邮件的真实性。
所指的安全系统是三个众所周知的电子邮件身份验证协议：DKIM（域密钥识别邮件）、SPF（发件人策略框架）和本文的主要焦点：DMARC电子邮件身份验证协议。
什么是DMARC？
DMARC（基于域的消息身份验证、报告和一致性）是一个电子邮件身份验证标准，旨在通过欺骗域名和冒充域名所有者来保护电子邮件发件人和收件人免受发送垃圾邮件和网络钓鱼电子邮件的攻击者的侵害。
这是一个电子邮件身份验证协议，验证发件人IP地址与声称的发件人域所有者，以确定发件人是否真的就是他们声称的样子。
欺骗意味着更改电子邮件的"From"字段，使其看起来像是从冒充的组织或域发送的。它与其他两种电子邮件身份验证方法配合工作并建立在其基础之上：SPF和DKIM。
DMARC通过允许发件人发布策略的协议来增强其他身份验证方法，从接收方的电子邮件处理中消除猜测，并为接收方提供向发件人发送有关通过或未通过DMARC评估的消息的报告的手段。
DMARC如何工作？
DMARC是一个电子邮件身份验证标准，旨在通过冒充域名来保护电子邮件发件人和收件人免受发送垃圾邮件和网络钓鱼电子邮件的攻击者的侵害。
它与另外两种身份验证方法一起工作：DKIM和SPF。要了解什么是DKIM和SPF，以及如何实现它们，请阅读我们关于什么是DKIM？和什么是SPF记录？的文章
要理解DMARC的功能并回答"什么是DMARC？"和"DMARC如何工作？"这些问题，必须理解它与DKIM和SPF的集成。
DMARC需要事先实现DKIM或SPF。
与DKIM和SPF类似，DMARC使用DNS记录来指定在电子邮件身份验证失败时的操作以及如何准确报告此类事件。DMARC引入了"域对齐"的概念来增强电子邮件身份验证。
虽然SPF验证信封发件人字段，但DMARC要求From字段（对电子邮件收件人可见）中的域与SPF的信封发件人字段之间对齐。
对于DKIM，需要From字段中的域与DKIM签名字段中d=和s=标记中指定的域之间对齐。这种对齐确保了全面的验证过程，减少了欺骗电子邮件的可能性。
有关DMARC的快速"小白"指南，请观看下面的PowerDMARC视频。
什么是DMARC记录？
DMARC记录在实现DMARC身份验证中是一个重要组成部分。这个被称为DMARC记录的TXT记录在域名的DNS（域名系统）中的子域标签"dmarc"下发布（例如，dmarc.yourdomain.com）。
DMARC记录由一组关键指令和规范组成，指导电子邮件身份验证失败的处理以及促进适当的报告程序。
带有name=value标记的DMARC记录在定义与DMARC身份验证相关的策略和操作方面起着关键作用。这些标记与SPF和DKIM记录类似，为邮件服务器提供明确的指令，说明如何处理未通过身份验证检查的消息。
在设置DMARC记录时，必须考虑以下元素，封装在DMARC记录本身中：
版本(v)
v标记表示正在使用的DMARC版本，例如"v=DMARC1."策略(p)
p标记描述了处理身份验证失败的DMARC策略。它可以假设三个值之一："none"（表示无操作但报告失败）、"quarantine"（表示隔离失败的消息）或"reject"（表示拒绝失败的消息）。子域策略(sp)
sp标记为属于DMARC记录中指定的域的子域建立策略。它具有与策略标记相同的可能值。百分比(pct)
pct标记确定受所定义策略约束的未认证电子邮件的百分比。例如，"pct=100"意味着该策略适用于所有未认证的电子邮件。报告URI聚合(rua)
rua标记指定应将聚合DMARC报告发送到的URI（电子邮件地址）。这些报告提供有关收到的消息的统计数据。报告URI取证(ruf)
ruf标记允许包含可以转发有关失败电子邮件身份验证的取证报告或实时报告的URI。
确保DMARC记录中的正确格式和期望策略和报告机制的准确表示是最重要的。
强烈建议定期监控DMARC报告，因为它可以评估电子邮件身份验证性能并促进必要的调整以增强总体安全性。
总之，DMARC记录是实现DMARC身份验证的重要组成部分。通过准确配置和维护，域名所有者可以在DMARC记录的帮助下显著增强其电子邮件通信的安全性和可靠性。
DMARC记录充当指导框架，指导邮件服务器或多台邮件服务器采取适当的操作和报告协议。
为电子邮件身份验证实现DMARC
要实现DMARC，域名所有者必须在DNS中发布一个TXT记录，子域名标签为"dmarc"（例如，dmarc.yourdomain.com）。此TXT记录由分号分隔的name=value标记组成，类似于SPF和DKIM记录。
例如：
在此示例中，v标记代表版本，p表示策略，sp定义子域策略，pct指定受该策略约束的未认证电子邮件的百分比，rua表示发送聚合DMARC报告的URI。
包含有关接收消息的统计数据的聚合报告将发送到dmarcreports@yourdomain.com。关于失败电子邮件身份验证的取证报告或实时报告也可以使用ruf标记包含。
逐步增强DMARC策略
建议在实现和增强DMARC策略时采取逐步方法。从放宽的DMARC策略开始并监控DMARC报告允许系统地增强电子邮件身份验证。
DMARC提供三个策略值：
none 此入门级DMARC策略不采取任何特定操作，如果消息未通过身份验证。但是，它在反馈报告中指定消息未通过身份验证。
quarantine 通过此策略，未通过身份验证的消息将被隔离，通常将其发送到收件人的垃圾邮件文件夹。这对欺诈或可疑电子邮件提供了更高级别的保护。
reject 拒绝DMARC策略会直接拒绝未通过身份验证的消息，防止它们传递到收件人的收件箱。此策略提供最严格的保护级别。
此外，pct标记允许指定该策略适用的电子邮件百分比。任何剩余的消息将受到较不严格的策略（如果指定了p=quarantine则为none，如果指定了p=reject则为quarantine）的约束。
DMARC部署考虑因素
部署DMARC时，需要记住几个重要的考虑因素：
逐步策略执行 建议从"
none"策略开始，在转移到更严格的策略（如"quarantine"或"reject"）之前仔细监控DMARC报告。这种逐步方法允许组织在没有合法电子邮件被阻止或未妥善传递的风险的情况下识别和解决任何身份验证问题。子域对齐 DMARC引入了域对齐的概念，要求From字段与SPF身份验证的信封发件人字段之间对齐，以及DKIM的DKIM签名字段中的域。重要的是确保适当的对齐，以最大化DMARC在防止电子邮件欺骗方面的有效性。
策略百分比 DMARC记录中的"
pct"标记允许组织指定应遵守已定义策略的电子邮件百分比。必须仔细考虑此设置以在严格执行和逐步实现之间取得平衡。定期监控和调整 组织应定期审查DMARC报告，分析数据，并对其电子邮件身份验证设置进行必要的调整。监控DMARC报告有助于识别任何异常、潜在的安全威胁或需要关注的配置问题。
为什么DMARC很重要？
DMARC向电子邮件身份验证过程添加了两个看似很小但至关重要的元素：
域对齐
清晰的报告
请注意，即使DMARC也不能保护收件人免受从看起来像你的域名的其他域名发送的欺诈电子邮件（例如d0ma1n.com与domain.com），但如果你为你的域名添加DMARC，它应该至少有助于你的合法电子邮件找到收件人的收件箱的方式。
实现DMARC为电子邮件发件人带来多项好处。通过利用DMARC，组织可以：
保护品牌声誉 DMARC有助于防止电子邮件欺骗和网络钓鱼攻击，这可能会损害公司的声誉。通过对电子邮件进行身份验证，DMARC确保收件人可以信任发件人的身份，并区分合法电子邮件和欺诈电子邮件。
改善电子邮件可交付性 DMARC通过减少合法电子邮件被标记为垃圾邮件或网络钓鱼尝试的机会来帮助改善电子邮件可交付性率。当电子邮件接收者看到一个域名已实现DMARC且电子邮件通过了身份验证时，他们更可能将电子邮件发送到收件人的收件箱。
接收可操作的报告 DMARC以聚合报告的形式提供反馈，提供关于电子邮件身份验证失败的有价值的见解。这些报告可以帮助组织识别其电子邮件身份验证设置的问题，并采取纠正措施来增强其安全措施。
DMARC通过引入域对齐和提供清晰的报告机制在电子邮件身份验证中发挥重要作用。它增强了你的域名的总体安全性，并帮助保护你的品牌声誉。
虽然DMARC无法防止从模仿你的其他域发送的欺诈电子邮件，但实现DMARC增加了合法电子邮件到达收件人收件箱的可能性。
通过对齐域字段并逐步加强身份验证策略，你可以最小化基于电子邮件的欺诈风险，维护积极的品牌形象，并改善重要消息的可交付性。
通过将DMARC与DKIM（域密钥识别邮件）和SPF身份验证（发件人策略框架）结合使用，你建立了强大的电子邮件身份验证框架，增强了电子邮件通信的安全性和可信度。
就这样，我的朋友们，DMARC解释了！
Mailer To Go是否支持DMARC？
绝对是的！Mailer To Go支持DMARC和DMARC记录。
DMARC不是按电子邮件服务设置的，而是为你的整个域设置的。我们建议首先向你的域添加DMARC TXT记录，其值告诉电子邮件服务器仅向你发送聚合报告，以便你了解你为所有电子邮件发送机制设置身份验证方法的效果如何。
以下值指示服务器仅向dmarc@yourdomain.com发送聚合报告：
"v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com;"
阅读有关电子邮件身份验证方法的更多信息
常见问题
什么是DMARC？
DMARC代表基于域的消息身份验证、报告和一致性，是一个电子邮件身份验证协议，验证发件人IP地址与声称的发件人域的所有者。它旨在使电子邮件域名所有者能够保护其域名免受未经授权的使用，这通常被称为电子邮件欺骗。
DMARC的目的是什么？
DMARC的目的是防止欺骗电子邮件。欺骗消息看起来来自被冒充的组织或域。DMARC还允许你请求来自从你的域获取消息的电子邮件服务器的报告，提供对你的电子邮件生态系统的可见性。
DMARC如何工作？
DMARC使域名所有者能够指定收件人的邮件服务器应如何处理未通过SPF和DKIM验证检查的电子邮件。它还为域名所有者提供了一种关于这些操作的报告回复机制。
使用DMARC的好处是什么？
DMARC为你的公司域名提供电子邮件保护并让你完全控制电子邮件传递。它有助于防止电子邮件欺骗、网络钓鱼和其他基于电子邮件的攻击。它还通过确保合法电子邮件被正确认证来改善电子邮件可交付性。
如何设置DMARC？
设置DMARC涉及在域名的DNS记录中创建DMARC记录。此记录包括你的DMARC策略，指定邮件服务器应如何处理未通过DMARC检查的邮件。像Mailer To Go这样的事务性电子邮件服务提供商可以协助你为域名设置和管理DMARC。
DMARC中的报告是什么？
DMARC中的报告是一项功能，允许你跟踪电子邮件的身份验证状态和传递失败。它提供了有关代表你的域发送电子邮件的人员的有价值的见解，这可以帮助识别合法发件人以及潜在的欺诈活动。
请记住，实现DMARC是保护电子邮件域名和改善电子邮件可交付性的关键步骤。