邮件安全三件套的防护价值

为什么认真写的商务邮件总进对方垃圾箱？更麻烦的是，客户还收到过冒用你域名发来的催款信。两个症状指向同一个根：域名没配齐邮件防伪三件套。SPF、DKIM、DMARC 各管一段，合起来才能把冒名发信挡在门外。 一、SPF：声明谁能替你发信 SPF（发件人策略框架）是一条 TXT 解析记录，声明哪些服务器有权以你的域名发信，收方据此核验来源。记录示例：v=spf1 ip4:203.0.113.10 include:_spf.example.net -all。结尾的 -all 表示名单之外一律拒绝，比温和的 ~all 收得紧。名单要列全所有真实发信源——自建服务器、第三方发信平台都得在列，漏一个就误伤自己的正常邮件。查现状一条命令：dig TXT 你的域名，记录过长会被拆成多段，每段不超过二百五十五个字符，拼接顺序不能错。 二、DKIM：给每封信盖签名章 DKIM（域名密钥识别邮件）由发信服务器对邮件内容做数字签名，公钥放在 DNS 记录里，收方验签确认两件事：邮件中途没被篡改，签名域名真实。SPF 验的是"从哪台机器来"，DKIM 验的是"内容还是原样"，两者互补，缺一个都有绕过的空间。换发信平台或新增发信机器时，两套记录要同步更新，漏更新的典型症状是自己的正常邮件被自己配的策略拦下。 三、DMARC：定规则、收报告 DMARC 基于前两者的核验结果告诉收方怎么处置：v=DMARC1; p=quarantine; rua=mailto:dmarc@example.net 表示验不过的进垃圾箱，并把聚合报告发到指定邮箱。上线节奏建议分三步：先 p=none 只观察不处置；看一两周报告，确认所有合法发信源都验得过；再收紧到 quarantine，稳定后升到 reject。一步到位直接 reject，误伤的概率不小。 四、报告要有人看 rua 聚合报告每周汇总一次，能看到哪些来源在冒用你的域名、各自占比多少——这是判断何时收紧的直接依据，也是发现冒名行为的早期信号。报告没人认领，三件套就只配了一半。 三件套的配置都落在 DNS 记录层面，一个下午能配完。配完之后送达率与防冒名两头受益，是性价比很高的一笔安全投入。