电子邮件防伪：SPF, DKIM与DMARC
内容提要
电子邮件防伪技术包括SPF、DKIM和DMARC，通过验证发件人域名、加密签名和报告机制来保护域名不被滥用。DMARC还提供报告，帮助发件人优化邮件发送策略。
延伸解读
SPF与DKIM的独立局限
SPF仅验证邮件信封上的Return-Path域名，不检查邮件头部的From地址，攻击者可伪造From地址使SPF通过。DKIM允许使用任何域名签名，攻击者可用自己的域名签名，但无法确保From地址的真实性。单独使用SPF或DKIM存在被利用的风险，需结合DMARC的对齐机制来弥补。
DMARC对齐机制的作用
DMARC通过对齐要求确保SPF验证的域名和/或DKIM签名的域名与From头部域名一致。对齐分为宽松和严格模式：宽松模式下子域名可通过验证，严格模式要求完全匹配。这防止了攻击者利用SPF和DKIM的漏洞伪造发件人地址，提升了邮件认证的可靠性。
DMARC策略与报告的实际应用
DMARC策略可设置为none、quarantine或reject，分别对应不处理、标记垃圾邮件或直接拒绝未通过验证的邮件。同时，DMARC支持聚合报告，帮助域名所有者了解邮件发送情况。通过分析报告，可以优化邮件发送策略，逐步调整策略至更严格级别，减少合法邮件被误判的风险。
Q&A
SPF 是如何防止电子邮件伪造的？
SPF 允许域名管理员在 DNS 中发布 SPF 记录，指定哪些邮件服务器被授权使用该域名发送邮件。接收邮件服务器会检查邮件 Return-Path 中的域名，并对照 SPF 记录验证发件服务器是否在授权 IP 段内，从而防止伪造。
DKIM 签名包含哪些关键字段？
DKIM 签名头包含版本(v)、签名算法(a)、规范化方式(c)、签名域名(d)、被签名的头字段(h)、选择器(s)、签名时间戳(t)、过期时间戳(x)、正文哈希(bh)和签名(b)等字段。
DMARC 策略有哪些选项，分别代表什么？
DMARC 策略有三种：none（不采取任何行动）、quarantine（将邮件标记为垃圾邮件或移到垃圾邮件文件夹）、reject（拒绝邮件）。域名所有者通过 DNS 中的 DMARC 记录配置策略，指示接收方如何处理未通过 SPF 或 DKIM 验证的邮件。
DMARC 中的对齐机制是什么？
对齐机制要求邮件的发件人域名与 SPF 验证中的 Return-Path 域名和/或 DKIM 签名中的 d= 域名保持一致，以防止攻击者伪造 From 头部。对齐分为宽松模式（允许子域名）和严格模式（必须完全匹配），可通过 aspf 和 adkim 设置。
DMARC 报告有什么作用？
DMARC 报告帮助域名所有者了解使用其域名发送邮件的验证情况及未经授权的使用情况。接收方会定期向 DMARC 记录中指定的邮箱发送聚合报告（通常为 XML 格式），域名所有者可据此分析和优化邮件发送策略。
SPF 和 DKIM 单独使用有什么漏洞？
SPF 只检查邮件信封上的发件人地址（Return-Path），不检查邮件头部的 From 地址，攻击者可伪造 From 地址使 SPF 通过；DKIM 允许使用任何域名签名，攻击者可用自己的域名签名，无法确保 From 地址真实性。DMARC 通过对齐机制弥补这些漏洞。
