DMARC 如何判定
SPF 和 DKIM 分别证明与域名有关的信息，但两者都不会检查 From 行中的地址，而这是人们实际看到的地址。DMARC 将它们与该地址关联起来。当 SPF 或 DKIM 对与 From 域名匹配的域名验证通过时，邮件就会通过 DMARC。DMARC 记录还会告诉接收方如何处理未通过验证的邮件。
该记录以 TXT 记录形式存储在 DNS 中，名称为 _dmarc 加上你的域名。如果该名称下没有记录，接收方会改为查询组织域，也就是注册域，例如 news.example.com 的组织域是 example.com。因此，子域即使没有自己的记录，也可以受到保护。
如何解读 DMARC 策略
p=none 要求接收方不采取任何处理措施，只发送报告。所有域名都应该从这里开始，但有太多域名多年停留在这一策略。使用该策略期间，任何人都可以在 From 行中使用你的域名发送邮件，而接收方得到的指示是允许邮件通过。
p=quarantine 会将验证失败的邮件发送到垃圾邮件文件夹，p=reject 会直接拒收。自 2024 年 2 月起，Gmail 和 Yahoo 要求批量发件人发布 DMARC 记录。使用 p=none 的记录在形式上符合该要求，但检查工具仍会将其标记为警告。
为什么收不到 DMARC 报告
默认情况下，每个看到你邮件的接收方每天都会向 rua 地址发送一份汇总报告。如果某个地址所在的域名与该记录对应的域名不同，RFC 7489 要求另一个域名发布授权记录，声明它接受针对你的域名的报告。检查工具会为每个外部地址查询该记录。如果没有授权记录，接收方会丢弃这些报告。
常见问题
如何添加 DMARC 记录？
在 _dmarc 加上你的域名的位置发布一条 TXT 记录，其中包含 v=DMARC1 和一项策略，例如 v=DMARC1; p=none; rua=mailto:dmarc@example.com。先使用 p=none，查看几周的报告，然后改为 quarantine，之后再改为 reject。DNS 获取到该记录后，在这里检查记录。
p=none 不好吗？
作为第一步，它能够完成任务：在不影响邮件投递的情况下收集报告，帮助你找出那些以你的名义发送邮件但尚未通过身份验证的服务。如果一直使用 p=none，就会成为问题，因为报告的目的是帮助你先实施隔离策略，然后实施拒绝策略。
每个子域名都需要单独的记录吗？
没有自身记录的子域名会使用组织域的记录，而该记录中的 sp 标签用于设置子域名策略。因此，一条记录通常就能覆盖所有子域名。
宽松对齐还是严格对齐？
除非有明确的理由，否则使用宽松对齐。采用宽松对齐时，来自 mail.example.com 的 DKIM 签名可用于 example.com 的 From 地址。严格对齐不允许这样做，也会导致许多由服务商使用子域名签名的配置失效。
“DMARC policy not enabled”是什么意思？
这表示域名的 DMARC 记录设置了 p=none，或者该域名根本没有 DMARC 记录。使用 p=none 时，接收方会照常投递未通过验证的邮件，只向 rua 地址发送报告，因此目前还不会阻止任何人冒用您的域名发送邮件。
完整指南： DMARC policy not enabled
一个域名可以有多条 DMARC 记录吗？
不可以。当 _dmarc 中有两条以 v=DMARC1 开头的 TXT 记录时，接收方会丢弃这两条记录，并将该域名视为没有 DMARC 记录。请只保留一条，并将另一条中需要的标签移入这条记录。
隔离还是拒绝？
先使用隔离策略。接收方会将验证失败的邮件视为可疑邮件，通常会放入垃圾邮件文件夹。因此，即使你遗漏了某个合法服务，邮件也只是进入其他文件夹，而不会直接丢失。报告连续几周都未显示你的任何邮件验证失败后，再改为拒收策略。