SPF、DKIM和DMARC三种电子邮件认证协议详解

SPF、DKIM和DMARC这三种电子邮件认证协议会协同工作，核心作用就是验证：你发出的邮件确实是你本人发送的。不管你的需求是保护客户免受网络钓鱼攻击、提高邮件送达率，还是赢得收件箱提供商（如Gmail、Outlook）的信任，掌握这三种协议，都是提升电子邮件安全性最有效的一步。

在本文中你会清楚了解每种协议的具体功能、它们之间的区别，以及如何落实电子邮件安全的最佳实践，长期保护你的域名安全。

一、SPF、DKIM和DMARC简介

SPF（发件人策略框架）：验证哪些IP地址和服务器，有权代表你的域名发送电子邮件。

DKIM（域名密钥识别邮件）：给每封邮件添加加密数字签名，验证邮件内容在传输过程中没有被篡改。

DMARC（基于域的消息认证、报告与一致性）：明确规定，当邮件未通过SPF或DKIM检查时，接收服务器该如何处理。

二、SPF电子邮件认证协议介绍

SPF也就是发件人策略框架，是一种电子邮件身份验证协议，核心用途是明确哪些邮件服务器可以代表你的域名发送邮件。它的实现方式很简单：在你的域名DNS中添加一条TXT记录，当接收邮件的服务器收到声称来自你域名的邮件时，会查询这条记录，进行验证。

更通俗地说：SPF相当于在DNS层面，给你的域名建了一份“授权发件人名单”，接收邮件的服务器在接收你的邮件前，会先查阅这份名单，确认发送邮件的服务器是否在授权范围内。

SPF如何工作？

当有人用你的域名发送电子邮件时，接收服务器会先查找你域名的DNS记录，检查是否有SPF条目。这条SPF记录里，会列出所有被授权的IP地址和邮件服务器。如果发送邮件的服务器IP地址，和记录中的某个条目匹配，那么这封邮件就会通过SPF身份验证；如果不匹配，接收服务器就会根据你设置的规则，要么标记这封邮件，要么直接拒绝接收。

一条基础的SPF记录格式如下：

v=spf1 include:mailserver.com -all

这里要注意末尾的标记：

-all（硬故障）：只要不在授权名单里的服务器，都被明确视为未经授权，接收服务器会直接拒绝这类邮件，安全性最高；
~all（软故障）：同样会标记未经授权的发件人，但不会直接拒绝，只会提醒接收方。这种方式适合测试阶段使用，正式环境中安全性较低，不推荐。

SPF是电子邮件安全的第一道重要防线，但它有一个明显的局限：它只验证发送服务器的IP地址，既不检查邮件内容，也不验证收件人看到的“发件人”显示地址。正因为有这个漏洞，DKIM才成为必不可少的补充。

三、DKIM电子邮件认证协议介绍

DKIM，也就是域名密钥识别邮件，它的核心作用是给你服务器发送的每封邮件，都添加一个加密数字签名。这个签名能让接收邮件的服务器确认两件事：一是这封邮件确实来自你的域名，二是邮件内容在传输过程中没有被篡改过。

简单区分SPF和DKIM：SPF查的是“谁发送的邮件”（验证服务器IP），DKIM查的是“邮件本身有没有被改”（验证内容完整性），两者功能完全不同，却能相互补充、缺一不可。

DKIM签名如何保护你的电子邮件？

DKIM的工作依赖一对加密密钥，就像一把锁和一把对应的钥匙：

私钥：安全地存储在你的发件邮件服务器上，相当于“锁”，只有你的服务器能使用它；
公钥：发布在你域名的DNS记录中，相当于“钥匙”，所有接收邮件的服务器都能获取到。

当你发送电子邮件时，你的服务器会用私钥给邮件签名；接收服务器收到邮件后，会从你的域名DNS中获取公钥，用公钥验证邮件上的签名。如果签名能匹配上，就说明：这封邮件确实来自授权的服务器，而且内容从发送到接收，没有被任何人篡改过。

这对电子邮件安全来说至关重要，具体好处有：

防止邮件内容被拦截、篡改，保障信息安全；
比SPF多了一层身份验证，弥补了SPF只查IP的漏洞；
帮助Gmail、Outlook等收件箱提供商，认定你的邮件是合法的，提升邮件声誉；
减少合法邮件被误判为垃圾邮件，避免邮件进入收件人的垃圾文件夹。

但DKIM也有一个不足：它只负责验证邮件的来源和完整性，却没有明确规定——如果验证失败，接收服务器该怎么处理这封邮件。而这，正是SPF、DKIM、DMARC三者中，DMARC的核心作用。

四、DMARC电子邮件认证协议介绍

DMARC，也就是基于域的消息认证、报告与一致性，它相当于SPF和DKIM的“指挥者”——是连接两者的策略层。它的核心作用有两个：一是告诉接收邮件的服务器，当邮件未通过SPF或DKIM认证时，该采取什么措施；二是提供报告机制，让你能实时监控，谁在以你的域名名义发送邮件。

简单说，DMARC把原本被动的身份验证，变成了可强制执行的规则，是这三种协议中功能最强大的一个。

了解DMARC策略级别：

DMARC的工作规则，是你在域名DNS记录中定义的，主要有三种策略级别，可根据你的需求选择：

无（p=none）：接收服务器不采取任何阻止措施，只把验证结果和相关数据，发送给你指定的邮箱。这是最安全的起步方式，适合在不影响邮件正常投递的前提下，监控域名的邮件发送情况；
隔离（p=quarantine）：未通过DMARC检查的邮件，不会进入收件人的正常收件箱，而是被发送到垃圾邮件或废件文件夹，既避免用户被骗，也不会误拦合法邮件；
拒绝（p=reject）：未通过DMARC验证的邮件，会被接收服务器完全阻止，永远不会送达收件人。这是最安全的策略级别，适合域名安全需求高的场景。

一条基础的DMARC DNS记录格式如下：