[ DNS 提供商指南 ]

Porkbun 托管电子邮件身份验证:配置DKIM 、 SPF和DMARC

在真正权威的DNS服务上验证 Porkbun 托管的邮件,不会混淆注册、转发和邮箱托管。

由EmailAuth研究团队提供 · 4 分钟阅读

[ 要点 ]

  • 在真正权威的DNS服务上验证 Porkbun 托管的邮件,不会混淆注册、转发和邮箱托管。
  • Porkbun 托管和注册商所有权属于不同的范围。
在此页面上

确认Porkbun发送消息

在 Porkbun 注册的域名不一定使用 Porkbun 电子邮件托管。首先确定邮件是否源自托管邮箱、转发规则、第三方邮箱或网站。本指南涵盖 Porkbun 托管电子邮件。为网站表单和 CRM 邮件保留单独的路由清单,即使它们共享相同的可见发件人域。

记录域名、发送邮箱、权威 名称服务器, 当前的 SPF 和 DMARC记录和DNS管理员。保留更改前的现有区域。当其他提供商的域名服务器具有权威性时,注册商的DNS编辑器可能包含公共接收者永远看不到的记录。移动名称服务器不是身份验证的先决条件,不应捆绑到此更改中。

选择适当的DNS工作流程

对于 Porkbun 托管电子邮件,域管理信封图标将打开电子邮件托管和转发。在附加通知和配置下,配置 DMARC 控制还配置 DKIM。该提供商表示,此控件仅在电子邮件托管服务中出现。在接受自动配置之前,请检查预期的更改和现有策略。 猪肉包DKIM和DMARC.

如果面板报告DMARC警告,外部名称服务器可能会阻止自动发布。这并不能证明该邮箱不受支持。获取生成的记录并与权威DNS管理员安排发布。在依赖帐户状态之前,请检查由此产生的公开答案。

对于外部DNS ,Porkbun 将其SPF包含记录为_spf.porkbun.com 。其说明还解释了如何复制帐户的默认值。 _domainkey和_dmarc TXT记录 从DNS记录面板。准确复制公钥。将适用的发件人权限合并为一项 SPF记录 而不是发布第二个。 Porkbun 外部 DNS 说明.

发布时保留现有邮件

不要使用外部 DNS 文章的完整邮箱迁移配方作为替换工作的说明 MX记录 在仅身份验证更改期间。 MX迁移会改变入站交货,并且需要自己批准的计划。同样,在复制生成的替换之前检查任何现有的DMARC策略:其他发件人和报告目标可以依赖它。

对于DKIM记录,区分主机字段和TXT值。如果编辑器附加example.com ,则在相对名称字段中输入完整的主机名可以创建default._domainkey.example.com.example.com 。确认实际的公共查找位置,而不仅仅是显示的行。 SPF在相关信封域中以TXT形式发布。其评估的策略必须保持在协议的 DNS 查找限制范围内。 SPF规则.

分别测试邮箱发送和转发

使用其正常的发送客户端将无害的邮件从托管邮箱发送到受控的外部收件人。保存完整的原件和接收者添加的 Authentication-Results。然后单独测试任何转发工作流程;不要用转发邮件代替直接发送基线。

  • 测试:托管邮箱直发;捕获:来自, Return-Path,所有DKIM d= 和 s= 值;通过条件:至少一种通过方式符合实际政策
  • 测试:第三方网站形式;捕获:发送方配置和收到的原件;通过条件:评估单独的发送服务,而不是注册商所有权
  • 测试:转发消息;捕获:原始签名和后转发结果;通过条件:独立于直接邮箱路径诊断更改
  • 该表是一个测试计划,而不是执行消息的报告。对于user@example.com的合成发件人和经过验证的DKIM d=example.com,签名域是完全匹配的。不相关的提供商域的传递签名并不能证明这一点 结盟。 Reply-To 对于回复路由很有用,但不是DMARC对齐的域。 DMARC.

解决具体故障

如果没有自动控制,请确认产品权利,而不是寻找不相关的注册商设置。如果面板显示已配置但DNS缺少密钥,请比较权威名称服务器和区域。如果密钥存在但邮件未签名,请验证SMTP路由和邮箱,然后向支持人员提供经过编辑的邮件 ID 和观察到的签名状态。请勿在工单中公开私钥或邮箱密码。

如果SPF在合并后停止工作,请恢复之前的已知良好记录并在重试之前检查每个包含内容。如果另一个发件人在自动DMARC更改后中断,请恢复批准的先前策略,而不是让意外的替换保持活动状态。通过下一个正常发送周期监视确切的邮箱和受影响的应用程序。保留DNS快照和原始文件以及更改记录,并在邮箱迁移后查看过时的权限。本纪录片指南未测试实时邮箱、 DNS编辑或传递的消息。

行动前协调产品范围

对于书面案例 PB-01,假设 Porkbun 托管邮箱,但example.com将DNS委托给其他地方并且还使用 CRM。配置DMARC状态并不能证明外部区域已更改。获取实际生成的密钥和建议的策略,保留 CRM 的合法权限并仅通过授权区域所有者发布。如果 CRM 的发送身份未知,请勿猜测并批量包含或替换现有SPF策略。将每个所需的DNS和消息观察保留为待处理状态,直到实际收集为止。这里没有发生配置或邮件发送。

保留执行边界

RFC 9989 对于发布p=reject,第 7.4 节要求有效的DKIM而不仅仅是SPF ,并就间接邮件和邮件列表互操作性发出警告。一次成功的直接消息测试并不能证明每条合法路线都已准备好采取更强有力的政策。保留现有批准的保护,同时诊断实际差距;任何政策变化都需要自己的决定。

[ 外卖 ]

Porkbun 托管和注册商所有权属于不同的范围。

[ 按角色 ]

这对您意味着什么

选择您的角色以执行后续实际步骤。

IT/邮件管理员

发布到权威DNS

控制面板记录可以存在于未使用的区域中。

后续步骤

  1. 确认名称服务器。
  2. 复制生成的密钥。
  3. 分别保存直接和转发的测试证据。

CISO / SecOps

保护保单所有权

自动配置可以与域范围的策略交互。

后续步骤

  1. 查看现有的DMARC策略。
  2. 保留其他合法发件人。
  3. 迁移后停用旧信任。

创始人/非技术人员

独立邮箱和注册

熟悉的注册商名称无法识别发送业务邮件的系统。

后续步骤

  1. 盘点邮箱服务。
  2. 避免计划外的入境迁移。
  3. 指定恢复所有者。

[ 常见问题解答 ]

常见问题

在 Porkbun 注册是否可以验证我的 Google 或 Microsoft 邮件?

否。确定实际提交邮件的服务。注册和权威DNS与出站发件人是分开的。

为什么我看不到“配置DMARC ?

Porkbun 控制其电子邮件托管服务的文档。在假设缺少DNS功能之前,请检查产品和域。

配置DMARC按钮是否也启用DKIM ?

提供商说可以。在使用自动更改之前检查提议的策略和现有记录。

外部 DNS 警告是什么意思?

Porkbun 可能无法在权威域名服务器上发布。获取域生成的记录并将其发布到实际的DNS主机。

我必须为此任务替换MX记录吗?

不单独用于身份验证。 MX更改属于已批准的邮箱迁移,即使更广泛的设置文章包含它们也是如此。

Porkbun 可以与SPF中的 CRM 共存吗?

是,当两条路由都需要授权时:将其适用的机制合并到一项策略中并检查评估的查找预算。

我可以复制默认示例吗? _domainkey值?

否。使用属于您域的托管邮件配置的密钥并验证在真实邮件中观察到的选择器。

转发消息失败是否证明直接发送已损坏?

不会。首先比较直接托管邮件样本,然后独立诊断转发路由和任何邮件修改。

[ 来源 ]

来源

  1. 如何打开DKIM和DMARC - Porkbun 知识库

    部分 如何在 Porkbun 上启用DKIM和DMARC · 如果看到DMARC警告该怎么办

  2. 当您的DNS托管在其他地方时如何使用 Porkbun 电子邮件 - Porkbun 知识库

    部分 使用您的主机创建MX和SPF记录 · 使用您的主机创建DMARC和DKIM记录

  3. RFC 9989 :基于域的消息身份验证、报告和一致性 ( DMARC )

    部分 §4.4 · §5.3.5 · §5.4 · §7.4 · §8

  4. www.rfc-editor.org

    部分 §2.4 · §2.6.5 · §3.2 · §3.3 · §4.6.4

  5. www.rfc-editor.org

    部分 §3.4 · §3.5 · §3.6 · §3.7 · §6.1 · §6.3

[ 词汇表 ]

词汇表

权威DNS
其答案定义域的公共记录的名称服务器。
MX记录
选择入站邮件服务器的DNS记录,与出站身份验证不同。
信封发送者
由SPF评估的SMTP反向路径身份,可能与可见的发件人不同。

企业出处

为什么顶级金融机构和政府 退役了他们的电子邮件安全仪表板。

传统的电子邮件身份验证平台会向您出售仪表板并要求您的工程师来完成这项工作。在高风险环境中,手动监督意味着延迟执行、配置漂移和不受监控的影子域。

EmailAuth是代理电子邮件来源平台。 我们的代理人强制执行 p=reject,保持第三方发件人一致并将您的域名移至完整状态 RFC 9989 合规性、新的DMARC标准,以及人机交互审核能力。

政府 大型企业 一级金融机构

SaaS · 专用租赁 · 气隙本地部署 · BYOK 加密

知识库