RUF取证报告是当邮件身份验证失败时发送到DMARC记录的 ruf 标记中的地址的每条邮件失败报告。与汇总计数的聚合报告不同，取证报告遵循RFC 6591中定义的 AFRF 格式，捕获单个失败消息的详细信息。它们可以帮助您准确诊断特定消息失败的原因并发现主动滥用行为。
RUF与RUA有何不同
- RUA报告是按发送源分组的每日摘要。 RUF报告是针对每条失败消息生成的，接近实时。
- RUA仅包含计数和结果。 RUF可以包含消息标头，有时还可以包含正文的一部分。
- 几乎所有主要接收方都会发送RUA 。出于隐私考虑， RUF提供者少得多。
- RUA是您实现执法的主要工具。 RUF是一种诊断和滥用检测补充剂。
鲁夫标签
ruf=mailto:ruf@example.com; fo=1 The fo tag controls when reports are generated. fo=1 requests a report whenever any authentication check fails to align.
fo 标签选项
- fo=0: generate a report only if both SPF and DKIM fail to produce an aligned pass. This is the default.
- fo=1: generate a report if either SPF or DKIM fails to align. The most useful setting for diagnostics.
- fo=d: generate a report if DKIM fails, regardless of alignment.
- fo=s: generate a report if SPF fails, regardless of alignment.
隐私考虑
由于取证报告可能包含标题和消息内容，因此它们可能包含属于您的收件人或发件人的个人数据。这就是为什么大多数大型邮箱提供商根本不发送RUF ，以及为什么您必须小心处理收到的任何报告。如果您的组织受到隐私法规的约束，请将取证数据视为敏感数据并限制可以访问它的人。
EmailAuth在呈现RUF报告之前会编辑这些报告中的个人身份信息，因此您可以在不暴露收件人数据的情况下获得故障样本的诊断价值。报告被解析为可读的视图，而不是原始的 AFRF 文本。
当RUF有用时
取证报告在两种情况下发挥作用：诊断汇总数据中不断失败的顽固来源，以及捕获欺骗您域名的活跃网络钓鱼活动。查看失败消息的标头通常会立即揭示错误配置或攻击者的基础设施。不过，对于大多数日常部署工作， RUA报告承担着重任，而RUF是您在需要时求助的详细信息层。
您是否应该启用RUF
如果您想要故障级别的详细信息并且可以负责任地处理数据，请启用RUF 。预计数量很少，因为很少有提供商发送。请记住，仅靠RUF并不能让您强制执行：您仍然需要RUA来清点来源并确认一致性。将法医报告视为补充，而不是替代。
常见问题
RUA和RUF和有什么不一样？
RUA报告是按发送源分组的身份验证结果的每日汇总摘要。 RUF报告是RFC 6591中定义的各个故障的每条消息取证样本，其中可以包含消息标头。 RUA是您的主要部署工具； RUF是一种诊断补充剂。
为什么我没有收到法医报告？
大多数主要邮箱提供商（包括 Google 和 Microsoft）不会发送RUF报告，因为担心邮件内容的隐私问题。即使使用有效的 ruf 标签且fo=1,您也应该预期音量较低或为零。依赖源库存的汇总 ( RUA ) 报告。
法医报告是否存在隐私风险？
它们可以是，因为它们可能包含包含个人数据的消息标头和正文片段。将您收到的任何RUF报告视为敏感、限制访问并考虑进行编辑。 EmailAuth在显示RUF报告之前会删除个人身份信息。
DMARC记录中fo=1意味着什么？
fo 标签在生成取证报告时设置。 fo=1每当SPF或DKIM无法生成对齐通道时请求报告，这是最有用的诊断设置。默认值fo=0,仅在两者未能对齐时报告。
[ DMARC 指导 ]
企业出处
为什么顶级金融机构和政府 退役了他们的电子邮件安全仪表板。
传统的电子邮件身份验证平台会向您出售仪表板并要求您的工程师来完成这项工作。在高风险环境中，手动监督意味着延迟执行、配置漂移和不受监控的影子域。
EmailAuth是代理电子邮件来源平台。 我们的代理人强制执行 p=reject，保持第三方发件人一致并将您的域名移至完整状态 RFC 9989 合规性、新的DMARC标准，以及人机交互审核能力。
SaaS · 专用租赁 · 气隙本地部署 · BYOK 加密