[快速解答]
DMARC （基於網域的郵件驗證、報告和一致性）是一個DNS TXT記錄，發佈於_dmarc.yourdomain.com ，它告訴接收郵件伺服器當使用您的網域的郵件未通過SPF和DKIM對齊時該怎麼做：傳送郵件 ( p=none),將其發送到垃圾郵件 ( p=quarantine)或阻止它 ( p=reject).它還會向您發送有關作為您的網域發送的每個來源的報告，它是在RFC 9989中定義的。
主要事實
- ›以TXT記錄發佈在_dmarc.yourdomain.com ，以v=DMARC1.
- ›三種策略： p=none （監控）、 p=quarantine （垃圾郵件資料夾）、 p=reject （封鎖）。
- ›如果SPF或DKIM通過並與寄件者域一致，則郵件將通過DMARC 。
- ›rua= receives daily aggregate XML reports; ruf= receives failure samples.
- ›只有p=quarantine或p=reject才能真正停止欺騙。
由EmailAuth研究團隊審核
DMARC （基於網域的訊息驗證、報告和一致性）是一種電子郵件驗證標準，在RFC 9989 （2026 年 5 月發布，取代了原始RFC 7489 ）中定義，它允許網域擁有者告訴接收郵件伺服器如何處理身分驗證失敗並聲稱來自該網域的訊息。它基於SPF和DKIM構建，添加網域對齊並返回報告，以便您可以查看誰將電子郵件作為您的網域發送。簡而言之， DMARC可阻止攻擊者欺騙您的網域，並讓您可以了解使用該網域的每個來源。
DMARC工作原理
當接收者收到訊息時，它會檢查SPF和DKIM 。 SPF ( RFC 7208 ) 驗證傳送 IP 是否經過Return-Path中的網域授權。 DKIM驗證與網域關聯的加密簽章。然後， DMARC應用對齊：通過SPF或DKIM域必須與可見的 From 標頭中的域進行匹配。如果至少有一項通過且對齊，則DMARC通過。如果兩者都失敗，接收者將應用您發布的策略。
三項DMARC政策
- p=none: monitor only. No action is taken on failing mail, but reports are still sent. Use this to observe traffic first.
- p=quarantine: failing mail is sent to spam or held. A safer middle step during rollout.
- p=reject: failing mail is blocked outright. This is full protection and the goal for every domain.
為什麼對齊很重要
對齊是DMARC與原始SPF或DKIM差異。攻擊者可以為自己的網域設定SPF通行證，但無法使其與您的 From 標頭保持一致。 DMARC對齊可以是嚴格的（精確的域匹配）或寬鬆的（組織域必須匹配）。 「寬鬆」是預設設置，適用於大多數寄件者。
最小DMARC記錄
v=DMARC1; p=none; rua=mailto:rua@example.com
報告和推出
DMARC產生兩種報告類型：匯總報告 ( RUA )，匯總所有來源的身份驗證結果；取證報告 ( RUF )，捕獲單一故障的詳細資訊。從p=none,讀取您的RUA數據，使用SPF和DKIM授權每個合法來源，然後進入隔離區，最後拒絕。 EmailAuth將RUA和RUF解析為可讀的儀表板，您可以執行免費的網域掃描以在幾分鐘內查看您目前的狀態。
為什麼現在需要DMARC
2024 年，Google 和Yahoo強制要求大量寄件者（每天發送超過 5,000 則訊息的寄件者）使用DMARC 。大量寄件者必須至少發布一筆p=none DMARC記錄，使用SPF和DKIM進行身份驗證，並降低垃圾郵件投訴。 DMARC也是BIMI的基礎，BIMI 在收件匣中顯示您經過驗證的標誌。
常見問題
DMARC與SPF和DKIM相同嗎？
不需要SPF和DKIM是DMARC依賴的兩種驗證方法。 DMARC新增了經過驗證的網域和可見寄件者地址之間的對齊、處理故障和報告的策略。您需要SPF或DKIM才能使DMARC發揮作用。
DMARC是否會阻止所有網路釣魚？
DMARC可阻止精確網域欺騙，即攻擊者發送聲稱來自您的註冊網域的郵件。它不會阻止相似的網域名稱或顯示名稱技巧。它是一個強大的層，最好與用戶培訓和相似域監控相結合。
我該從什麼DMARC策略開始？
從p=none開始，這樣您就可以在不影響交付的情況下收集報告。一旦RUA資料確認所有合法寄件人均已通過並一致，則移至隔離區，然後拒絕。在對來源進行身份驗證之前急於拒絕可能會阻止真實郵件。
部署DMARC需要多長時間？
一旦您發布記錄並且DNS傳播，監控就會開始，通常在一天之內。達到安全的p=reject通常需要幾週到幾個月的時間，這取決於您使用的發送服務數量以及驗證它們的速度。
電子郵件中的DMARC是什麼？
它是電子郵件身份驗證的策略層。它檢查SPF或DKIM驗證的網域是否與讀者看到的寄件者地址匹配，並告訴收件者如何處理不匹配的郵件。
DMARC代表什麼？
DMARC代表基於網域的訊息驗證、報告和一致性。它在RFC 9989 （2026 年 5 月）中定義，取代了原來的RFC 7489 。
RFC 7489仍然有效嗎？
RFC 7489已停用。 2026 年 5 月， IETF發布了RFC 9989 ，其中指出：「本文檔廢棄了 RFC 7489 和 9091。」聚合和故障報告現在為RFC 9990和RFC 9991 。
RFC 9989是什麼？
RFC 9989是目前的DMARC標準，於 2026 年 5 月在IETF標準軌道上發布。它被開發為DMARCbis並取代RFC 7489 。
我是否需要更改RFC 9989的DMARC記錄？
通常不會： v=DMARC1記錄繼續工作。刪除 pct（使用t=y進行測試），刪除 rf 和 ri，並考慮使用 np 表示不存在的子域。
DMARC如何運作？
接收伺服器檢查郵件上的SPF和DKIM ，然後檢查其中是否至少有一個傳遞給與可見寄件者位址對齊的網域。如果兩者都不一致，它將套用您發佈的策略（無、隔離或拒絕）並向您發送報告。
什麼是SPF 、 DKIM和DMARC記錄？
這三個都是DNS TXT記錄。 SPF列出允許為您的網域發送郵件的伺服器， DKIM發布用於驗證郵件簽署的公鑰，並且DMARC告訴接收者當SPF和DKIM與您的寄件人網域不一致時該怎麼做。
如何設定DMARC ？
為每個寄件者發布SPF和DKIM ，然後在_dmarc.yourdomain.com新增TXT記錄，例如v=DMARC1; p=none; rua=mailto:reports@yourdomain.com.閱讀總結報告，修復失敗的寄件人，然後前往p=quarantine ，然後p=reject.
如何閱讀DMARC報告？
聚合 ( RUA ) 報告是 XML 文件，列出每個發送 IP、訊息計數以及SPF 、 DKIM和DMARC結果。將它們上傳到DMARC報告分析器，以查看哪些來源通過、哪些來源失敗以及哪些不是您的。
未啟用DMARC隔離/拒絕策略是什麼意思？
當您的DMARC記錄使用p=none.您的網域受到監控但不受保護；轉移到p=quarantine ，然後在合法寄件者通過後轉移到p=reject 。
[ DMARC 指導 ]
企業出處
為什麼頂級金融機構和政府 退役了他們的電子郵件安全儀表板。
傳統的電子郵件驗證平台會向您出售儀表板並要求您的工程師來完成這項工作。在高風險環境中，手動監督意味著延遲執行、配置漂移和不受監控的影子域。
EmailAuth是代理電子郵件來源平台。 我們的代理人強制執行 p=reject，保持第三方寄件者一致並將您的網域移至完整狀態 RFC 9989 合規性、新的DMARC標準，以及人機互動審核能力。
SaaS · 專用租賃 · 氣隙本地部署 · BYOK 加密