GlobalSign 博客

什么是SPF、DKIM和DMARC？

电子邮件是商业沟通的支柱，但它也是被滥用最严重的通信方式之一。网络钓鱼、冒充和垃圾邮件不仅代价高昂、危险，还会破坏信任。问题在于，电子邮件从设计之初就未将安全性作为核心考量。

这就是域级身份验证发挥作用的地方。发送者策略框架（SPF）、域名密钥认证邮件（DKIM）和基于域的消息认证、报告与符合性（DMARC）这三种协议，能够帮助验证发件人身份、保护您的品牌并恢复收件箱中的信任。当与品牌标识符（BIMI）和认证标志证书（VMCs）等可视化信任信号结合使用时，您不仅在保障电子邮件安全，更在提升其价值。

什么是发件人策略框架 (SPF)?

SPF（发件人策略框架）就像您域名的宾客名单。它告知接收邮件服务器哪些IP地址被授权代表您发送邮件。

将SPF视为您域名的门卫。其作用是验证以您域名名义发送邮件的服务器是否经过授权。您需要通过在域名的域名系统（DNS）中设置 SPF 记录来实现这一点，明确指定哪些 IP 地址被授权代表您发送邮件。例如，一个典型的记录可能如下所示：v=spf1 include:_spf.example.com ~all。这告诉邮件服务器信任来自特定来源的邮件，而将其他来源的邮件标记为可疑。

没有SPF，您的域名容易受到冒充者和恶意行为者的攻击，他们可能会伪造您的身份并利用它发送钓鱼邮件或垃圾邮件。但一旦实施了SPF，它会向收件箱过滤器表明您正在遵守规则，并为更高级的电子邮件认证工具（如DMARC和BIMI）奠定基础。SPF是您抵御攻击的第一道防线，也是维护声誉和建立信任的基础。

什么是域名密钥认证邮件 (DKIM)?

KIM（域名密钥认证邮件）就像在贵组织发送的每封邮件上加盖一个防篡改的印章。在邮件离开服务器之前，DKIM会让您的邮件系统使用私有加密密钥对邮件进行签名。当邮件到达目的地后，接收服务器会检查该数字签名，并使用您在域名DNS记录中发布的公钥来验证其真实性。

DKIM 在确保电子邮件在从发件人到收件人的传输过程中未被篡改或伪造方面发挥着至关重要的作用。简而言之，它向收件人的系统传达这样的信息：“是的，这封邮件确实来自我们，且未被篡改。”

还有一个关键原因说明DKIM为何重要：它是VMC的强制要求。这意味着，如果你希望你的徽标在支持BIMI的收件箱中显示，DKIM就不是可选的，而是基础性的。


什么是基于域的消息认证、报告和符合性 (DMARC)?

DMARC（基于域的消息认证、报告与符合性）本质上是电子邮件认证背后的政策架构。它将SPF和DKIM有机结合，为接收邮件服务器提供统一的处理规范，指导其如何处理未能通过认证检查的消息。

DMARC 的核心在于其策略选项。当您将其设置为“无”时，系统将处于观察模式，仅进行监控和学习而不采取任何行动。选择“隔离”策略时，系统会采取谨慎态度，将可疑邮件直接发送到垃圾邮件文件夹；而“拒绝”策略则通过彻底阻止未经认证的邮件进入收件箱来实施严格的安全措施。每个级别都提供不同程度的控制权。建议从“无”开始进行监控，使用“隔离”进行标记，最后通过“拒绝”实现全面执行。

这一切为何重要？因为DMARC不仅能提升邮件安全性，还能为您提供有关您的域名在互联网上的使用（或滥用）情况的宝贵洞察。它使您能够识别威胁、保护品牌声誉，并主导围绕您品牌的叙事方向。如果您计划通过VMC实施BIMI，DMARC便是实现这一目标的桥梁。没有它，您的品牌标识将无法出现在收件人的收件箱中。

SPF、DKIM 和 DMARC 是如何协同工作的？

SPF、DKIM 和 DMARC 作为一个协同工作的团队，为您的电子邮件生态系统带来秩序和完整性。SPF 作为您域名的守门人，验证发送您邮件的服务器是否经过授权。DKIM 则介入验证邮件内容本身的完整性，通过应用加密签名来证明其在传输过程中未被篡改。随后，DMARC 将前两者结合起来，协调认证结果，并执行您域名的政策，对未通过验证的邮件采取相应措施，无论是监控它们、将其发送到垃圾邮件文件夹，还是直接拒绝它们。

当这些技术方案协同实施时，它们为可视化品牌认证奠定了技术基础，使您能够通过GlobalSign的VMC服务，以BIMI等标准展示经过验证的品牌标识。这种分层保护措施具有实际应用价值，既提升了用户信任度，又增强了邮件送达率。

为什么应该实施SPF、DKIM和DMARC协议？

电子邮件常常是网络攻击的第一道防线，91%的网络攻击都始于一封钓鱼邮件。许多网络威胁，如冒充CEO或伪造发票，往往始于看似简单的伪造信息。SPF、DKIM和DMARC协议协同工作，阻止恶意行为者冒充您。通过验证发件人和认证邮件，它们在邮件到达您的收件箱之前就阻止了冒充行为。这也有助于实现更干净的邮件投递：通过认证的邮件更可能直接进入收件箱，而非被垃圾邮件过滤器拦截。

除了技术层面的保护，这些协议向您的客户和合作伙伴传递了更深层次的信息——信任。当人们知道您的信息是安全且经过验证的，您的域名便会获得难以伪造的可信度。此外，还有一个实际考量：谷歌的Gmail、雅虎以及微软的Outlook和Hotmail等主要邮件平台现在要求批量发送者必须使用SPF、DKIM和DMARC。因此，如果您需要大规模发送营销活动或新闻简报，这些协议对于合规性和覆盖范围至关重要。

Blog - 1920x600 - Stefan Cink.png

实施入门指南

以下是您的快速入门检查清单：

  • 在DNS中发布SPF记录
  • 设置DKIM密钥和签名
  • 实施DMARC策略（初始设置为“无”）并监控报告

实用工具，助您快速入门

您的域名不仅仅是一个网站地址，它是您的品牌与世界之间数字化的握手。保护域名不仅意味着守护您的声誉，更意味着维护您与客户、合作伙伴及潜在客户之间建立的信任。当这些电子邮件认证协议得到正确实施时，它们能够验证您的消息来自合法来源，确保内容完整性，并赋予接收方执行安全策略的权限。这不仅能降低冒充风险，还能提升发件人声誉、改善邮件送达率，并在每次消息送达时彰显专业性。

一旦这些防御措施牢固建立，您便能够进一步巩固这种信任。通过VMC，您可以在收件箱中实现视觉品牌展示，使经过验证的徽标能够与经过认证的邮件一同出现在支持的平台上。这是一种提升信心的域名保护方案，因为在网络安全领域，可见性就是信任。

近期博客