DMARC是什么？企业邮箱为什么要配置DMARC？
在企业邮箱的DNS配置中，除了MX、SPF和DKIM之外，还有一个非常重要的邮件身份验证机制：
DMARC。
如果你前面已经了解过SPF和DKIM，那么理解DMARC就会容易很多。
简单来说：
SPF负责验证邮件发送来源。
DKIM负责验证邮件数字签名。
而DMARC会结合SPF、DKIM以及域名对齐结果，帮助域名所有者告诉接收邮件服务器：
对于没有满足验证要求的邮件，应该如何处理。
那么DMARC到底是什么？
p=none、p=quarantine和p=reject分别是什么意思？
DMARC记录应该配置在哪里？
本文从基础开始介绍。
一、DMARC是什么？
DMARC全称：
Domain-based Message Authentication, Reporting and Conformance
它是一种基于域名的邮件身份验证、策略和报告机制。
DMARC本身并不是简单地取代SPF或者DKIM。
它建立在SPF和DKIM等机制之上，并进一步检查域名对齐情况。
简单理解：
SPF = 检查发信来源
DKIM = 检查数字签名
DMARC = 根据身份验证与域名对齐结果执行策略并提供报告
因此，在学习企业邮箱DNS配置时，通常会把SPF、DKIM和DMARC放在一起理解。
二、为什么需要DMARC？
假设企业拥有域名：
企业正常使用：
发送业务邮件。
但是有人可能尝试伪造类似的发件人域名发送邮件。
如果域名配置了DMARC，接收服务器可以根据DMARC规则以及SPF、DKIM等验证结果，对邮件进行进一步判断。
域名所有者还可以通过DMARC声明策略，例如：
只监控
进入隔离处理
拒绝不符合要求的邮件
因此，DMARC是域名邮件安全体系中的重要组成部分。
三、DMARC是怎么工作的？
可以通过一个简单流程理解。
example.com发送邮件
↓
接收邮件服务器收到邮件
↓
检查SPF
↓
检查DKIM
↓
检查相关域名是否满足DMARC对齐要求
↓
读取example.com的DMARC策略
↓
根据验证结果和策略处理邮件
↓
符合条件时生成DMARC报告
需要注意：
DMARC不是简单要求SPF和DKIM必须同时通过。
实际判断还涉及DMARC定义的域名对齐规则。
对于新手来说，先理解：
DMARC建立在SPF、DKIM和域名对齐机制之上。
就可以了。
四、DMARC记录配置在哪里？
DMARC通常通过DNS TXT记录发布。
例如一个域名：
它的DMARC记录通常位于：
记录内容可能类似：
v=DMARC1; p=none;
其中：
v=DMARC1
表示DMARC版本。
p=none
表示当前使用none策略。
实际配置时可能还会包含其他参数。
不要直接复制其他网站的DMARC记录用于自己的域名。
应该根据自己的邮件系统、发送来源以及实际需求进行配置。
五、p=none是什么意思？
DMARC中最常见的参数之一就是：
p
它表示域名所有者希望接收方针对未通过DMARC要求的邮件采取什么策略。
例如：
p=none
通常表示：
不要求接收方根据DMARC策略对失败邮件进行隔离或拒绝。
这种模式经常用于DMARC部署初期的监控阶段。
因为刚开始配置DMARC时，企业可能还没有完全确认所有合法发信来源。
例如企业可能同时使用：
企业邮箱
网站通知邮件
订单系统
客服系统
CRM
邮件营销平台
其他第三方发信服务
如果一开始就直接设置非常严格的策略，而部分合法邮件系统没有正确配置SPF或DKIM及域名对齐，就可能影响正常邮件。
因此通常需要先充分了解自己的发信环境。
六、p=quarantine是什么意思？
另外一个常见策略是：
p=quarantine
它通常表示：
对于未满足DMARC要求的邮件，建议接收方进行隔离处理。
实际如何处理由接收邮件系统决定。
例如某些邮件可能被放入：
垃圾邮件
可疑邮件
隔离区域
因此：
quarantine
可以简单理解成：
对验证失败的邮件采取更严格的处理。
七、p=reject是什么意思？
更严格的策略是：
p=reject
它表示域名所有者要求接收方拒绝不符合DMARC要求的邮件。
这是比较严格的DMARC策略。
但是不要在不了解自己全部邮件发送来源的情况下直接设置严格策略。
因为如果企业自己的某些合法邮件系统没有正确配置SPF、DKIM或域名对齐，也可能受到影响。
因此企业部署DMARC时，通常应该先：
整理所有合法发信来源
↓
正确配置SPF
↓
正确配置DKIM
↓
检查域名对齐
↓
观察DMARC报告
↓
确认合法邮件验证正常
↓
再根据实际情况调整DMARC策略
八、DMARC和SPF有什么关系？
SPF主要用于判断：
发送邮件的服务器是否属于域名授权的发送来源。
DMARC可以利用SPF验证结果。
但是DMARC不仅仅看：
SPF是不是PASS。
它还涉及域名对齐。
简单来说：
通过SPF
并不一定代表一定通过DMARC。
因为DMARC还需要检查相关域名是否满足它的对齐要求。
因此不能简单理解成：
SPF通过 = DMARC一定通过。
九、DMARC和DKIM有什么关系？
DKIM通过数字签名验证邮件。
发送邮件时，邮件系统可以使用私钥生成DKIM签名。
接收服务器通过DNS中的公钥验证这个签名。
DMARC同样可以利用DKIM验证结果。
但和SPF一样：
DKIM通过本身并不等于DMARC一定通过。
还需要考虑DKIM签名域名与邮件From域名之间的对齐关系。
因此DMARC实际上把：
SPF
DKIM
域名对齐
策略
报告
组合到了一套更完整的邮件验证体系中。
十、什么是DMARC域名对齐？
这是理解DMARC非常重要的一点。
用户在邮箱里看到的发件人地址，通常包含一个From域名。
例如：
这里用户看到的域名是：
DMARC会检查相关的SPF或者DKIM身份域名与这个From域名之间是否满足规定的对齐关系。
因此DMARC关注的不只是：
有没有通过SPF。
有没有通过DKIM。
还关注：
通过验证的身份是否与用户看到的发件域名具有符合DMARC规则的关系。
这也是DMARC相比单独使用SPF或者DKIM更进一步的地方。
十一、DMARC报告是什么？
DMARC还有一个非常重要的功能：
报告。
域名管理员可以在DMARC记录中配置报告接收地址。
常见参数包括：
rua
它通常用于指定聚合报告的接收地址。
例如DMARC记录中可能出现：
符合相关条件的邮件接收服务可能会向这个地址发送DMARC聚合报告。
通过这些报告，域名管理员可以了解：
哪些服务器正在使用自己的域名发送邮件
SPF验证情况
DKIM验证情况
DMARC验证情况
邮件来源
验证失败情况
这对于排查邮件配置问题非常有帮助。
十二、DMARC报告为什么重要？
假设一家企业使用多个邮件系统：
Google Workspace
网站服务器
订单系统
客服平台
CRM系统
第三方邮件平台
如果没有统一整理，很容易忘记某一个发信来源。
DMARC报告可以帮助管理员观察域名的实际邮件发送情况。
例如发现：
某个合法服务器没有正确配置DKIM。
或者：
某个第三方平台没有通过SPF。
这样就可以在启用更严格DMARC策略之前进行调整。
十三、DMARC是不是配置一条TXT记录就可以了？
技术上DMARC确实通过DNS记录发布。
但真正正确部署DMARC并不是简单复制一条TXT记录。
在部署之前，最好确认：
企业有哪些发信服务器
SPF是否正确
DKIM是否正确
第三方邮件服务是否正确配置
域名对齐是否正常
DMARC报告是否能够正常接收和分析
如果这些都没有确认，直接使用严格策略可能影响合法邮件。
十四、Google Workspace需要DMARC吗？
如果企业使用Google Workspace通过自己的域名发送邮件，可以进一步了解并部署DMARC。
通常建议先确保：
MX正常
SPF配置正确
DKIM已经启用并正常验证
合法第三方发信平台已经整理
然后再根据企业实际情况配置DMARC。
具体配置方式和建议可能随Google服务调整而变化。
因此实际操作时，应以Google当前官方文档和管理后台提供的信息为准。
十五、DMARC配置后邮件就不会进垃圾箱了吗？
不是。
这是一个非常常见的误区。
DMARC属于邮件身份验证和域名保护体系的重要组成部分。
但是邮件是否进入：
收件箱
垃圾邮件
隔离区域
或者被拒绝
还可能受到很多其他因素影响。
例如：
发件域名信誉
发送IP信誉
邮件内容
用户投诉
发送频率
收件人互动
接收平台的反垃圾邮件规则
因此：
配置DMARC ≠ 邮件100%进入收件箱。
SPF、DKIM和DMARC主要解决的是邮件身份验证相关问题。
十六、DMARC应该直接设置reject吗？
对于刚开始部署DMARC的域名，不建议在没有检查完整发信环境的情况下直接采用最严格策略。
更合理的思路是：
第一阶段：
确认SPF和DKIM。
第二阶段：
整理所有合法发信来源。
第三阶段：
部署DMARC监控。
第四阶段：
分析报告。
第五阶段：
修复验证失败的合法邮件来源。
第六阶段：
根据实际情况逐步调整策略。
这样可以降低误伤正常业务邮件的风险。
十七、MX、SPF、DKIM、DMARC到底有什么区别？
学习到这里，可以把企业邮箱常见DNS邮件配置做一次总结。
MX：
告诉其他邮件服务器，发送给你的邮件应该送到哪里。
SPF：
声明哪些邮件服务器或者服务被授权代表域名发送邮件。
DKIM：
通过数字签名帮助验证邮件。
DMARC：
结合SPF、DKIM以及域名对齐结果执行邮件身份验证策略，并提供报告机制。
可以简单记成：
MX = 收邮件
SPF = 谁能发
DKIM = 邮件签名
DMARC = 验证策略与报告
十八、企业邮箱推荐的学习顺序
如果你刚开始学习企业邮箱配置，可以按照下面的顺序：
1. 企业邮箱域名
2. DNS基础
3. MX记录
4. SPF记录
5. DKIM
6. DMARC
把这些概念理解以后，再去配置Google Workspace或者其他企业邮箱系统会容易很多。
因为很多企业邮箱配置问题，本质上都和：
域名
DNS
邮件路由
邮件身份验证
有关。
十九、总结
DMARC是现代企业邮箱身份验证体系中的重要组成部分。
它建立在SPF和DKIM等机制之上，并加入域名对齐、策略和报告机制。
可以记住四句话：
MX = 邮件接收路径
SPF = 发信来源授权
DKIM = 邮件数字签名
DMARC = 身份验证策略、域名对齐与报告
如果企业使用自己的域名发送邮件，建议在正确配置SPF和DKIM之后进一步了解DMARC。
但是不要在没有确认所有合法邮件发送来源的情况下直接使用严格策略。
正确的做法是先确认发信环境、观察验证结果和报告，再根据实际情况逐步调整。
相关阅读：