我们有一个分类广告网站。买家可以联系卖家。消息直接在网站上生成（php7），并通过电子邮件发送给用户。
如果我们遵循建议从 openspf 来看，我们有以下 2 个解决方案：
解决方案 1
Return-path: [email protected]
Sender: [email protected]
From: [email protected]
Subject: I am interessted
To: [email protected]
解决方案 2
Return-Path: [email protected]
From: [email protected]
Reply-To: [email protected]
Subject: I am interessted
To: [email protected]
这些与 spf 配合使用效果还不错，但是：
解决方案 1 会被具有严格 DMARC 策略的域名直接拒绝 ( p=reject)，例如 yahoo.com：
v=DMARC1; p=reject; pct=100; rua=mailto:[email protected];
解决方案 2 越来越不起作用。回复时，许多手机（中国品牌）和电子邮件客户端不会考虑，Reply-To而只会考虑From。此外，例如 Gmail 会显示一条巨大的警告消息，吓坏用户。
Be careful with this message
This email claims to come from my-classified-ads-website.com, but replies will go
to an email address at another domain. Avoid replying to this email
unless you reach out to the sender by other means to ensure that
this email address is legitimate.
有解决办法吗？
（我们希望避免使用像 craigslist 这样的解决方案或强迫用户使用像 facebook 这样的内部消息解决方案）。
答案1
您想通过尝试代表他人发送电子邮件来欺骗和破解电子邮件身份验证系统。也许这种破解方法暂时有效，但将来会被邮箱提供商禁止，因为网络钓鱼攻击需要越来越严格的政策，邮箱提供商需要应用这些政策。
为了避免此类黑客攻击，我建议采用以下解决方案。为每对联系人创建一个唯一的电子邮件地址，并使其成为双方对话的“中介”。
怎么运行的
所有电子邮件对话都必须通过您创建的电子邮件进行。您可以设置自定义显示名称（例如），以免让电子邮件接收者对您奇怪的唯一 ID 感到困惑。因此，当需要写入时，它实际上会写入您的电子邮件，然后您将电子邮件转发给，反之亦然。John <[email protected]ABBBA
这个实现有一些复杂性，但这将在将来得到解决。
答案2
如上所述，绝对不建议使用选项 1。DMARC 将导致这些邮件被拒绝。
选项 2 可以正常工作。我们建议您在这些邮件中添加 DKIM 签名，以提高可信度并在您的 d= 域上建立域声誉。如果 Google 对您的域“足够”信任，这可能会导致 Google 阻止“大警报”。
但是……您希望代表客户发送邮件。因此，第三个选项也可以是确保您的客户允许您这样做。这可能意味着他们会允许您通过他们的 SPF 记录，但（最好）您还想看看使用自定义（每个客户端） DKIM 签名对这些邮件进行签名。
这将导致以下标题：
From: [email protected]
Subject: I am interessted
To: [email protected]
这对您有帮助并能为您提供解决方案吗？
问候，
米歇尔
DMARC 分析器