☰

我不明白有关我的政策的 DMARC 报告

tag-icon • tag-icon spf dkim dmarc
我不明白有关我的政策的 DMARC 报告

我的 DMARC 设置似乎没有按预期工作。

首先，请注意以下几点：

  • 域名是mydomain.com （显然不是真的）；
  • 域名和邮件提供商是gandi.net；
  • 我用亚马逊 SES使用从网站发送电子邮件[email protected]；
  • 我用Gmail发送和接收电子邮件[email protected]；

这防晒指数记录设置TXT为mydomain.com：

"v=spf1 include:_mailcust.gandi.net include:amazonses.com include:_spf.google.com ~all"
  • include:_mailcust.gandi.net允许gandi.net使用 发送电子邮件mydomain.com；
  • include:amazonses.com允许amazonses.com使用 发送电子邮件mydomain.com；
  • include:google.com允许google.com使用 发送电子邮件mydomain.com；
  • ~all允许任何其他服务器使用发送电子邮件mydomain.com，但会导致 SPF 检查失败（软失败）

这DMARC记录设置TXT为_dmarc.mydomain.com：

"v=DMARC1; p=quarantine; sp=reject; pct=5; fo=1; rua=mailto:[email protected];"
  • p=quarantine投递未通过 SPF/DKIM 检查的电子邮件并将其标记为垃圾邮件；
  • sp=reject拒绝使用带有子域名的地址发送的电子邮件，如[email protected]；
  • pct=5将该策略（p而不是sp？）应用于 5% 的电子邮件；
  • fo=1发送 DKIM 故障报告或者SPF 失败；

现在，这个 DMARC RUA 报告中出现了一些奇怪的事情：

  <record>
    <row>
      <source_ip>40.107.12.85</source_ip>
      <count>1</count>
      <policy_evaluated>
        <disposition>none</disposition>
        <dkim>pass</dkim>
        <spf>fail</spf>
      </policy_evaluated>
    </row>
    <identifiers>
      <header_from>mydomain.com</header_from>
    </identifiers>
    <auth_results>
      <dkim>
        <domain>GovSIPF.onmicrosoft.com</domain>
        <result>pass</result>
        <selector>selector1-GovSIPF-onmicrosoft-com</selector>
      </dkim>
      <dkim>
        <domain>mydomain.com</domain>
        <result>pass</result>
        <selector>gm1</selector>
      </dkim>
      <spf>
        <domain>administration.gov.pf</domain>
        <result>pass</result>
      </spf>
    </auth_results>
  </record>
  • 源IP40.107.12.85来自outlook.com但我不使用outlook；
  • 该域名有一个 DKIM 阻止GovSIPF.onmicrosoft.com，GovSIPF 是我的客户之一；
  • 有一个带有域名的 SPF 块administration.gov.pf，该域名是他们用于电子邮件地址的域名，例如[email protected]；

我不明白为什么我会看到该域名被 SPF 阻止，这是否意味着他们通过 outlook.com 服务器administration.gov.pf发送了带有类似地址的电子邮件？[email protected]

另一份 DMARC 报告略有不同：

  <record>
    <row>
      <source_ip>202.90.68.50</source_ip>
      <count>1</count>
      <policy_evaluated>
        <disposition>none</disposition>
        <dkim>pass</dkim>
        <spf>fail</spf>
      </policy_evaluated>
    </row>
    <identifiers>
      <header_from>mydomain.com</header_from>
    </identifiers>
    <auth_results>
      <dkim>
        <domain>mydomain.com</domain>
        <result>pass</result>
        <selector>gm1</selector>
      </dkim>
      <spf>
        <domain>mydomain.com</domain>
        <result>softfail</result>
      </spf>
    </auth_results>
  </record>
  • 源 IP202.90.68.50来自mana.pf本地 ISP，但我们不使用它；

答案1

源 IP 40.107.12.85 来自 outlook.com 但我不使用 outlook；

该<source_ip>值是原始电子邮件来自的 IP。

它不一定需要是你使用的服务器。

域名 GovSIPF.onmicrosoft.com 有一个 DKIM 块，GovSIPF 是我的客户之一；

DKIM 检查已通过。这强烈表明该电子邮件是使用 Outlook 发送的。

请注意，有第二个 DKIM经过身份验证块我的域名也。

域名 management.gov.pf(...) 存在 SPF 阻止

SPF 检查已通过这也意味着 Outlook IP 在<source_ip>被授权发送电子邮件*@administration.gov.pf。

（...）这是否意味着他们发送了一封电子邮件，地址如下[电子邮件保护]通过 outlook.com 服务器？

是的。

由于您不使用 Outlook，因此这很可能是从您的某个服务器转发的电子邮件。 DMARC 检查通过了该电子邮件，因为 DKIM 身份验证结果我的域名通过（结果为“对齐”）。

答案2

当有人使用您的From:并且收件人尊重您的报告请求时，您会收到报告。报告不一定表明哪些邮件是新近从您控制的机器发出的，以及哪些记录属于已转发的消息。您必须利用本地知识自行处理该报告，最好采用某种自动化方式。请注意，您无法确定它是哪条消息，在接收和转发之间可能存在相当大的延迟 - 仅受您使用此 DKIM 密钥的时间限制。

如果他们保留了您的签名（您域名的 DKIM 仍在通过），并且您的签名签署了合理的标头选择，这并不表示滥用。只要您的邮件没有因法律原因而限制其转发位置，就无需采取任何措施。

这是否意味着他们发送了一封电子邮件，地址如下 [电子邮件保护]通过 outlook.com 服务器

看起来确实如此，因为您的第一个示例甚至添加了他们的签名，如果您查找该域的 SPF 和 MX 记录，您会发现他们确实通常使用 Outlook 来接收和发送邮件。请注意，这不一定是手动操作，该域中的邮箱可能设置为简单地转发所有内容。

相关内容