了解 SPF、DKIM 和 DMARC：完整指南

SPF、DKIM 和 DMARC：電子郵件驗證的基本要素

一、簡介

SPF、DKIM 和 DMARC 是重要的電子郵件驗證協議，旨在保護您的域名並提高電子郵件的可送達性。這是一種常見的網路犯罪，惡意行為者假冒合法發件人，誘騙收件人點擊惡意鏈接或打開附件。讓我們深入了解 SPF、DKIM 和 DMARC - 電子郵件身份驗證的基本要素。

二、電子郵件欺詐

電子郵件欺詐是惡意偽造域名和電子郵件地址的過程。攻擊者冒充合法企業發送欺騙性電子郵件，欺騙毫無戒心的受害者。Verizon 的 DBIR 報告表明，94% 的網路攻擊都是從電子郵件開始的！這進一步凸顯了欺詐威脅的日益增長及其多發性。

三、電子郵件驗證

電子郵件驗證是防范電子郵件欺詐的第一道防線。通過驗證發送源的合法性，身份驗證可以防止偽造電子郵件的發送。據客戶報告，在實施電子郵件驗證協議後，來自自己域名的欺詐嘗試減少了 90%以上。

四、SPF、DKIM 和 DMARC

SPF、DKIM 和 DMARC 是電子郵件驗證協議。它們共同 SPF、DMARC 和 DKIM 可防止未經授權的來源使用您的域名向您的潛在客戶、客戶、員工、第三方供應商、利益相關者等發送欺詐性電子郵件。SPF 和 DKIM 有助於證明電子郵件的合法性，而 DMARC 則指示接收方的電子郵件伺服器如何處理未通過驗證檢查。

五、電子郵件身份驗證的重要性

電子郵件身份驗證對於保護您的品牌免受利用網路釣魚和假冒技術進行的基於電子郵件的網路攻擊非常重要。電子郵件身份驗證主要依賴 SPF、DKIM 和 DMARC 協議，以及 MTA-STS、BIMI 和 ARC 等附加協議，它們可以進一步增強您的安全性！

六、為什麼要實施這些協議

SPF、DKIM 和 DMARC 記錄存儲在域名系統或 DNS 中。DNS 通常被稱為互聯網電話簿，將域名轉換為相應的 IP 地址。DNS 用作資料庫，以 DNS 記錄的形式存儲域名資訊。 SPF、DKIM 和 DMARC 作為 DNS 記錄存在，您可以在 DNS 中發佈和存儲這些記錄。在電子郵件驗證檢查過程中，接收 MTA 會查詢您的 DNS 以查找這些記錄，並根據其中定義的指令或資訊採取行動。

七、如何設置 SPF、DKIM 和 DMARC

或 SPF 是一種電子郵件驗證協議，域名所有者在此協議中列出允許使用其域名發送電子郵件的所有伺服器。具體方法是建立 TXT 在 DNS 上發佈。如果發送 IP 不在列表中，則驗證失敗，電子郵件可能被標記為垃圾郵件或可疑郵件。不過，SPF 有一些限制；當郵件被轉發或超過 10 次 DNS 查詢限制時，SPF 就會失效。如果您已經有 SPF 記錄，可以使用我們的確認無誤。等待幾個小時，更改就會執行。完成後，您可以使用我們的確認無誤。域名所有者在實施 SPF 時面臨一些常見挑戰。它們如下：

要解決這些錯誤，應使用優化 SPF 記錄，使其保持在規定的限制範圍內。將 SPF 與 DKIM 和 DMARC 結合使用還能確保更順暢的驗證和交付。

或 DKIM 可讓域名所有者自動簽署從其域名發送的電子郵件。DKIM 的工作原理類似於在銀行支票上簽名以驗證其真實性。DKIM 簽名可確保您的電子郵件內容在發送過程中保持安全和不變。其方法是在 DKIM DNS 記錄中存儲公鈅。接收郵件的伺服器可以訪問該記錄來獲取公開金鑰。另一方面，發件人會秘密存儲一個私人金鑰，並用它在郵件頭簽名。接收郵件伺服器將發件人的私人金鑰與容易獲取的公開金鑰進行比較，從而驗證發件人的私人金鑰。最後，使用工具驗證您的 DKIM 公鈅，以確保其正確無誤。DKIM 在電子郵件驗證方面有多種優勢。以下是其中一些：基於域的消息驗證、報告和一致性或指示接收方伺服器如何處理 SPF、DKIM 或兩者都不合格的電子郵件。接收方採取的行動取決於發件人配置的 DMARC 策略--無、隔離或拒絕。DMARC 策略設定在_ record 中設定 DMARC 策略，該記錄還存儲了向域管理員發送報告的指令，報告內容涉及所有通過或未通過驗證檢查的電子郵件。如果您已經實施了，請使用我們免費的驗證它是否正確。使用驗證您的配置。域名所有者可以配置 3 種 DMARC 策略，以便對未經驗證的電子郵件採取行動。具體如下：

您的行動在防止電子郵件威脅方面發揮著重要作用。有了強制執行的策略，域名所有者就能更好地防範欺詐和網路釣魚攻擊。電子郵件驗證不僅限於 SPF、DKIM 和 DMARC。為了進一步提高域名和電子郵件的安全性，您可以採用高級身份驗證技術。下面我們就來討論其中的一些：

用於身份驗證的 MTA-STS 協議可確保以 TLS 加密方式向收件箱發送電子郵件。它通過在通信電子郵件伺服器之間協商加密 SMTP 連接，防止中間人攻擊和 DNS 欺詐。

BIMI，即“資訊識別品牌標識”，可幫助公司將其品牌標識附加到電子郵件中。它起到了視覺驗證和認證的作用，提高了品牌記憶度和可信度。

ARC（驗證接收鏈）通過幫助保留原始 SPF 和 DKIM 驗證頭，在電子郵件轉發過程中創造了一種後備機制。這可以防止轉發郵件出現不必要的驗證失敗。

一旦您對 SPF、DKIM 和 DMARC 設定有了信心，就可以在電子郵件驗證之旅的第二階段實施這些技術。這些高級設定是所有希望建立品牌信譽並進一步提高電子郵件聲譽的組織的理想選擇。它們有助於在基本身份驗證設定的基礎上提供額外的安全性，使您能夠更好地應對複雜的網路攻擊。

一旦您實施了 SPF、DKIM 和 DMARC 協議，現在就需要對其進行監控和維護，以確保一切運行正常。以下是一些維護身份驗證設定的方法：

工具是基於雲的人工智慧平台，可從單一界面即時、輕鬆地監控電子郵件驗證實施情況。分析 DMARC 報告可以提供有關 SPF、DKIM 和 DMARC 驗證結果以及域名發送源的大量資訊。這有助於發現不一致之處並防止欺詐企圖。

定期檢查 SPF、DKIM 和 DMARC 以及高級驗證技術以確保其正常運行非常重要。SPF 可能需要定期更新以納入新的發送源，DKIM 金鑰需要經常輪換以提高安全性，DMARC 策略需要強制執行以防止網路攻擊。如果沒有更新或適當的維護，您的實施可能會失效。

一旦為您的域名設定了 DKIM、SPF 和 DMARC，您就需要開始監控您的報告，以發現可疑活動。通過正確配置和管理這些協議，您可以大大提高域名的安全性和可送達性。

請記住，這些身份驗證協議可以降低網路釣魚的風險，但並不能防範所有基於電子郵件的網路犯罪。因此，後續的員工教育和意識提高非常重要。

八、結論

答案是否定的。要設定 DMARC，首先需要實施 SPF 或 DKIM。沒有 SPF 或 DKIM，您的 DMARC 配置將無法運行。DMARC 不要求同時使用 SPF 和 DKIM。在設定 DMARC 之前，可以先設定這兩個協議中的任何一個。不過，我們建議同時執行這兩個協議，以增強安全性。

是的。Gmail 更新的發件人指南要求所有發件人實施 SPF 或 DKIM，以便成功向 Gmail 收件箱發送電子郵件。一個域可以有 2 個或更多不同選擇器的 DKIM 記錄，這樣接收伺服器就能在驗證過程中輕鬆找到正確的 DKIM 記錄。

要知道您的域名是否啟用了 DMARC、DKIM 和 SPF，您可以使用 Powertoolbox 中的 DNS 記錄檢查工具，或分析您的電子郵件標題。