SPF/DKIM/DMARC 认证失败但邮件仍被投递？自建邮箱 9 步排查清单（MDaemon）

SPF/DKIM/DMARC 认证失败但邮件仍被投递？自建邮箱 9 步排查清单（MDaemon）

导读： 在使用 MDaemon 企业自建邮箱系统时，许多管理员都会遇到一个头疼的问题：明明配置了发件人身份验证，并在 DNS 中发布了正确的 SPF/DKIM/DMARC 记录，但日志里标注着“FAIL（失败）”的邮件却依然能成功投递到用户的收件箱中。

让自建邮箱管理员感到困惑的是：认证失败并不等同于强制拦截。SPF、DKIM 和 DMARC 产生的只是“安全信号”，而自建邮件服务器如何回应这些信号，完全取决于您的拦截动作与过滤规则设置。本文将为您梳理导致自建邮箱拦截“失效”的 9 个最常见原因，并提供一份 9 步故障排除清单。

当你发现认证失败的邮件仍被投递时，先按下表快速定位可能原因：

SPF/DKIM/DMARC 三大认证机制快速回顾

SPF 验证发件 IP 是否被授权（检查信封 MAIL FROM 域名），DKIM 验证邮件内容未被篡改（密码学签名），DMARC 在前两者基础上增加域名对齐检查和策略发布。三者关系和底层机制详见概念篇《自建邮箱退信/投递异常排查基础：SMTP 信封与邮件头的区别》。

关键要点： DMARC 失败本质上是一种信号。发件域通过其发布的策略提出处理请求，而接收方服务器则根据自身配置来执行该策略。MDaemon 文档中规定的默认设置会遵循发件域发布的 p=reject 和 p=quarantine 策略，但最终的投递结果可能会受到豁免规则、信任源、下游过滤规则以及其他非默认设置的影响。

认证失败但邮件仍被投递的 9 个原因（逐项排查）

1. 发件方发布的 DMARC 策略为 p=none

症状：日志显示 DMARC FAIL，但邮件正常投递至收件箱，无任何拦截动作。

原因：发件域的 DMARC 记录策略为 p=none（仅监控模式），明确要求接收方不要隔离或拒绝邮件。这是目前为止最常见的原因。

检查路径：nslookup -type=TXT _dmarc.对方域名，查看返回的 DMARC 记录中 p= 的值。典型记录形式为：v=DMARC1; p=none; rua=mailto:reports@example.com

修复：无需修复本方配置。这是发件方的策略选择，MDaemon 如实遵循了发件人要求的处理方式。

验证：确认对方 p=none 后，日志中的 DMARC FAIL + 正常投递即为预期行为，说明本方拦截设置在按预期工作。

2. MDaemon DMARC 处理动作被关闭导致拦截失败

症状：发件方 DMARC 策略为 p=reject 或 p=quarantine，但认证失败的邮件仍进入收件箱。

原因：MDaemon DMARC 验证界面的处理动作选项被关闭，或在系统升级/迁移后未被重新启用。

检查路径：安全性 (Security) → 发件人身份验证 (Sender Authentication) → DMARC 验证 (DMARC Verification)

修复：启用以下选项：

• “当 DMARC 产生 FAIL 结果时遵循 p=reject”（Honor p=reject when DMARC produces a FAIL result）
• “将未通过 DMARC 测试的邮件过滤至垃圾邮件文件夹”（Filter messages which fail the DMARC test into Junk E-Mail folders）

验证：发送测试邮件触发 DMARC FAIL，确认邮件被正确拦截或路由至垃圾邮件箱。

3. DKIM 豁免列表导致认证验证被跳过

症状：来自特定 IP 的邮件未经过 DKIM 检查即通过 DMARC 验证。

原因：DKIM 验证界面中的“豁免列表”（Exempt list）独立于全局受信任 IP，其中列出的 IP 会被单独豁免加密验证。如果此时 SPF 也没有明确失败，该邮件默认就能通过 DMARC 验证。

检查路径：安全性 (Security) → 发件人身份验证 (Sender Authentication) → DKIM 验证 (DKIM Verification) → 豁免列表 (Exempt list)

修复：定期将此列表与全局受信任 IP 共同审计。列表中保留的任何 IP 都应有明确的书面说明，过期的条目应及时清理。

验证：确认豁免列表中的条目均有合理说明，无过期或未知 IP。

4. 受信任域名/IP 配置绕过身份认证检查

症状：来自特定域名或 IP 的邮件完全绕过 SPF/DKIM/DMARC 检查。

原因：受信任的域名和 IP 会被 MDaemon 视为自身基础架构的一部分，来自这些来源的邮件会自动绕过身份验证检查。

检查路径：安全性 (Security) → 安全设置 (Security Settings) → 受信任的域名 (Trusted Domains) 和受信任的 IP (Trusted IPs)

修复：警惕历史遗留条目，例如旧的 SmartHost 域名、已停用的中继服务器主机名，或多年前添加且从未删除的供应商 IP。凡是无法用一句话说明其存在理由的条目，一律清理。

验证：审计后确认受信任列表仅包含当前必要的基础设施来源。

5. ARC 信任链导致认证失败被放行

症状：经邮件列表或转发中继的邮件，认证结果被 ARC 签名覆盖后放行。

原因：ARC（已验证接收链）通过合法中继机构保留原始认证结果。当上游被信任的 ARC 主机担保该邮件在修改前已通过认证，MDaemon 在进行 DMARC 验证时就可以采纳该结果。

检查路径：安全性 (Security) → 发件人身份验证 (Sender Authentication) → ARC 设置 (ARC Settings)

修复：审查被信任的 ARC 签名者列表，移除未知或不可信的签名者。

验证：如果环境中未配置 ARC，本条不适用。如已配置，确认信任签名者列表仅包含可信中继。

6. 验证动作配置与拦截预期不符

症状：SPF/DKIM/DMARC 验证均已开启且产生 FAIL 结果，但邮件未被拦截。

原因：验证本身并不决定投递结果，配置的“动作”（Action）才会。仅开启验证而未设置对应动作，无法实现策略预期的拦截效果。

检查路径：各发件人身份验证选项卡的动作设置区域。SPF 页面查看“当验证产生 FAIL 结果时：发送 550 错误代码”；DMARC 验证页面查看“当 DMARC 产生 FAIL 结果时遵循 p=reject”及“将未通过 DMARC 测试的邮件过滤至垃圾邮件文件夹”。

修复：在对应的认证选项卡中，将动作从“仅记录日志”改为实际的拦截或隔离动作。

验证：发送测试邮件确认 FAIL 邮件被正确执行配置的拦截动作。

7. SPF 或 DKIM 通过，但 DMARC “域名对齐”失败

症状：日志显示 SPF 或 DKIM 单项通过，但 DMARC 最终结果为 FAIL。

原因：DMARC 强制要求认证域名必须与可见的 From: 标头域名保持一致（对齐）。一封邮件可以用 mailer.attacker.com 进行加密签名并通过 DKIM 验证，但如果其可见的发件人标头显示为 ceo@yourcompany.com，DMARC 就会因为对齐失败而判定为 FAIL。

检查路径：查看 DMARC 最终验证结果（而非 SPF/DKIM 单项结果），关注对齐（Alignment）字段。

修复：如果是本域发出的邮件，确保发送平台使用本域选择器进行 DKIM 签名（品牌化 DKIM），且 SPF 记录覆盖发送 IP。

验证：发送测试邮件，确认 DMARC 对齐通过。

8. 内容过滤规则（Content Filter）覆写了拦截结果

症状：认证失败的邮件未被拦截，且日志显示内容过滤规则在认证之后执行了投递动作。

原因：内容过滤规则在身份验证评估完成后执行，并且能够改变邮件的最终命运。例如将特定主题邮件直接投递的规则、将已知发件人路由至指定文件夹的规则，或在满足特定条件时“停止继续处理后续规则”的操作，都可能覆写认证拦截结果。

检查路径：安全性 (Security) → 内容过滤器 (Content Filter)，尤其关注位于列表顶部的规则。

修复：审查规则执行顺序，确保认证拦截规则不会被后续规则覆写。删除过期或冲突的规则。

验证：发送测试邮件，确认认证失败时内容过滤规则不会改变拦截结果。

9. 邮件是通过“已认证的 SMTP 会话”发送进来的

症状：邮件携带 SPF/DKIM/DMARC 失败信息，但未经检查直接放行。

原因：如果某个用户（或被攻破的账号）使用有效的 SMTP 凭据登录到自建邮件服务器，MDaemon 默认会跳过对该会话的发件人身份验证检查。

检查路径：安全性 (Security) → 发件人身份验证 (Sender Authentication) → [各个选项卡]，查看是否启用了“不应用于已认证的会话”（Do not apply to authenticated sessions）。

修复：在发件人身份验证各选项卡中，取消“不应用于已认证的会话”选项，或使用 MDaemon 的“动态筛选”（Dynamic Screening）和“账号劫持检测”（Account Hijack Detection）功能防御凭据被盗用。

验证：使用测试账号通过 SMTP 认证发送邮件，确认身份验证检查正常执行。

自建邮箱认证拦截失效：9 步故障排除清单

当您在日志中发现一封“本不该被投递”的可疑邮件时，请按以下步骤排查：

1. ☐ 步骤 1：提取日志信息（预期结果：获取源 IP、MAIL FROM、From 标头及 SPF/DKIM/DMARC 具体验证结果）

   找到对应的 SMTP 会话日志以及路由/投递日志。记录源 IP、MAIL FROM 地址、可见的 From: 标头以及 SPF/DKIM/DMARC 的具体验证结果。

2. ☐ 步骤 2：确认已发布的 DMARC 策略（预期结果：若对方策略为 p=none，说明本方拦截设置按预期工作）

   对 _dmarc.<发件域名> 执行 DNS 查询。如果对方策略为 p=none，这本身就解释了为什么会被投递——您的拦截设置其实在按预期工作。

3. ☐ 步骤 3：检查 DKIM 验证豁免列表（预期结果：确认源 IP 未被豁免，或清理过期豁免条目）

   按源 IP 查询。该列表独立于全局受信任 IP，审计时极易被忽略。

4. ☐ 步骤 4：检查受信任域名与受信任 IP（预期结果：无宽泛 CIDR 或过期条目）

   尤其要对宽泛的 CIDR 地址段保持警惕。

5. ☐ 步骤 5：验证 ARC 信任配置（如适用）（预期结果：ARC 信任签名者列表仅包含可信中继）

   在使用 ARC 的环境中，检查是否因为信任了某个中间机构的 ARC 签名而导致了放行。

6. ☐ 步骤 6：确认域名对齐，而非仅看单项通过（预期结果：DMARC 最终结果显示对齐通过）

   重点查看 DMARC 的最终结果，而不仅仅是 SPF 或 DKIM 单项。邮件可以单项通过但 DMARC 对齐失败，而这才是防范冒充攻击的关键。

7. ☐ 步骤 7：审查内容过滤规则（预期结果：无规则覆写认证拦截结果）

   尤其是位于列表顶部的规则。包含“停止处理”或显式投递动作的规则可能会改变处理结果。

8. ☐ 步骤 8：检查会话是否经过认证（预期结果：未认证的外部邮件正常执行身份验证检查）

   如果来源是已认证的 SMTP 会话，失败检查可能在设计上被绕过了。排查凭据是否遭到泄露或滥用。

9. ☐ 步骤 9：确认已配置的强制执行动作（预期结果：SPF 设为发送 550，DMARC 设为遵循 p=reject）

   检查发件人身份验证下的各个选项卡，确保动作设置符合预期（例如 SPF 设为“发送 550 错误代码”，DMARC 设为“当结果为 FAIL 时遵循 p=reject”）。仅开启验证而未设置对应动作，无法实现策略预期的拦截效果。

开启 DMARC 报告功能

如果您尚未开启，现在正是为您自己的域名启用 DMARC 汇总报告（rua）和取证报告（ruf）的最佳时机。请确保您的 DMARC 记录中写入了接收邮箱： rua=mailto:rua-reports@yourdomain.com; ruf=mailto:ruf-reports@yourdomain.com

来自 Google、Microsoft 和 Yahoo 等接收方服务商的报告会精准告诉您：有哪些来源正在以您的域名名义发送邮件——这既包括您可能遗忘的合法渠道，也包括您此前毫不知情的冒充者。

报告本身是 XML 格式，不便于直接阅读，但市面上有许多免费或商业工具（如 Postmark、dmarcian、EasyDMARC 等）可以将其解析为直观的仪表板。即便只积累几周的报告数据，也能极大地提升您的信心，帮助您将出站策略安全地从 p=none 推进至 p=quarantine 或 p=reject。

自建邮箱季度安全审计：4 项必查配置

总结如下：

1. 核实 DMARC 处置动作设置未被修改： 确认 DMARC 设置下的“当 DMARC 产生 FAIL 结果时遵循 p=reject”和“将未通过 DMARC 测试的邮件过滤至垃圾邮件文件夹”均处于启用状态。

2. 审计受信任域名、受信任 IP 及 DKIM 豁免列表： 凡是无法用一句话说明其存在理由的条目，一律清理。

3. 审查内容过滤规则： 整理并记录每条与投递相关的规则的具体作用，删除过期规则。

4. 为您发送邮件的所有域名启用 DMARC 汇总报告： 设置 rua=mailto:dmarc-reports@yourdomain.com，借助于免费或商业解析工具，建立自建邮箱出站安全的完整可见性。

认证失败并不意味着自建邮箱安全防护失效。大多数情况下，日志中的“失败”与实际投递中的“拦截”之间的差距，仅仅取决于几项关键的配置选择。

自建邮箱认证排错常见问题（FAQ）

1. 为什么 SPF 验证通过了但 DMARC 还是显示 FAIL？
   SPF 验证的是 SMTP 信封 MAIL FROM 域名，而 DMARC 要求认证域名必须与可见的 From 标头域名对齐。如果两者不一致，即使 SPF 通过，DMARC 仍会判定为 FAIL。

2. MDaemon 如何检查 DMARC 处理动作是否被关闭？
   打开路径：安全性 (Security) → 发件人身份验证 (Sender Authentication) → DMARC 验证 (DMARC Verification)，确认“当 DMARC 产生 FAIL 结果时遵循 p=reject”选项已启用。

3. DKIM 豁免列表在哪里查看和管理？
   路径：安全性 → 发件人身份验证 → DKIM 验证 → 豁免列表（Exempt list）。该列表独立于全局受信任 IP，审计时容易被忽略。

4. MDaemon 内容过滤规则会不会覆盖 DMARC 拦截？怎么排查？
   内容过滤规则在身份验证之后执行，可以通过“停止处理”或显式投递动作覆写认证拦截结果。排查时需检查规则执行顺序和具体动作。

5. 如何区分邮件是被认证失败还是内容过滤规则拦截？
   查看 MDaemon SMTP 会话日志中的 SPF/DKIM/DMARC 验证结果，再结合内容过滤日志中的规则匹配记录，可以准确定位拦截原因。

系列文章导航：

• 概念篇：搞懂 SMTP 信封与邮件头的区别，建立投递排查的正确认知框架 → 《自建邮箱退信/投递异常排查基础：SMTP 信封与邮件头到底有什么区别》
• 实施篇：自建邮箱 DMARC 升级分阶段操作，从 p=none 到 p=reject → 《自建邮箱 DMARC 升级：从 p=none 到 p=reject 分阶段实施指南》

如果您在排查中仍无法定位问题根源，云璨作为 MDaemon 中国区授权服务商，可提供邮件系统健康检查与安全配置审计服务，快速诊断 SPF/DKIM/DMARC 各环节中的潜在隐患。欢迎联系云璨获取技术支持。