DMARC 为什么会失败？在 2024 年修复 DMARC 故障

一、引言

拥有超过每天发送无数邮件、错误成为一个大问题。DMARC 是基于域的消息验证、报告和一致性的简称，是一种安全协议，可保护您的电子邮件免受冒充和网络钓鱼攻击。但是，DMARC 有时会出现故障，可能会中断电子邮件的发送。DMARC 失败可能会令人沮丧，尤其是当您依赖电子邮件开展业务时。它们甚至会使您的电子邮件无法送达预定收件人。请注意，DMARC 要求 SPF 或 DKIM 同时实施时才能通过。但是，如果 DMARC 仅依赖于 SPF 或 DKIM，则任一协议的失败都会导致 DMARC 验证失败。 DMARC 失败的常见原因是简而言之，如果 DMARC 失败，您的电子邮件就无法通过 DMARC 验证。DMARC 失败错误会影响您的电子邮件营销工作，并大大降低您的电子邮件送达率。 在本文中，您将了解到 DMARC 是基于域的消息验证、报告和一致性的简称。它是一种电子邮件验证协议，通过帮助防止电子邮件欺骗和网络钓鱼攻击，提供额外的安全保护。DMARC 使域名所有者能够发布包含策略的 DNS 记录。这些策略指示接收邮件服务器如何处理声称来自其域的电子邮件。您可以使用 DMARC 拒绝或隔离未经授权的电子邮件，从而更好地控制电子邮件的发送。DMARC 还能生成报告，提供有关电子邮件验证失败的宝贵见解。以下是一些各行业 DMARC 的最新统计数据：总的来说，DMARC 通过执行认证检查，使企业能够保护其品牌声誉和用户免受基于电子邮件的威胁，从而有助于增强电子邮件的安全性。

二、DMARC 失败的原因

导致 DMARC 失败的原因有很多，包括 SPF 和 DKIM 验证失败、"发件人 "域之间不一致、和转发或第三方服务修改电子邮件签名的问题、DMARC 策略配置错误以及恶意行为者试图欺骗合法域。DMARC 失败会导致电子邮件认证问题，潜在的交付问题，以及增加网络钓鱼攻击的风险。了解这些原因并实施适当的配置和认证措施，可以帮助提高 DMARC 的合规性并增强 DMARC 失败的常见原因包括对齐失败、发送源错位、DKIM 签名问题、转发邮件等。让我们逐一探讨： DMARC 利用域名对齐来验证你的电子邮件。这意味着 DMARC 通过与隐藏的 Return-path 头（用于 SPF）和 DKIM 签名头（用于 DKIM）中提到的域名相匹配，来验证发件人地址（在可见头中）中提到的域名是否真实。如果两者匹配，电子邮件就能通过 DMARC，否则就会导致 DMARC 失败。 因此，如果您的电子邮件未能通过 DMARC，可能是域名不对齐。也就是说，SPF 和 DKIM 标识都没有对齐，电子邮件似乎是从未经授权的来源发送的。不过，这只是 DMARC 失败的原因之一。

三、协议排列模式

协议排列模式也会导致 DMARC 失败。您可以为 SPF 身份验证选择以下对齐模式：你可以为 DKIM 认证选择以下排列模式。DMARC 失败的一个常见原因是您没有为您的域名指定 DKIM 签名。在这种情况下，电子邮件交换服务提供商会分配一个默认的与您发件人头中的域不一致。在这种情况下，接收 MTA 无法对齐两个域并发现不匹配。这将导致邮件的 DKIM 和 DMARC 失败。需要注意的是，当您时，接收 MTA 会执行 DNS 查询以授权您的发送源。这意味着，除非您在域名的 DNS 中列出了所有授权的发送源，否则您的电子邮件将无法通过 SPF，随后也无法通过 DMARC 来处理未列出的发送源，因为接收方无法在您的 DNS 中找到它们。因此，为确保您的合法电子邮件始终能够送达，请务必在 SPF DNS 记录中输入所有经授权代表您的域名发送电子邮件的授权第三方电子邮件供应商。在典型的电子邮件转发场景中，两个通信主服务器之间会有额外的服务器。它们被称为中间服务器。您的电子邮件可能会经过一个或多个这样的中间服务器，然后才会最终送达主目的地服务器或收件人服务器。会失败，因为中间服务器的 IP 地址与发送服务器的 IP 地址不匹配，而这个新的 IP 地址通常不会包含在原始服务器的 SPF 记录中。幸运的是，电子邮件转发通常不会影响 DKIM 验证结果。在极少数情况下，中间服务器可能会对内容进行一些更改，如添加或更改邮件页脚，从而导致错误。不过，这种情况并不常见。 为解决这一问题，您应立即在组织内选择完全符合 DMARC 的规定，根据 SPF 和 DKIM 对所有发出的邮件进行调整和验证。如果电子邮件通过了 SPF 或 DKIM，DMARC 就会通过。

四、欺骗攻击

如果在实施方面一切顺利，你的电子邮件可能由于欺骗攻击而导致 DMARC 失败。这是指冒名顶替者和威胁者试图使用一个恶意的 IP 地址来发送看似来自你的域名的邮件。最近的电子邮件欺诈统计得出的结论是，电子邮件欺骗案件正在上升，对你的组织的声誉构成了很大的威胁。在这种情况下，如果你在拒绝策略上实施了 DMARC，它就会失败，被欺骗的邮件就不会被送到收件人的收件箱。因此，域名欺骗可能是大多数情况下 DMARC 失败的答案。如果你使用外部邮箱供应商代表你发送邮件，你需要为他们启用 DMARC、SPF 和/或 DKIM。你可以通过联系他们并要求他们为你处理实施，或者你可以自己动手，手动激活这些协议。要做到这一点，你需要访问你在这些平台上托管的账户门户（作为管理员）。如果没有为你的外部邮箱提供商激活这些协议，就会导致 DMARC 失败。如果 Gmail 邮件的 DMARC 失败，请查看您的域名 SPF 记录，检查是否包含了。如果没有，这可能是接收服务器无法将 Gmail 识别为授权发送源的原因。这同样适用于从 MailChimp、SendGrid 和其他公司发送的电子邮件。如果启用了 DMARC 报告功能，就可以轻松检测到邮件的 DMARC 失败。此外，您还可以进行电子邮件标题分析或使用 Gmail 的电子邮件日志搜索。让我们来探讨一下如何操作：要检测 DMARC 失败，请使用您的 DMARC 协议提供的这一便利功能。你只需在你的 DMARC DNS 记录中定义一个 "rua "标签，就可以从 ESPs 收到包含你的 DMARC 数据的报告。你的语法可能是这样的： rua 标签应包含你希望收到报告的电子邮件地址。 在 PowerDMARC，我们提供简化和人类可读的报告，帮助你轻松检测 DMARC 故障，并更快地排除故障：DMARC 失败也可以通过分析你的电子邮件标题来检测。你可以手动分析标题，如下所示如果你使用 Gmail 发送电子邮件，你可以点击一个信息，点击 "更多"（右上角的 3 个点），然后点击 "显示原文"： 你现在可以检查你的 DMARC 认证结果：PowerDMARC 的是一个即时检测 DMARC 失败错误和缓解 DMARC 失败问题的优秀工具。在我们这里，你会得到一份关于你的电子邮件的 DMARC 状态的全面分析，对齐和其他符合性，如下所示：你可以通过使用谷歌的电子邮件日志搜索，找到关于某个特定邮件失败的 DMARC 的额外信息。这将揭开信息细节，传递后的信息细节和收件人细节。结果以表格的形式呈现，如下图所示：为了修复 DMARC 故障，我们建议你注册我们的并开始你的 DMARC 报告和监测之旅。有了一个无政策，你就可以通过以下方式开始监控你的域名并密切关注你的入站和出站邮件，这将有助于你应对任何不需要的交付问题。之后，我们帮助你转向一个强制的政策，最终帮助你获得对域名欺骗和网络钓鱼攻击的免疫力。在我们的威胁情报引擎的帮助下，拿下恶意的 IP 地址，并直接从 PowerDMARC 平台报告，以逃避未来的冒充攻击。启用 DMARC（RUF）鉴证报告，获得关于你的电子邮件未能通过 DMARC 的案例的详细信息，这样你就可以找到问题的根源并更快地解决它。为了解决 DMARC 失败的邮件，你可以选择一个更宽松的检查你的 DNS 记录是否有错误，并将你的 DMARC 实施与 DKIM 和 SPF 结合起来，以获得最大的安全性和减少错误的风险。您可以使用免费的工具来查找 DMARC 语法或 DNS 记录格式中的错误。这些错误可能包括多余的空格、拼写错误等。你总是可以为 DMARC 选择一个更宽松的政策，如 "无"。这将允许你的信息到达你的收件人，即使 DMARC 对他们来说是失败的。然而，这使你容易受到网络钓鱼和欺骗性攻击。 将 DKIM 和 SPF 结合起来使用，为电子邮件认证提供了一个分层的方法。DKIM 验证邮件的完整性，确保它没有被篡改过，而 SPF 验证发送服务器的身份。它们一起帮助建立对电子邮件来源的信任，减少欺骗、网络钓鱼和未经授权的电子邮件活动的风险。PowerDMARC 通过提供一系列全面的特性和功能来减轻 DMARC 的故障。首先，它通过提供分步指导和自动化工具，协助企业正确部署 DMARC。这确保了 DMARC 记录、SPF 和 DKIM 认证的正确配置，增加了成功实施 DMARC 的机会。一旦 DMARC 到位，PowerDMARC 将持续监控电子邮件流量，并生成实时报告和 DMARC 故障警报。这种可见性使企业能够快速识别认证问题，如 SPF 或 DKIM 失败，并采取纠正措施。除了监测，PowerDMARC 还整合了 AI 威胁情报能力。它利用全球威胁源来识别和分析网络钓鱼攻击和欺骗尝试的来源。通过提供对可疑电子邮件活动的洞察力，企业可以主动识别潜在的威胁，并采取必要的措施来减轻风险。开始工作！通过采用多层次的电子邮件安全方法，组织和个人可以大大增强他们对不断变化的网络威胁的防御能力。这包括实施强大的认证机制，采用加密技术，教育用户了解网络钓鱼攻击，并定期更新安全协议。 此外，集成来进一步提高电子邮件的安全性能，是应对网络犯罪分子组织的复杂攻击的最佳方法。防止 DMARC 失败，轻松解决 DMARC 错误、立即与 PowerDMARC 的 DMARC 专家团队取得联系！本文由网络安全专家撰写。本文所传达的方法和实践是我们为客户部署的真实策略，帮助他们克服了 DMARC 故障。如果这些方法对您不起作用，请联系我们、获取 DMARC 专家的免费指导。