DMARC

DMARC 告诉收件服务器：当一封自称来自你域名的邮件未通过 SPF 和 DKIM 对齐时该如何处理，以及把报告发送到哪里。Gmail 和 Yahoo 要求大量发信的发件人必须配置它，它还能保护你的域名免遭仿冒。

SpacePost 会为每个域名返回一条推荐的入门记录：

类型	名称	值
TXT	`_dmarc`	`v=DMARC1; p=none;`

验证并不要求它，但请务必添加。

SpacePost 中的对齐机制

DKIM：邮件通过你的三条 Easy DKIM CNAME 以 d=acme.com 签名。这与 From: hello@acme.com 对齐。
SPF：信封发件人（return path）是 send.acme.com，即你 From 域名的子域名，因此 SPF 在宽松模式下对齐。这就是 send 的 MX 和 TXT 记录很重要的原因。

只要其中一项对齐，DMARC 就能通过；两项都对齐最为稳妥。

策略

策略	效果	适用时机
`p=none`	仅监控，不拦截任何邮件。	从这里开始。
`p=quarantine`	未通过的邮件进入垃圾邮件文件夹。	报告连续几周正常之后。
`p=reject`	未通过的邮件被拒收。	完全保护。

带报告的典型演进步骤：

v=DMARC1; p=none; rua=mailto:dmarc@acme.com; fo=1;
v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc@acme.com;
v=DMARC1; p=reject; rua=mailto:dmarc@acme.com;

rua 是汇总 XML 报告的发送地址。可以使用 DMARC 报告服务来阅读它们。

子域名

acme.com 上的 _dmarc 记录同样覆盖子域名，除非你添加 sp=。如果你从 mail.acme.com 发信，可以单独发布一条 _dmarc.mail 记录。