域名所有者经常会犯这样的错误，即认为他们的电子邮件验证之旅在执行时就结束了。他们不知道，在p=reject之后的生活是一个重要的阶段，它决定了他们域名的电子邮件安全态势的整体强度。为了持续保护域名免受欺骗和网络钓鱼攻击，制定一个在实现强制执行后才开始的电子邮件安全策略是非常必要的。

什么是P=Reject？

许可证机制有3种明确的执行模式，人们可以部署，它们是。

p=无（不采取任何行动）。
p=quarantine (隔离未能通过DMARC的电子邮件)
p=拒绝 (在DMARC失败的情况下，拒绝电子邮件) 拒绝)

拒绝是DMARC的最大执行政策，它可以帮助域名所有者在欺骗或钓鱼邮件到达客户收件箱之前将其阻挡在外。那些希望利用DMARC来保护他们的域名免受基于电子邮件的攻击载体的人可能会发现p=reject是一个合适的策略模式。

如何达到P=拒绝模式？

更多的时候，域名所有者试图匆忙完成他们的协议部署过程，并期望尽快实现执行。然而，这并不值得推荐。让我们解释一下原因。

与DMARC有关的风险在拒绝

以非常快的速度转向执行，会导致电子邮件的交付问题
它可能导致合法的电子邮件信息的丢失
这可能会导致在你自己的域外发送的电子邮件出现DMARC失败。

建议的做法是什么？

虽然拒绝政策有它自己的一套警告和免责条款，但它在防止各种电子邮件欺诈攻击方面的有效性是不可否认的。因此，现在让我们探讨如何安全地转向拒绝。

从p=none开始

与其从强制政策开始，不如从提供更多灵活性和自由的东西开始，这正是p=none的作用。这个政策，虽然在保护方面没有什么作用，但可以作为一个优秀的监控工具，协助你的实施之旅。

启用DMARC报告

监控你的电子邮件渠道可以帮助你防止由于错误的协议配置而导致的不必要的发送失败。它可以让你可视化和检测错误，并更快地排除故障。

DMARC报告可以帮助你确定你的电子邮件认证政策的有效性。

虽然电子邮件认证不是银弹，但它可以成为你安全武器库中的一个有效工具。通过DMARC报告，你可以看到你的努力是否有效，以及你可能需要调整策略的地方。

有2种类型的报告。

聚合（RUA）旨在帮助你跟踪你的电子邮件发送源、发送者的IP地址、组织域和地理位置。
法医（RUF）被设计为在发生像欺骗这样的法医事件时，作为事件警报报告工作。
同时配置SPF和DKIM以及DMARC

当涉及到DMARC的实施时，太多的厨师并不会破坏肉汤。相反，安全专家建议将DMARC与SPF和DKIM配对，以加强保护，并减少误报的可能性。这也可以防止不必要的DMARC失败。

DMARC需要的是 SPF或 DKIM来通过认证。

这在帮助你安全地实施拒绝策略方面起着关键的作用，确保即使SPF失败而DKIM通过，或者反过来，MARC将通过预期的信息。

包括你所有的发送来源

当你试图避免不必要的DMARC失败时，在你的SPF记录中漏掉发送源会造成特别大的伤害。重要的是，要列出你所有的电子邮件发送源（包括第三方电子邮件供应商和服务提供商，如Gmail、微软O365、雅虎邮箱、Zoho等）。

如果你只是把 SPF 和 DMARC 结合起来使用，这一点就特别重要。每次你添加或删除一个发送源，你的 SPF 记录都必须反映同样的变化。

总结你在P=拒绝后的生活

监测你的电子邮件认证协议是p=reject后生活的一个重要部分。它不仅可以确保你的安全措施的有效性得到保持，还可以让你更深入地了解它们的功能，以确定什么是最适合你的。 A DMARC分析器帮助你更顺利地从p=none过渡到拒绝，避免递送性问题，监控你的电子邮件渠道，更新协议政策，并在一个平台上轻松地排除问题。