DMARC 为什么会失败？在 2024 年修复 DMARC 故障

当从您的域名发送的电子邮件无法通过 DMARC 设置的电子邮件验证检查时，就会发生 DMARC 失败。当电子邮件无法通过 DMARC 验证时，它可能会被阻止，导致可送达性降低，并损害您的发件人声誉。

DMARC 故障给依赖电子邮件进行业务通信的企业带来了巨大挑战。解决这些问题对于保持无缝通信、保护您的域以及确保您的电子邮件始终如一地送达收件人至关重要。

主要收获

• DMARC 故障会对电子邮件的可送达性产生负面影响，并使域面临安全风险。
• DMARC 失败的常见原因包括 SPF 或 DKIM 对齐问题、DKIM 签名配置错误、授权发件人的 DNS 条目丢失、电子邮件转发复杂化以及域欺骗攻击。
• 要解决 DMARC 故障，可以先放宽DMARC 策略（p=none），确保SPF 和 DKIM正确对齐，并更新所有授权来源的 DNS 记录。
• 通过DMARC 报告进行持续监控对于保持合规性和发现问题至关重要。
• PowerDMARC等工具通过自动检测和解决威胁，简化了实施过程并提高了电子邮件安全性。

DMARC 为什么会失败？5 个常见原因

DMARC 失败的常见原因包括对齐失败、发送源错位、DKIM 签名问题、转发邮件等。让我们逐一探讨： 

1.DMARC对接失败

DMARC 利用域对齐来验证您的电子邮件。这意味着，DMARC 通过将发件人地址（在可见标头中）中提到的域与隐藏的返回路径标头（针对 SPF）和 DKIM 签名标头（针对 DKIM）中提到的域进行匹配，来验证发件人地址（在可见标头中）中提到的域是否真实。如果两者匹配，则电子邮件通过 DMARC，否则会导致 DMARC 验证失败。 

因此，如果您的电子邮件未能通过 DMARC，可能是域名不对齐。也就是说，SPF 和 DKIM 标识都没有对齐，电子邮件似乎是从未经授权的来源发送的。不过，这只是 DMARC 失败的原因之一。 

DMARC对准模式

协议排列模式也会导致 DMARC 失败。您可以为 SPF 身份验证选择以下对齐模式：

• 放宽：这表示如果 Return-path 标头中的域和 From 标头中的域只是组织匹配，那么 SPF 也会通过。
• 严格：这表示只有当 Return-path 标头中的域和 From 标头中的域完全匹配时，SPF 才会通过。

你可以为DKIM认证选择以下排列模式。

• 放宽：这表示如果 DKIM 签名中的域和 From 头信息中的域只是组织匹配，那么 DKIM 也会通过。
• 严格：这表示只有当 DKIM 签名中的域和 From 头信息中的域完全匹配时，DKIM 才能通过。

请注意，要使电子邮件通过DMARC认证，SPF或DKIM都需要对齐。

2.未设置 DKIM 签名

DMARC 失败的一个常见原因是您没有为您的域名指定 DKIM 签名。在这种情况下，电子邮件交换服务提供商会分配一个默认的 DKIM 签名与发件人头中的域不一致。在这种情况下，接收 MTA 无法对齐两个域并发现不匹配。这将导致邮件的 DKIM 和 DMARC 失败。

3.未添加到 DNS 的发送源

需要注意的是，当您 设置 DMARC时，接收 MTA 会执行 DNS 查询以授权您的发送源。这意味着，除非您在域名的 DNS 中列出了所有授权的发送源，否则您的电子邮件将无法通过 SPF，随后也无法通过 DMARC 来处理未列出的发送源，因为接收方无法在您的 DNS 中找到它们。

因此，为确保您的合法电子邮件始终能够送达，请务必在 SPF DNS 记录中输入所有经授权代表您的域名发送电子邮件的授权第三方电子邮件供应商。

4.通过中介服务器转发的电子邮件

在典型的电子邮件转发场景中，两个通信主服务器之间会有额外的服务器。它们被称为中间服务器。您的电子邮件可能会经过一个或多个这样的中间服务器，然后才会最终送达主目的地服务器或收件人服务器。 SPF 检查会失败，因为中间服务器的 IP 地址与发送服务器的 IP 地址不匹配，而这个新的 IP 地址通常不会包含在原始服务器的 SPF 记录中。

幸运的是，电子邮件转发通常不会影响 DKIM 验证结果。在极少数情况下，中间服务器可能会对内容进行一些更改，如添加或更改邮件页脚，从而导致错误。不过，这种情况并不常见。 

为解决这一问题，您应立即在组织内选择完全符合 DMARC 的规定，根据 SPF 和 DKIM 对所有发出的邮件进行调整和验证。如果电子邮件通过了 SPF 或 DKIM，DMARC 就会通过。 

相关阅读 电子邮件转发和 DMARC

5.你的域名被欺骗了

如果在实施方面一切顺利，你的电子邮件可能由于欺骗攻击而导致DMARC失败。这是指冒名顶替者和威胁者试图使用一个恶意的IP地址来发送看似来自你的域名的邮件。

最近的电子邮件欺诈统计数据表明，电子邮件欺骗案件呈上升趋势，对企业的声誉构成了巨大威胁。在这种情况下，如果您在拒绝策略中实施了 DMARC，那么它就会失效，被欺骗的电子邮件将无法投递到收件人的收件箱中。因此，域名欺骗可以解决 DMARC 在大多数情况下失效的问题。

 

使用 PowerDMARC 像专家一样修复 DMARC 故障！

如何用 5 个步骤修复 DMARC 故障步骤?

为了修复DMARC故障，我们建议你注册我们的 DMARC分析器并开始你的DMARC报告和监测之旅。

步骤 1：从宽松的 DMARC 策略（p=无）开始

有了 "无 "策略，您可以通过以下方式开始监控您的域 DMARC (RUA) 汇总报告并密切关注您的入站和出站电子邮件，这将有助于您应对任何不需要的交付问题。这样，即使 DMARC 失败，您的邮件也能送达收件人。但是，这会使您容易受到网络钓鱼和欺骗攻击。

第 2 步：确保 SPF 和 DKIM 正确对齐

检查您的 DNS 记录是否有任何错误，并将 DMARC 实施与 DKIM 和 SPF 结合起来，以获得最大的安全性并降低误报风险。 

您可以使用免费的 DMARC 检查器工具来查找 DMARC 语法或 DNS 记录格式中的错误。这些错误可能包括多余的空格、拼写错误等。

同时使用 SPF 和 DKIM 对齐 

将DKIM和SPF结合起来使用，为电子邮件认证提供了一个分层的方法。DKIM验证邮件的完整性，确保它没有被篡改过，而SPF验证发送服务器的身份。它们一起帮助建立对电子邮件来源的信任，减少欺骗、网络钓鱼和未经授权的电子邮件活动的风险。

步骤 3：通过执法加强防御

之后，我们帮助你转向一个强制的政策，最终帮助你获得对域名欺骗和网络钓鱼攻击的免疫力。

步骤 4：利用人工智能驱动的威胁检测提供保护

在我们的威胁情报引擎的帮助下，拿下恶意的IP地址，并直接从PowerDMARC平台报告，以逃避未来的冒充攻击。

步骤 5：利用取证报告持续优化

启用DMARC（RUF）鉴证报告，获得关于你的电子邮件未能通过DMARC的案例的详细信息，这样你就可以找到问题的根源并更快地解决它。

为什么第三方邮箱供应商的DMARC会失败？

如果你使用外部邮箱供应商代表你发送邮件，你需要为他们启用DMARC、SPF和/或DKIM。你可以通过联系他们并要求他们为你处理实施，或者你可以自己动手，手动激活这些协议。要做到这一点，你需要访问你在这些平台上托管的账户门户（作为管理员）。

如果没有为你的外部邮箱提供商激活这些协议，就会导致DMARC失败。

如果 Gmail 邮件的 DMARC 失败，请查看您的域名 SPF 记录，检查是否包含了 _spf.google.com。如果没有，这可能是接收服务器无法将 Gmail 识别为授权发送源的原因。这同样适用于从 MailChimp、SendGrid 和其他公司发送的电子邮件。

热门电子邮件提供商的 DMARC 失败情况

当电子邮件未能通过 DMARC 检查时，主要的电子邮件提供商会返回特定的拒绝信息来表明这一失败。这些拒绝信息通常指出电子邮件验证存在问题，并说明发件人的 DMARC 策略已被违反。以下是不同电子邮件平台的表现形式：

1. 电子邮件:如果发送到 Gmail 收件箱的电子邮件的 DMARC 检查失败，可能会出现一条拒绝消息，说明 "550-5.7.26 此邮件已被阻止，因为发件人未经验证"。消息中可能会提及访问 Google 支持页面以了解有关 DMARC 问题的更多信息。
2. 展望:如果一封电子邮件在 Outlook 中没有通过 DMARC 验证，您可能会看到一个响应，显示由于发送域未通过 DMARC 验证而拒绝发送，并将策略设置为拒绝。这些响应中可能包含一个唯一标识符，以帮助排除故障。
3. 雅虎:对于不符合 DMARC 的情况，Yahoo 的信息可能会指出，由于政策原因，该电子邮件未被接受。它通常会提供指向其他资源的链接或错误代码，以了解更多详情。

这些信息的措辞各不相同，但都强调了域名的电子邮件配置与 DMARC 策略之间的不一致。要解决这些问题，必须调整电子邮件服务设置。

如何检测邮件是否未通过 DMARC？

如果启用了 DMARC 报告功能，就可以轻松检测到邮件的 DMARC 失败。 DMARC 报告.此外，您还可以进行电子邮件标题分析或使用 Gmail 的电子邮件日志搜索。让我们来探讨一下如何操作：

1.为您的域启用 DMARC 报告功能

要检测DMARC失败，请使用您的DMARC协议提供的这一便利功能。你只需在你的DMARC DNS记录中定义一个 "rua "标签，就可以从ESPs收到包含你的DMARC数据的报告。你的语法可能是这样的： 

v=DMARC1; ptc=100; p=reject; rua=mailto:[email protected]； 

rua标签应包含你希望收到报告的电子邮件地址。 

在PowerDMARC，我们提供简化和人类可读的报告，帮助你轻松检测DMARC故障，并更快地排除故障：

2.手动分析邮件标题或部署分析工具

DMARC失败也可以通过分析你的电子邮件标题来检测。

a.手工方法

你可以手动分析标题，如下所示

如果你使用Gmail发送电子邮件，你可以点击一个信息，点击 "更多"（右上角的3个点），然后点击 "显示原文"： 

你现在可以检查你的DMARC认证结果：

b.自动分析工具

PowerDMARC的 邮件头分析器是一个即时检测DMARC失败错误和缓解DMARC失败问题的优秀工具。

在我们这里，你会得到一份关于你的电子邮件的DMARC状态的全面分析，对齐和其他符合性，如下所示：

3.使用谷歌电子邮件日志搜索

你可以通过使用谷歌的电子邮件日志搜索，找到关于某个特定邮件失败的DMARC的额外信息。这将揭开信息细节，传递后的信息细节和收件人细节。结果以表格的形式呈现，如下图所示：

图片来源

用PowerDMARC修复DMARC失败

PowerDMARC 通过提供一系列全面的特性和功能来减少 DMARC 故障。首先，它通过提供逐步指导和自动化工具，帮助企业正确部署 DMARC。这确保了DMARC 记录、SPF 和 DKIM 身份验证的正确配置，增加了 DMARC 成功实施的机会。

一旦 DMARC 就位，PowerDMARC 就会持续监控电子邮件流量，并针对 DMARC 故障生成实时报告和警报。这种可视性使企业能够快速识别身份验证问题，如 SPF 或DKIM 故障，并采取纠正措施。

除了监测，PowerDMARC还整合了AI威胁情报能力。它利用全球威胁源来识别和分析网络钓鱼攻击和欺骗尝试的来源。通过提供对可疑电子邮件活动的洞察力，企业可以主动识别潜在的威胁，并采取必要的措施来减轻风险。

联系我们开始工作！

总结：以正确的方式推进电子邮件安全

通过采用多层次的电子邮件安全方法，组织和个人可以大大增强他们对不断变化的网络威胁的防御能力。这包括实施强大的认证机制，采用加密技术，教育用户了解网络钓鱼攻击，并定期更新安全协议。 

此外，集成 人工智能工具来进一步提高电子邮件的安全性能，是应对网络犯罪分子组织的复杂攻击的最佳方法。

防止 DMARC 失败，轻松解决 DMARC 错误、 注册立即与 PowerDMARC 的 DMARC 专家团队取得联系！

内容审查和事实核查流程

本文由网络安全专家撰写。本文所传达的方法和实践是我们为客户部署的真实策略，帮助他们克服了 DMARC 故障。如果这些方法对您不起作用，请联系我们、 联系我们获取 DMARC 专家的免费指导。