电子邮件与 DNS 安全
如果没有 SPF 和 DMARC，任何人都可以发送看似来自您域名的网络钓鱼电子邮件。如果没有注册商锁定，您的域名可能会被劫持。这两种风险在造成损失之前都是不可见的。
Ludwig Makhyan · 创始人, WebsiteCoach
高管摘要
您的域名是重要的品牌资产。如果没有适当的 DNS 安全记录，攻击者就能发送看起来完全像您公司发出的钓鱼邮件 - 目标直指您的客户、合作伙伴或员工。如果没有注册商锁定（EPP 代码），黑客一旦侵入您的注册商账户，就能将您的域名完全转移走。
业务影响
使用未受保护的域名进行电子邮件欺骗是商业电子邮件欺诈 (BEC) 的主要原因之一。根据 FBI 报告，该诈骗在 2022 年给企业造成了 27 亿美元的损失。一次成功的域名劫持会让您的网站瘫痪数日，并摧毁多年来建立的搜索引擎排名。DMARC 强制执行（p=reject）能够在邮件服务器层面拦截此类攻击。
来源：通过 Cloudflare DNS over HTTPS API 获取的 DNS 记录。
DNS 记录说明
该 DNS/邮件信号影响送达率、防伪冒、域名信任和证书控制。
- SPF 记录 — 存在、有效且策略严格
- DMARC — 策略级别（none / quarantine / reject）
- DMARC rua= 聚合报告地址
- DKIM — 探测 18 个常见 selector
- MX 记录 — 已配置入站邮件
- CAA — 证书颁发机构限制
- TLS-RPT — TLS 失败报告
- MTA-STS — 对入站邮件强制 TLS
- BIMI — 邮件客户端中的品牌标识
- 服务器地理位置与托管服务商
- 综合邮件送达率评分（0-100）
基于角色的行动计划
高管 / 法务品牌保护与合规
- →在监控阶段后批准 DMARC p=reject 策略（通常在 p=none 阶段保持 30-60 天）
- →确认域名注册商账户已启用 2FA 并开启了 EPP 锁定
- →将电子邮件验证合规性纳入网络保险评估
IT / 运维DNS 配置
- →添加 SPF TXT 记录：v=spf1 include:your-mail-provider.com -all
- →在 _dmarc.yourdomain.com 处添加带有 rua= 报告地址的 DMARC TXT 记录
- →在域名注册商处启用所有三个 EPP 锁定代码
- →在您的电子邮件发送服务中配置 DKIM 并发布 DNS 密钥
安全工程师监控与执行
- →设置 DMARC 汇总报告解析（如 Valimail、Postmark DMARC、MXToolbox）
- →随着报告确认邮件对齐，逐步将 DMARC 策略从 p=none 升级至 p=quarantine，最后到 p=reject
- →监控 DMARC 报告中是否出现新的发送源 - 这可能表明存在影子 IT (Shadow IT) 或未经授权的电子邮件服务
常见问题
电子邮件与 DNS 安全 是什么？
如果没有 SPF 和 DMARC，任何人都可以发送看似来自您域名的网络钓鱼电子邮件。如果没有注册商锁定，您的域名可能会被劫持。这两种风险在造成损失之前都是不可见的。
电子邮件与 DNS 安全 为什么重要？
使用未受保护的域名进行电子邮件欺骗是商业电子邮件欺诈 (BEC) 的主要原因之一。根据 FBI 报告，该诈骗在 2022 年给企业造成了 27 亿美元的损失。一次成功的域名劫持会让您的网站瘫痪数日，并摧毁多年来建立的搜索引擎排名。DMARC 强制执行（p=reject）能够在邮件服务器层面拦截此类攻击。
相关主题