邮件身份认证

邮件身份认证（也叫邮件校验），是一套用于验证邮件来源与合法性的处理流程。

身份认证帮助邮箱服务商辨别邮件的真实来源：判断邮件来自可信发送方，还是垃圾邮件发送者、诈骗分子伪造冒充他人发出的消息。

目前行业应用最广泛的三项邮件身份认证技术为 SPF、DKIM、DMARC，下文会逐一说明。邮件只要通过其中至少一项认证，进入收件箱的概率会显著提升；如果缺少认证或者配置错误，会立刻触发接收方的风险预警，邮件有可能落入垃圾邮件文件夹，甚至直接投递失败。

#邮件身份认证核心要点

• 为什么需要做邮件身份认证
• 主流的邮件身份认证方式
• 如何检测邮件身份认证配置

#为什么需要做邮件身份认证

邮件身份认证标准，帮助邮件服务商对抗垃圾邮件与钓鱼攻击，辨别合法邮件，最终保护收件人安全。

互联网早期，邮件服务商对发件方的信任门槛较低，并不依赖身份认证机制。垃圾邮件、钓鱼攻击者正是利用这一漏洞开展作恶。时至今日，攻击者依旧可以轻易伪造邮件，诱骗收件人泄露密码、账号等敏感信息，或是诱导用户下载恶意软件、间谍软件与各类病毒。

攻击者还可以伪装成你的品牌向外发送邮件，会直接威胁你的客户安全。

完成邮件身份认证，你可以实现以下收益：

• 向邮箱服务商传递信号：你的发信行为满足高安全标准，尊重收件用户；
• 抵御垃圾邮件与钓鱼攻击，保护自身品牌；
• 证明你的邮件具备合法来源；
• 提升邮件送达率；
• 维护你的域名信誉。

#主流的邮件身份认证方式

邮件服务商主要依靠三项身份认证技术，也就是常见的几组缩写：

• SPF（发件人策略框架）：基于域名的机制，定义哪些IP地址有权代表该域名发送邮件。
• DKIM（域名密钥识别邮件）：针对单封邮件做签名，使用加密技术签署邮件，验证邮件传输途中没有被篡改。
• DMARC（基于域名的消息身份验证、报告与合规）：域名侧的规则，告诉接收服务器，当邮件身份校验失败时应当如何处置（放行、隔离、拒绝）。

💡 补充：除SPF、DKIM、DMARC之外，邮箱服务商也开始推荐企业配置 BIMI（邮件品牌标识，读音：bi‑mee）。开启BIMI后，通过身份认证的邮件，会在收件箱中展示企业品牌Logo。

#SPF 的工作原理

域名所有者在DNS中登记被授权的IP与发信来源。当邮件的退回路径（Return‑Path）使用该域名时，接收方查询该域名的授权发信源，核对发送IP是否在授权列表内。

#DKIM 的工作原理

域名所有者生成一对公钥与私钥：私钥仅由签名服务方（一般为邮件服务提供商）保管；公钥存放于域名DNS记录中。发送邮件时，签名服务方使用私钥，针对邮件指定内容生成唯一哈希签名，附加在邮件头部。接收服务器读取DNS上的公钥校验哈希签名；校验通过即代表：邮件内容传输过程未被篡改，签名域名对这封邮件承担责任。

#DMARC 的工作原理

域名所有者在DNS发布DMARC策略，告知接收服务器，基于SPF、DKIM的校验结果该如何处理本域名发出的邮件。该策略作用于邮件From头部使用该域名的全部邮件。DMARC校验通过的前提：SPF或DKIM其中一项校验通过，并且满足域名对齐规则。

#如何检测邮件身份认证配置

最简单的检测方式：使用待测试域名发送一封邮件，查看邮件原始头部，确认SPF、DKIM、DMARC的校验结果。 示例：在Gmail打开原始邮件，可以直接看到三项认证的校验状态（PASS代表全部通过）。

💛提示：更高效的方式是使用专业监控检测工具，例如DMARC Digests。可以快速定位导致DMARC校验失败的各类身份认证问题，并给出可落地的修复指引。

邮件身份认证涉及大量缩写术语，理解起来会有一定门槛。如果需要，可以阅读《邮件投递全过程》科普内容，了解SPF、DKIM在完整投递链路中的作用。