What is the difference between SPF, DKIM, and DMARC?

SPF, the Sender Policy Framework, lists which servers are allowed to send mail for your domain. DKIM, DomainKeys Identified Mail, adds a cryptographic signature so a receiver can confirm the message was not altered in transit and came from your domain. DMARC ties the two together: it requires that the domain authenticated by SPF or DKIM align with the visible From address and tells receivers what to do when a message fails.

Is email authentication required by Gmail and Yahoo?

Yes. Under the sender requirements that Gmail and Yahoo enforce, all senders need SPF or DKIM, valid reverse DNS, and TLS. Bulk senders, defined as those sending roughly 5,000 or more messages a day to Gmail addresses, must additionally publish a DMARC record, pass domain alignment, and support one-click unsubscribe on marketing mail. A DMARC policy of p=none currently satisfies the DMARC requirement.

Does email authentication stop all spam?

No. Authentication proves a message genuinely came from the domain it claims, which stops exact-domain spoofing and impersonation, but it does not judge whether the content is wanted. A spammer can authenticate their own domain. Authentication is one layer of trust that mailbox providers combine with reputation, engagement, and content signals to decide inbox placement.

How does email verification relate to email authentication?

They solve different problems. Email authentication proves you are a legitimate sender, configured on the DNS of the domain you send from. Email verification checks the addresses you send to, confirming each recipient mailbox is real and deliverable. Authentication earns trust at the gate, while verification keeps bounce and complaint rates low so that trust is not eroded by a poor-quality list.

什么是电子邮件认证？

电子邮件认证是一组基于 DNS 的标准，让接收邮件服务器能够确认邮件确实来自其声称的域名。三项核心协议是 SPF、DKIM 和 DMARC。它们共同防止攻击者冒充您的域名，并向邮箱服务商表明您的邮件是合法的，这如今已是进入收件箱的基本要求。

作者 VeriMails 编辑团队更新于 2026 年 5 月 25 日

免费开始查看价格 →

定义

电子邮件认证是一组以记录形式发布在域名 DNS 中的技术标准，用于验证邮件的来源和完整性。电子邮件在设计之初并没有考虑发件人验证，所以默认情况下，任何人都可以在 From 字段中填写任何地址。认证弥补了这一缺陷，让接收服务器能够检查一封声称来自您域名的邮件是否确实获得了该域名的授权。

这项工作由三项协议完成。SPF（Sender Policy Framework，发件人策略框架）声明哪些邮件服务器被允许代表您的域名发信。DKIM（DomainKeys Identified Mail，域名密钥识别邮件）为每封邮件附加加密签名，让接收方能确认邮件未被篡改且来自您的域名。DMARC（Domain-based Message Authentication, Reporting and Conformance，基于域名的邮件认证、报告与一致性）将这些校验与收件人实际看到的地址绑定，并告诉接收方如何处理认证失败的邮件。相关标准 BIMI 可以在 DMARC 进入强制执行后显示经过验证的品牌标志，但它是建立在这套体系之上的，而不是替代它。

认证是发件域名的属性，由域名所有者在 DNS 中配置。它不是收件人需要设置的东西，也与您列表上的收件人是否真实是两回事。后一个问题属于邮箱验证的职责，这也是两者经常被放在一起讨论的原因。

工作原理

每项协议都在接收服务器接收邮件的那一刻运行。SPF 通过一条 DNS 记录发挥作用，该记录列出了获授权为您的域名发信的 IP 地址和服务器。邮件到达时，接收服务器会查看发件服务器的 IP 地址，并与您发布的 SPF 记录进行比对。如果 IP 在列，SPF 通过；否则失败。

DKIM 通过公钥加密发挥作用。您的发信系统用私钥对外发邮件签名，在邮件头中附加签名，并在 DNS 中发布对应的公钥。接收服务器获取公钥、验证签名，同时确认两件事：邮件由您的域名签名，且邮件的已签名部分在传输中未被更改。

DMARC 位于最上层，并引入了对齐的概念。SPF 和 DKIM 各自认证一个域名，但这个域名不一定是收件人在 From 行中看到的那个。DMARC 要求经过认证的域名与可见的 From 域名对齐，这样攻击者就无法用自己控制的域名通过认证，同时在可见地址中冒用您的域名。DMARC 记录还会发布一项策略：p=none 只要求接收方监控和报告，p=quarantine 要求对失败邮件保持警惕，p=reject 则要求直接拦截。DMARC 还会生成汇总报告，显示有谁在以您的域名发送邮件，这对发现配置错误和滥用极有价值。

为什么它对邮件送达率很重要

电子邮件认证已从最佳实践变成硬性要求。Gmail 和 Yahoo 执行的发件人要求将认证作为投递的前提条件。每个发件人都需要配置 SPF 或 DKIM，并具备有效的反向 DNS、正确配置的 PTR 记录以及 TLS 加密传输。批量发件人，即每天向 Gmail 地址发送约 5,000 封或以上邮件的发件人，还需承担额外义务：必须发布 DMARC 记录、通过域名对齐，并在营销邮件中提供一键退订。Yahoo 采用与之高度一致的规则，并要求批量发件人将垃圾邮件投诉率保持在 0.30% 以下。目前 p=none 的 DMARC 策略即可满足 DMARC 要求，不过逐步转向强制执行能更有效地防范仿冒。

服务商之所以坚持要求认证，是为了信任。认证让接收方确信声称来自您域名的邮件确实如此，从而阻止钓鱼和商业电子邮件诈骗中使用的精确域名仿冒。认证失败的邮件，或来自完全没有认证的域名的邮件，被过滤到垃圾邮件箱或被直接拒收的可能性要高得多。

需要准确理解认证能做什么、不能做什么。它证明的是身份，而不是为内容担保。垃圾邮件发送者也可以认证自己拥有的域名。所以，认证是良好送达率的必要条件，但单靠它还不够。邮箱服务商会将它与发件人信誉、收件人互动和内容分析结合起来。认证让您得以进门，信誉和互动则决定您落进哪个文件夹。

VeriMails 如何应对

电子邮件认证和邮箱验证是可信发信的两个组成部分，分别覆盖流程的两端。认证关乎您用来发信的域名，在 DNS 中配置。验证关乎您的发送对象地址，这正是 VeriMails 直接负责的部分。两者都必须到位：一个认证完美的域名，如果向满是失效地址的列表发信，仍会失去收件箱投递率，因为由此产生的退信和投诉会摧毁服务商与认证一同衡量的发件人信誉。

VeriMails 验证您的收件人列表，避免认证效果被低质量列表抵消。每个地址都会经过完整的多层检查：语法验证、MX 和 DNS 确认、与接收邮件服务器进行实时 SMTP 握手，以及 Catch-all（全收）域名、一次性邮箱和角色邮箱检测。剔除无效地址能压低硬退信率，而低退信率正是决定已认证邮件进入收件箱还是垃圾邮件箱的信誉信号之一。您可以上传 CSV 验证整个列表，也可以通过 REST API 逐个检查地址。无论 API 还是批量工作流，VeriMails 都会返回清晰的送达分类。

VeriMails 还提供在认证一侧助您一臂之力的免费工具，包括 SPF 生成器、DKIM 生成器和 DMARC 生成器，帮您为域名生成正确的 DNS 记录。两者配合，认证确立您作为合法发件人的身份，验证则让列表保持干净，以维持这一地位。新账户注册即免费获得 100 积分，无需信用卡，且积分永不过期；验证低至每封 0.0019 美元，即 19 美元可获得 10,000 积分，年付套餐低至 $12.50/月。

常见问题

SPF（Sender Policy Framework，发件人策略框架）列出哪些服务器被允许为您的域名发信。DKIM（DomainKeys Identified Mail，域名密钥识别邮件）添加加密签名，让接收方能确认邮件在传输中未被篡改且来自您的域名。DMARC 将两者结合起来：它要求 SPF 或 DKIM 所认证的域名与可见的 From 地址对齐，并告诉接收方邮件失败时该如何处理。

是的。根据 Gmail 和 Yahoo 执行的发件人要求，所有发件人都需要 SPF 或 DKIM、有效的反向 DNS 和 TLS。批量发件人，即每天向 Gmail 地址发送约 5,000 封或以上邮件的发件人，还必须发布 DMARC 记录、通过域名对齐，并在营销邮件中支持一键退订。目前 p=none 的 DMARC 策略即可满足 DMARC 要求。

不能。认证证明邮件确实来自其声称的域名，从而阻止精确域名仿冒和冒充，但它不判断内容是否受欢迎。垃圾邮件发送者也可以认证自己的域名。认证只是邮箱服务商判断收件箱投递时的一层信任，还要结合信誉、互动和内容信号。

两者解决的是不同的问题。电子邮件认证证明您是合法发件人，配置在您发信域名的 DNS 上。邮箱验证检查您的发送对象地址，确认每个收件邮箱都真实且可送达。认证在门口赢得信任，验证则让退信率和投诉率保持在低位，避免这份信任被低质量列表侵蚀。

免费试用 VeriMails

注册即送 100 免费积分，无需信用卡。今天就把邮箱验证付诸实践。

免费开始

无需信用卡。积分永不过期。