要点速览
- 监控身份验证阶段，先从
p=none开始；合法邮件能够通过后，再转向 quarantine 或 reject。 - 借助汇总报告，查看哪些服务在以您的域名发信，以及 SPF 或 DKIM 对齐是否失败。
- DMARC 依赖正常工作的 SPF 和 DKIM，因此在执行更严格的策略之前，先检查这两项记录。
配置 DMARC 策略
如何选择合适的 DMARC 策略
DMARC 以 TXT 记录的形式发布在_dmarc.example.com。它并不取代 SPF 或 DKIM，而是检查 SPF 或 DKIM 是否与可见的发件人域名对齐，然后执行您发布的策略。新域名通常从p=none开始，这样可以在不拦截邮件的情况下收集报告。确认所有合法发件方都已通过身份验证后，可以改为p=quarantine，最终改为 p=reject。
填写在rua中的报告地址会接收参与该机制的邮箱服务商发来的汇总报告。这些报告能帮您看到哪些服务在以该域名发信、哪些通过了身份验证、哪些需要修复 SPF 或 DKIM。填写在ruf中的取证报告是可选的，且并非所有服务商都一致支持，因此许多团队主要依赖汇总报告。
百分比设置让您可以逐步推行策略。例如，一个域名可以先只对一小部分未通过的邮件从监控改为隔离，再把策略应用到全部邮件。当一个域名有多个团队或平台在发信时，这很有用。
从 p=none 和一个报告邮箱开始，在强制执行之前先看清身份验证结果。
确保主要发件方能针对发件人域名通过 SPF 或 DKIM 对齐。
只有在合法邮件都能通过身份验证后，才逐步转向 quarantine 或 reject。
面向营销活动和产品邮件的 DMARC 配置
对于营销、销售和产品邮件，DMARC 应与列表清理和发件方监控配合使用。身份验证能降低冒用风险，帮助邮箱服务商识别您的发件身份，但它不会让无效地址变得可送达。在向大型 CSV 发送之前，请使用批量验证验证列表；如需测试单个地址，请使用邮箱验证工具。
如果正在配置新域名，请先使用 SPF 生成器和 DKIM 生成器。然后生成 DMARC 记录并发布，再运行 DMARC 检查工具。退信率低于 3% 属于健康；3-5% 需要清理和关注；高于 5% 则对发件人信誉风险很高。
DMARC 上线清单
除非域名的发信场景很简单，且每个发件方都已验证，否则不要直接采用严格策略。大多数团队应当先监控，查看汇总报告，修复未通过对齐的来源，然后分阶段收紧策略。这样可以避免拦截尚未完全通过身份验证的正常发票、客服回复、密码重置或营销邮件。
使用有人真正查看的报告邮箱，或把报告接入监控服务。DMARC 报告的价值在于可见性：它显示哪些系统在使用该域名，以及它们是否通过 SPF 或 DKIM 对齐。当多个团队各自管理不同的邮件平台时，这些信息尤其有用。
对于子域名，决定是沿用根域名策略，还是为子域名单独设置策略。许多团队把外联、电子报和产品邮件放在不同的子域名上，便于管理 DNS 变更和信誉信号。
DMARC 生成器常见问题
DMARC 记录应该发布在哪里？
以 TXT 记录的形式发布在 _dmarc 加您的域名下，例如 _dmarc.example.com。
应该从 p=none 开始吗？
对于大多数新配置来说，是的。p=none 让您在执行 quarantine 或 reject 之前，先收集报告并修复合法发件方的问题。
DMARC 中的 pct 是什么意思？
pct 标签控制有多大比例的未通过邮件会被执行所发布的策略，适合逐步推行。
没有 SPF 或 DKIM，DMARC 能工作吗？
DMARC 依赖 SPF 或 DKIM 对齐。要正常通过 DMARC，至少需要一种已对齐的身份验证方式通过。