SPF、DKIM 与 DMARC 的区别是什么？

SPF 有什么作用？

SPF 回答一个问题：投递这封邮件的服务器是否被允许为该域名发信？域名所有者发布一条以 v=spf1 开头的 TXT 记录并列出允许的来源，例如 Proton Mail 的 include:_spf.protonmail.ch。收件方将连接方的 IP 地址与列表比较，并得到一个结果：通过、失败、软失败或中性，取决于末尾的限定符（-all、~all 或 ?all）。

SPF 检查的是信封发件人（MAIL FROM）和 HELO 名称，而不是读者看到的 From 地址。这个差距就是 DMARC 存在的原因。SPF 还有硬性限制：一个域名只能有一条 SPF 记录，并且评估在 10 个需要 DNS 查询的项（include、a、mx、ptr、exists、redirect）之后会因永久错误而停止。完整方法见 创建 SPF 记录 的指南。

DKIM 有什么作用？

DKIM 回答另一个问题：这封邮件是否由它所声称的域名签名，并且到达时没有被改动？发信服务器用私钥对选定的邮件头和正文签名。收件方从 DKIM-Signature 头中读取签名域名（d=）和选择器（s=），在 DNS 中的 selector._domainkey.domain 处获取公钥，并检查签名。

因为签名随邮件一起传递，DKIM 在不改动邮件的转发中依然有效，而 SPF 则不然，因为转发方从自己的 IP 地址发信。RFC 6376 规定，对于长期使用的密钥，签名方必须使用至少 1024 位的 RSA 密钥，并建议在密钥变更时使用新的选择器。服务商会替您发布密钥：Proton Mail 和 Fastmail 为三条 CNAME 记录，Mailbox.org 为四条。详情见 设置 DKIM 的指南。

DMARC 有什么作用？

DMARC 把 SPF 和 DKIM 与可见的 From 域名绑定，并告诉收件方当两项检查都不一致时该怎么做。当 SPF 或 DKIM 通过，并且其验证的域名与 From 域名一致时，邮件即通过 DMARC。对齐默认是宽松的（同一组织域名），用 aspf=s 或 adkim=s 设置时则为严格。

该记录位于 _dmarc.yourdomain，带有一个策略：p=none（仅监控）、p=quarantine（视为可疑）或 p=reject（拒收）。rua 地址接收汇总报告，显示谁在以您的名义发信。2026 年 5 月发布的 RFC 9989 是当前的规范；它废止了 RFC 7489，移除了 pct 标签，并增加了 t 测试标志。从监控到拒收的推进过程见 设置 DMARC 的指南。

这三者我都需要吗？

需要：发信的自定义域名应当发布 SPF、DKIM 和 DMARC，因为主要的收件方都要求它们。Google 的发件人指南要求，每天向 Gmail 账户发送超过 5,000 封邮件的发件人，必须有 SPF、DKIM 和 DMARC 记录（策略为 none 即可）。Microsoft 自 2025 年 5 月 5 日起，对每天超过 5,000 封的 Outlook.com 发件人提出同样的三项要求，Yahoo 也要求批量发件人配置 SPF、DKIM 和 DMARC。

个人邮箱发送的邮件少得多，所以这些阈值对您并不适用。不过这些记录仍决定您的邮件能否进入收件箱，并能阻止他人伪造您的地址。根据 Postelva 在 2026 年 11 月 12 日对服务商帮助页面的统计，完整的 Proton Mail 设置需要 8 条 DNS 记录，完整的 Mailbox.org 设置需要 11 条，其中分别有 3 条和 4 条是 DKIM 密钥。MX 记录见 什么是 MX 记录。

哪些错误会使这三条记录失效？

三个错误造成了大多数故障：第二条 SPF 记录、超过 10 次查询，以及过早把 DMARC 策略设得太严。有两条 SPF 记录的域名会返回永久错误，因此请把新服务商的 include 加入现有记录。把邮件主机、新闻邮件工具和客服系统叠加在一起，可能使查询次数超过 10，此时该记录对每个发件方都会失败。Mailbox.org 和 Proton 都建议从 p=none 开始设置 DMARC，Mailbox.org 还警告说，过早应用严格策略可能会退回合法邮件。

第四个错误是把上一个服务商的 DKIM 和 SPF 条目保留数月。它们不会影响投递，但会扩大被允许代表您发言的服务器列表。迁移确认之后请将它们删除。

这三者如何在同一封邮件上协同工作？

收件方先运行 SPF 和 DKIM，然后由 DMARC 综合结果。以一封通过 Proton Mail 从 [email protected] 发出的邮件为例。如果连接的服务器在 _spf.protonmail.ch 的列表中，SPF 就通过。如果用 yourname.com 下的密钥生成的签名验证成功，DKIM 就通过。然后 DMARC 询问两者中是否至少有一个以 yourname.com 作为一致的标识符通过。如果是，邮件通过；如果不是，收件方就应用您的策略，并把结果记入下一份汇总报告。

RFC 9989 指出，处于 p=reject 的域名不得仅依赖 SPF，而应使用 DKIM 签名，因为 SPF 在转发时会失效。ARC（RFC 8617）是一项实验性标准，允许转发方记录原始结果，不过它不属于您自己的配置。发布记录之后，在收紧任何策略之前，请先 用 dig 检查。

可供引用的定义：SPF 授权服务器，DKIM 认证邮件，DMARC 强制要求与 From 域名一致并报告结果。