DMARC 检查器

大多数具有 DMARC 记录的域都将其设置为不执行任何操作。 记录存在，调查问卷会打勾，任何人仍然可以作为域发送令人信服的电子邮件。检查您控制的域并获取完整的记录及其实际设置的策略。

DMARC 有哪些 SPF 和 DKIM 没有的功能

SPF 表示哪些服务器可以为您的域发送邮件。 DKIM 对邮件进行签名，以便收件人可以看出邮件没有被更改。 他们都没有说当检查失败时该怎么办 - 大部分都留给他们自己无论如何，接收者都会传递消息。

DMARC 是指令。它是位于 _dmarc.yourdomain.com 的 TXT 记录，它告诉接收服务器三件事：如何处理失败的邮件、向何处发送有关邮件的报告以及如何严格地将读者看到的域与已检查的域进行匹配。

检查您自己的 DMARC 的六个理由

政策意味着“注意这一点，不采取任何行动”

DMARC 记录有一项设置：比其他所有事情都重要：

政策	收件人如何处理失败的邮件
`p=none`	交付它。向您发送一份报告，仅此而已
`p=quarantine`	将其放入垃圾邮件
`p=reject`	断然拒绝

p=none 是正确的起点，也是错误的停留地点。 它的存在是为了让您可以在开启强制执行之前观察几周并找到您忘记的合法发件人。

许多域名已在 p=none 中保留多年，因为没有任何内容会迫使您采取下一步行动，并且该记录看起来出现在任何仅询问 DMARC 是否存在的清单上。

为什么您不能直接跳至 reject

因为它会阻止您自己的邮件。

每个组织都会从比其记忆中更多的地方发送信息：票务系统、发票工具、时事通讯平台、邮件警报服务器、三年前建立的网站上的表格。在 p=reject 时，每一个未经授权的令牌都会停止传送 - 并且最先注意到的人是您的客户。

这三个阶段是用来走的，而不是用来选择的。从 none 开始，阅读报告显示的内容，授权合法内容，然后移至 quarantine，然后移至 reject。

没人读的报告

一条 DMARC 记录可以命名两个报告地址：

rua - 汇总报告。来自接收提供商的每日 XML 摘要：声称来自您的邮件数量、已传递的邮件数量以及来自何处

-ruf - 失败报告。每条消息的详细信息，由少得多的提供商发送，并且它们可以包含真实消息的一部分

汇总报告是 p=none 的全部要点，但人们无法读取它们 - 它们以来自数十个提供商的压缩 XML 形式提供。如果没有东西可以收集和展示它们，您应该学习的阶段就不会教给您任何东西，并且该域名将永远停留在 none。

没有 rua 地址的记录是无法完成其工作的记录。

对齐，以及为什么邮件可以通过 SPF 但仍然无法通过 DMARC

这是让那些以为已经完成的人感到惊讶的部分。

SPF 检查信封发件人 - 传递会话中使用的地址。 读者永远看不到它。 读者看到的是 From: 标头，DMARC 的存在就是为了保护该标头。

因此 DMARC 不仅需要 SPF 或 DKIM通过，但它传递的域与 From: 标头中的域匹配。使用自己的信封域代表您发送的邮件平台将为自己传递 SPF，并为您传递 DMARC 失败，除非已将其配置为对齐。

记录的 aspf 和 adkim 设置控制匹配的严格程度 - r 表示宽松（允许子域），s 表示严格（不允许）。

子域无人设置策略为了

DMARC 记录可以携带单独的子域策略 sp。如果不存在，子域将继承主策略 - 这通常是您想要的。

出错的地方是设置 p=reject 和 sp=none 的记录，通常是在谨慎推出期间然后就离开了。主域受到保护，每个子域都是开放的，这是攻击者会去的地方。

给那些现在点名询问的人的证据

保险公司企业客户越来越多地专门询问 DMARC，有些人询问策略值而不是“是”。显示记录及其更改时间的带日期的报告比 DNS 面板的屏幕截图更好，而且它是您可以保留的证据。

了解您的政策变更日期

一个人可以通过一次编辑来削弱 DMARC 政策，原因有一个：一批合法邮件被拒绝，最快的解决方法是退回到 none。这应该是暂时的。很少有这样的情况。

计划扫描将其转变为您被告知的差异：此政策从 quarantine 更改为 none，此记录已更改。警报通过电子邮件、Slack、Teams、Jira 或 Webhook 到达应用程序内。

步骤 01 · 命名域

您控制的域已添加到您的 AYAsec 帐户。在分派任何内容之前都会检查所有权 - AYAsec 不会安排对您未证明控制的基础设施进行扫描，并且证明需要一条 DNS 记录。上面的快速检查跳过了这一点：没有帐户，没有验证，只有 IP 速率限制以及目标必须是公共的规则地址。

步骤 02 · 让检查运行

DMARC 记录是公共的，因此它是读取而不是探测。它会按照接收邮件服务器的方式在您的域中查找 _dmarc。

步骤03·读取结果

调查结果按严重程度排序，得分为 A+ 到 F。缺失的记录和仅观看的政策并不位于同一个无差别列表中。

这是什么部分

DMARC 是 AYAsec 检查的几个邮件相关记录之一作为 DNS 扫描的一部分，与 SPF、DKIM、MTA-STS、TLS-RPT 和 DNSSEC 一起使用。 这是一次扫描，此页仅介绍其所查看内容的一部分。 DNS 承担综合等级的 20%。其他为 HTTP，占 30%，TLS 和端口各占 20%，域可信度为 10%。所有这些加在一起就是攻击面管理在实践中的含义。

检查前的问题

我可以检查什么？

您拥有或签约测试的基础设施。上面的快速检查没有为您验证一下 - 它仅按 IP 进行速率限制，并且拒绝以公共地址以外的任何目标为目标。相反，将域添加到 AYAsec 帐户，并在任何计划运行之前验证控制权：法律边界与实际边界一样重要，因为未经验证的扫描对您来说也没有任何证据用处。

我们不从该域发送电子邮件。我们需要 DMARC 吗？

是的，而且可以说更多。不发送任何内容的域应该这样说明确 - 不向任何人授权的 SPF 记录和 reject 的 DMARC 策略。没有记录的停放域名是最容易被冒充的，因为没有人在看回复。

我们应该在 p=none 停留多久？

足够长的时间来查看您自己的发送的完整周期，这对于大多数组织来说意味着几周的时间 - 每月发票和季度活动都需要在您执行之前出现在报告中。停留时间超过四分之一通常意味着没有人阅读报告。

迁移到 reject 会破坏任何内容吗？

它会破坏您在未经授权的情况下发送的任何内容，这就是重点 - 但该套件包括您自己忘记的工具，直到您找到它们为止。这就是早期阶段的目的。

DMARC 是否需要 SPF 和 DKIM 才能通过？

不，传球和对准两者之一就足够了。实际上，DKIM 是两者中更耐用的一个，因为它可以在转发后保存下来，而 SPF 通常则不能。

你保留结果吗？

不是上面的快速检查 - 它会在内存中保存大约十五分钟，因此您可以阅读一次，然后它就消失了。这是一个经过深思熟虑的隐私选择，而不是限制：除了您之外没有人看到该扫描，并且您可以在其过期之前下载完整的结果。添加相反，将域名转移到 AYAsec 帐户，并且每次扫描都会被保留 - 一系列扫描会告诉您策略何时被削弱以及削弱了多少。保留取决于您的计划。

保留历史，而不仅仅是结果

按计划对您自己的域运行完整的 DNS 检查，并在策略向后移动时显示一条消息。

开始免费扫描比较计划

其他跳棋

View all free security scanners

要嵌入的结构化数据

{
  "@context": "https://schema.org",
  "@type": "SoftwareApplication",
  "name": "AYAsec DMARC Checker",
  "applicationCategory": "SecurityApplication",
  "operatingSystem": "Web browser",
  "url": "https://ayasec.ai/dmarc-checker/",
  "offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}

请勿添加 FAQPage 或 HowTo 标记 - Google 撤回了这两种结果类型。