1. 清查每个合法发件人
列出邮件平台、网站表单、CRM、发票服务、新闻通讯以及使用您的域发送的任何设备。 SPF可以对信封发件人进行授权； DKIM 对选定的标头和正文进行签名； DMARC 评估与可见“发件人”域的对齐情况。
2. 发布1个SPF策略
使用以以下内容开头的单个 TXT 记录 v=spf1。将授权机制合并到该记录中，而不是发布多个 SPF 记录。请牢记 DNS 查找限制并删除不再发送的提供商。
3. 为每个发送平台启用DKIM
每个平台都提供一个选择器和公钥。在下面发布该密钥 selector._domainkey.example.com，启用签名并验证收到的消息。存在于错误选择器的记录不能证明任何事情。
4. 启动具有可见性的 DMARC
在下发布 DMARC 记录 _dmarc.example.com。当尚未了解邮件资产时，从监控策略开始，审查汇总报告，然后在确认一致的邮件后转向更强有力的策略。当前 DMARC 由 RFC 9989 定义。
5. 测试真实消息
检查收到消息的 Authentication-Results 标头。您需要查看哪个域通过了 SPF、哪个 DKIM 签名通过了以及任一结果是否与可见的发件人域一致。
6. 单独对待转发
转发可能会破坏 SPF，因为转发服务器通常未获得原始域的授权。幸存的对齐 DKIM 签名仍然可以允许 DMARC 通过，前提是未以导致签名无效的方式修改邮件。