邮件认证检测工具

使用方法

1. 在 “域名” 中输入域名，例如 example.com。
2. 如果已知道，从一封已签名的邮件中填写 “DKIM 选择器”，例如 google 或 selector1；不知道则留空。
3. 点击 “检查域名”。在 “SPF 记录” 中，“DNS 查询次数” 必须保持在10次或以下。
4. 阅读 “DMARC 策略”。none 只做监测；quarantine 与 reject 会对失败的邮件采取行动。

SPF 检查什么

SPF（RFC 7208）以 TXT 记录列出可以代表某个域名发送邮件的服务器。收件方读取发件人的域名，取得其 SPF 记录，并从左到右将发件服务器与每一项比对。第一个匹配的项决定结果，结果由其限定符决定：+ 表示通过（未写限定符时的默认值），- 表示失败，~ 表示软失败，? 表示中性。

• include、a、mx、ptr、exists 和 redirect 各占一次 DNS 查询，被包含的记录所用的查询也会计入。收件方在10次之后停止，并将结果视为错误，因此庞大的邮件系统可能在无人察觉时让 SPF 失效。
• ip4 和 ip6 不占用查询次数。提供商若公布其地址范围，即可直接用它们书写。
• 同一名称上有两条 SPF 记录是错误的（RFC 7208 第4.5节），而 ptr 不被推荐（第5.5节）。

DMARC 做什么

DMARC（RFC 7489）告诉收件方，对未通过域名检查的邮件应如何处理，以及把报告发送到哪里。它是位于 _dmarc 加上域名处的 TXT 记录，由以分号分隔的标签组成：p 为策略，sp 为子域名策略，pct 为策略适用的失败邮件比例，rua 为汇总报告的地址，adkim 与 aspf 为对齐方式，r 表示宽松，s 表示严格。

本工具读取位于 _dmarc 加上您输入的域名处的记录。若收件方在那里找不到记录，还会查看组织域名，而本工具不推算组织域名。

DKIM 密钥

DKIM 以密钥签署每封邮件，该密钥在 DNS 中按选择器发布，位置为选择器加上 ._domainkey 再加上域名（RFC 6376 第3.6.1节）。页面从公钥中读取 RSA 密钥的类型和长度。密钥为空表示它已被吊销。Ed25519 密钥（RFC 8463）的长度固定为256位。

本检查工具不做什么

• 它不发送邮件，也不测试真实邮件，因此无法判断您的邮件能否通过。
• 它不展开 %{d} 等宏，因此使用了宏的记录，其查询次数可能与收件方的不同。
• 它不推算 DMARC 的组织域名，也不检查返回空结果的查询。

常见问题