DMARC/SPF配置错误

Question

我在 domains.google.com 上注册了一个域名，与 G Suite 帐户一起使用，并用于从 SES 和 Mailchimp 发送电子邮件。

我的 DNS 记录看起来没问题（Mailchimp 说明）:

@ TXT "v=spf1 include:_spf.google.com include:amazonses.com include:servers.mcsv.net ~all"

_dmarc TXT "v=DMARC1; p=none; pct=100; rua=mailto:[e-mail]; sp=none; aspf=r;"

我使用 Postmark 的好用服务每周获取 DMARC 摘要，他们报告说 Mailchimp 的电子邮件出现了以下错误：

mcsv.net 被授权代表 mydomain.com 发送电子邮件，但 SPF 看起来仍然未通过 DMARC 的对齐测试。DMARC 根据消息的 Return-Path 查看发送者的域名是否与您的发件人地址中的域名匹配。如果 Return-Path 路径与发件人地址中的域名不匹配，则这些消息将未通过 DMARC 的 SPF 对齐测试。请与此来源核实，因为您可能需要设置自定义 Return-Path。

这是 Mailchimp 电子邮件的相关标头：

Return-Path: <bounce-mc.us17_88978185.265251-recipient=[e-mail]>
From: [e-mail]

我在设置中（无论是DNS还是Mailchimp）是否存在错误，导致SPF DMARC对齐失败？还是Mailchimp不支持这个功能？

- new name

Answer 1

Mailchimp不支持SPF，因为它在退信地址中使用自己的域名。但是，他们的域名验证工具需要包括Mailchimp。由于Return-Path路径与From地址不匹配，Mailchimp始终无法通过DMARC的SPF对齐测试。MailChimp不支持自定义Return-Path（尽管归Mailchimp所有的Mandrill支持）。这使得在DMARC规则下，无法完全符合SPF。

- Doug Baumwall

---

谢谢，非常有帮助。但是为什么Mailchimp要指导用户添加SPF记录呢？ - new name

杰夫·奥尼尔，澄清：Mailchimp支持SPF。但是，Mailchimp对SPF的实现方式不支持以通过DMARC验证。 - Doug Baumwall

这意味着，如果您将DNS记录设置为hardfail“-all”，则您的消息将无法传递。令人愉快。 - mlissner

Answer 2

我不是100%确定，但我猜想如果回复路径和发件人头部的域名必须匹配，你需要在自己的域名中设置一个CNAME DNS记录，指向MC，以便域名匹配，类似于：

mc CNAME mail125.suw11.mcdlv.net

然后您的回传路径可能会变成<bounce-mc.us17_88978185.265251-recipient=[e-mail]>。

我不知道这样的子域匹配是否足够，即DMARC是否认为mc.mydomain.com和mydomain.com已经足够对齐。

如果您有很多域名，我可以看出管理可能会有些棘手。

- Synchro

---

这是正确的。如果你看一下SendGrid是如何实现这个的，他们会要求你添加一个CNAME记录来白标你的域名，并将其指向sendgrid.net。我选择了email（即email.mydomain.com）。 然后在邮件中，回复路径显示为Return-Path: bounces+xxxxxxx-xxxx-tyson.surname=[e-mail]，即使发件人不包含子域名。例如：From: "My Domain" <[e-mail]> 我还使用PostMark，并且通过SendGrid发送的邮件完全对齐。 - Tyson

谢谢。我现在对此有更多了解。您只能在DMARC“宽松”模式下使用此类子域; “严格”模式确实需要精确匹配。 - Synchro