DMARC 报告里 spf=pass 但 dkim=fail 代表什么？

DMARC Aggregate Report 中 spf=pass 且 dkim=fail 是一类常见组合。它表示：邮件通过了 SPF 检查（发件 IP 在 SPF 记录允许范围内），但 DKIM 签名验证失败。

1. 区分"DMARC pass"和"SPF pass"：
SPF pass 只表示发信 IP 被授权。DKIM fail 意味着 DKIM-Signature 不存在、哈希不匹配或与 From 域名不对齐。
2. 典型场景——邮件转发：
当原始邮件经过邮件列表或转发网关后，SPF 可通过转发 MTA 的 SRS（Sender Rewriting Scheme）继续 pass，但 DKIM 签名可能因正文变更而损坏。
3. 排查 DKIM fail 原因：
— 接收方查看邮件原始源码，找到 Authentication-Results 头中的 dkim= 具体值（neutral / fail / permerror）。
— 检查 DKIM 选择器的 DNS 记录：
dig TXT selector._domainkey.example.com
— 确认 DKIM-Signature 的 d= 域名与邮件 From 域名一致或为父域。
4. 注意：只要 SPF 与 From 域名对齐（RFC 7489 §3.1），DMARC 仍判 pass，不影响正常投递。