V国内主流企业邮箱：为什么转发邮件会破坏 SPF（以及 DKIM 如何拯救它）
📖 原文翻译与解读。原文：Why forwarded emails break SPF (and how DKIM solves it)（V国内主流企业邮箱，V国内主流企业邮箱 原文未标注发布日期）
一、SPF 如何工作，以及转发为何破坏它
SPF 基于 DNS 声明哪些服务器被授权以某域的 Return-Path（信封发件人）发信。接收方用两个输入评估 SPF：连接 IP + envelope-from 域。SPF 只验证“当前连接的 SMTP 客户端 IP”是否被授权，每一跳独立评估，非端到端。
转发从 SMTP 角度看是新的投递事件：转发服务器成为新的 SMTP 客户端连接收件人服务器。大多数转发系统保留原始 envelope-from，于是收件方用“原发件人 return-path 域”评估 SPF，却看到“转发服务器 IP”。除非原 SPF 记录显式授权该转发服务器（极少情况），否则 SPF 失败。结果：邮件直达时 SPF 可能 pass，经转发到最终目的地时 fail。
二、常见触发场景
- 托管邮箱的自动转发规则；
- ISP 提供的转发服务；
- 大学校友转发地址；
- 小企业域名经中央邮箱提供商路由再转发到个人收件箱；
- 邮件列表（是否重写 envelope-from 决定 SPF 是否 pass）。
SRS（Sender Rewriting Scheme）让转发服务器把 envelope-from 重写为自己控制的域，使收件方对转发域评估 SPF 而 pass；但其不保留原始 From 域的严格 DMARC 对齐，且未普遍部署。
三、DKIM 如何在转发中存活
DKIM 验证消息内容及选定头是否被某域（在 DNS 发布公钥）签名，不依赖连接 IP。发送方添加 DKIM-Signature 头（含 d= 签名域、s= selector、h= 签名的头、正文签名）；接收方从 selector._domainkey.example.com 取公钥验证。签名随邮件走，转发服务器 IP 不影响验证——只要签名部分未被改，DKIM 在转发后仍有效。DMARC 下 SPF 或 DKIM 任一对齐 pass 即过 DMARC；转发破坏 SPF 对齐时，DKIM 常成为保 DMARC 合规的机制。
四、推荐修复与认证策略
- 不要把转发服务加进 SPF：会扩大欺骗风险、难维护；SPF 应限制合法发送设施；
- 全出站流部署 DKIM 并确保与可见 From 域对齐，这是支持转发邮件最可扩展的方案；
- 使用 relaxed 规范化（头与正文）容忍小格式变更；避免签名后下游改消息，或改后重签；
- DMARC 部署：转发致 SPF 失败时靠对齐的 DKIM 过 DMARC；两者皆败则按策略隔离/拒收；
- 自有转发设施可实现 SRS 减 SPF 失败且不弱 SPF 策略；
- 严 DMARC 执行前确认 DKIM 配好且对齐，尤易转发流。
总结：转发断 SPF 是预期行为，DKIM 因绑定消息签名而非路径故可存活。参见 SPF/DKIM/DMARC 部署检查清单。
参考来源
了解更多行业资讯，请访问 行业资讯首页 或致电 021-69753778 获取安全咨询服务。
相关文章
—— V国内主流企业邮箱 译