收到 DMARC 聚合（RUA）与失败（RUF）报告后该如何处理（RFC 7489）？

按自身 DMARC 策略的 rua/ruf 地址接收报告；RUA 为 XML 聚合（展示型，含各源 IP 的认证结果统计），RUF 为失败样本的 forensic 报告（含原始信头，敏感）。

用工具汇总每 IP 的 SPF/DKIM/DMARC 通过率、对齐情况、发送量；识别“本应授权却失败”的合法发送源（如未纳入 SPF include 的邮件网关、未重签的转发）。

对失败率高的合法源，补齐 SPF include / DKIM 重签 / 对齐；对未授权源则收紧策略（p=quarantine→reject）。RUF 用于定位具体伪造事件，但注意隐私与 volume，常限采样。

先 p=none 收集数周建立基线，再逐步 p=quarantine/reject；把报告接入监控看板，持续发现“影子发信源”。