部署 DMARCbis 的最小配置步骤是什么？从现有 DMARC p=none 迁移到 DMARCbis 的升级路线

DMARCbis 向下兼容，现有 DMARC 配置无需修改即可继续使用。但如果希望充分利用新特性（sps=、dpub-domain、增强报告等），建议遵循本文提供的最小配置步骤和分阶段迁移路线。

一、前提条件：SPF 和 DKIM 必须就绪

DMARCbis 的前置要求与 RFC 7489 完全一致：

• SPF：发布有效的 SPF TXT 记录，所有授权的发信 IP 都包含在内
• DKIM：为每个域名配置 DKIM 签名，确保 RSA 密钥长度 ≥ 1024 位（建议 2048 位）
• 建议先用在线工具验证 SPF 和 DKIM 配置是否正确

如果这些条件不满足，即使配置了 DMARCbis，邮件也无法通过认证。

二、DMARCbis 最小配置

最小配置只需一个 DNS TXT 记录：

_dmarc.example.com. TXT "v=DMARC1; p=none; rua=mailto:rua@example.com"

这个配置的含义：

• v=DMARC1 — 声明这是一个 DMARC 记录（DMARCbis 兼容）
• p=none — 不采取任何策略行动（仅监控模式）
• rua — 接收聚合报告的邮箱地址

这份最小配置与 RFC 7489 配置完全相同，因为语法兼容。接收方会将此记录按 DMARCbis 规范解释。

三、分阶段迁移路线

第一阶段：p=none 监控（1-4 周）

v=DMARC1; p=none; rua=mailto:rua@example.com; fo=1

• 配置 RUA 报告接收地址
• 监控报告，确认所有合法发信源（Own IP、ESP、第三方服务）都已覆盖 SPF/DKIM
• 使用 RFC 9991 格式的解析器检查报告中的新字段（如 <aligned>、<arc>）
• 持续至少 2-4 周以收集足够的数据

第二阶段：p=quarantine 隔离（2 周）

v=DMARC1; p=quarantine; rua=mailto:rua@example.com; sp=quarantine; pct=25

• 使用 pct=25 或 pct=10 从低采样率开始
• 监控是否有合法邮件被误隔离
• 确认 sps= 策略已按需配置
• 当 pcf（政策计数分数）显示采样稳定后，逐步增加到 pct=100

第三阶段：p=reject 强制执行（长期）

v=DMARC1; p=reject; rua=mailto:rua@example.com; sp=reject;
sps=news.example.com:quarantine;
fo=1; ruf=mailto:ruf@example.com!summary

• 最终执行 p=reject（强烈推荐）
• 使用 sps= 为特殊子域设置例外
• 可选：配置 ruf=!summary 启用隐私合规的鉴证报告
• 持续监控报告，确保没有遗漏

第四阶段（可选）：高级 DMARCbis 特性

• 配置 dpub-domain 以优化 DNS 查询（如你管理多个域名）
• 与 ARC 部署配合，确保转发链不受影响
• 升级报告解析器以支持 RFC 9991 格式和新增字段
• 评估 adkim=s 和 aspf=s 严格模式是否适合你的安全需求

四、从现有 DMARC 迁移到 DMARCbis 的检查清单

1. ☐ SPF 和 DKIM 已配置并验证通过
2. ☐ 已有 DMARC p=none 配置（或使用本文的最小配置）
3. ☐ RUA 报告接收地址已设置
4. ☐ 阅读并理解 DMARCbis 和 RFC 7489 的差异（见 FAQ-01）
5. ☐ 确认报告解析器支持 RFC 9991 格式
6. ☐ 评估是否需要 sps=（子域例外策略）
7. ☐ 评估是否需要 dpub-domain（大型服务商）
8. ☐ 确认 ARC 已部署（如有转发场景）
9. ☐ 逐步从 p=none → p=quarantine → p=reject
10. ☐ 持续监控报告至少 1 个月

五、常见陷阱

• 陷阱 1：认为 DMARCbis 需要修改现有 DNS 记录语法 → 不需要，语法完全兼容
• 陷阱 2：没有重新评估 pct= 的使用 → pct= 在 DMARCbis 中的语义已改变
• 陷阱 3：忽略 sps= 的安全影响 → sps= 创建的例外会绕过 sp=reject，务必严格审核
• 陷阱 4：延迟升级报告解析器 → 所有报告数据都应正确解析以充分利用新字段