OpenDMARC 的 PublicSuffixList 与 TrustedAuthRes 有什么用？

为防止下游或中间设备伪造认证结论，OpenDMARC 只信任由受信任的上游 MTA 注入的 Authentication-Results 头。TrustedAuthRes 列出允许信任的主机名/域名，其余来源的认证结果一律忽略，避免被伪造的 dkim=/spf= 骗过 DMARC 判定。

DMARC 对齐与子域策略（sp=）判定需要知道“组织域（org domain）”。PublicSuffixList 提供如 .co.uk、.com.cn 等公共后缀，使 OpenDMARC 能正确剥离到真正的注册域，避免把 a.b.example.com 的 DMARC 策略错误地应用到 example.com 的层级，也保证子域（sp）判定与对齐计算准确。

两者都应按网络拓扑正确配置：TrustedAuthRes 仅列内部受控中继，PublicSuffixList 保持定期更新以覆盖新公共后缀。