概述

当一封邮件未通过 SPF、DKIM 或 DMARC 认证时，接收方 SMTP 服务器要决定：是立刻用 5xx 永久拒绝，还是用 4xx 临时延迟（defer）稍后重试？RFC 8616 专门规范了"邮件认证状态增强码"，并给出核心策略建议：对认证失败的邮件优先使用 4xx 临时延迟，而非 5xx 永久拒绝，除非能高置信度确认是伪造或攻击。

为什么偏向 4xx

邮件认证失败的原因五花八门：合法中转改写了 MAIL FROM 导致 SPF 失配、DKIM 选择器临时轮换、DNS 传播延迟、配置失误等。若一律 5xx 拒收，合法业务邮件会被静默丢弃，而发件方往往收不到明确信号。4xx 延迟则给配置自愈、DNS 收敛、临时故障恢复留出窗口，符合"fail open（失败时放行重试）"的稳健原则。

关键状态码

增强码	语义	建议动作
4.7.1 / 4.7.25	认证失败（SPF/DKIM/DMARC 未通过）	延迟重试
5.7.1	永久拒绝（高置信伪造/策略拒绝）	拒收并通知
5.7.23 / 5.7.24	SPF/DKIM 认证失败（强制策略）	拒收
4.7.26 / 5.7.26	DMARC 验证失败	延迟/拒收

对抗字典攻击与探测

RFC 8616 还指出：对认证失败采用统一 5xx 会向攻击者暴露"哪些地址是真实的、哪些策略在生效"，助长账号枚举与字典攻击。4xx 延迟 + 限流（rate limiting）能在不泄露内部状态的前提下消耗攻击者资源，是纵深防御的一部分。

与 DMARC 策略的衔接

DMARC（RFC 7489）的 p=reject 是收件域的政策意图，但 RFC 8616 建议在 SMTP 会话层落实时仍可用 4xx 作为缓冲，配合后续内容检测与信誉判断再升级为 5xx。尤其在信创邮件替换初期，这种渐进式拒绝能避免大规模误拦引发的业务中断。

对邮件安全网关的启示

网关在 SMTP 拒收逻辑中应区分"确定性伪造"与"可疑失败"：前者直接 5xx，后者 4xx 延迟并重试计数；同时把认证结论写入 Authentication-Results（RFC 8601）供策略引擎消费。这既压制了 BEC 与钓鱼，又守住合法邮件的送达率。