销售热线:400-900-2208
作者：腾讯企业邮箱 发布时间：2021-08-01 17:12:19 访问量：343
导读：SMTP协议不需要身份认证，利用这个特性可以伪造任意发件人。为了防止邮箱伪造，就出现了SPF。当你定义了你域名的SPF记录后，接收邮件方会根据你的SPF记录来判断发送过来的IP地址是否被包含在SPF记录里面，如果在，则认为是一封正常的邮件，否则则认为是一封伪造的邮件。现在大部份反垃圾邮件系统都支持SPF验证，当然也有些辣鸡邮箱不支持，或者域名本身没有设置SPF记录，所以就可以伪造邮件。
有一天，你突然收到一封马化腾发来的邮件，发件人是 ceo@ ，请求你收购腾讯公司，那你是收购还是不收购呢?有一天，你突然收到一封特朗普发来的邮件，发件人是 trump@whitehouse.gov ，请你来当美国总统，那这个总统你是当还是不当呢?
伪造邮件能干什么?可以看看我的经历，今天上海腾讯企业邮箱经销商就跟大家分一下，伪造邮件的判断与防御？
SMTP协议不需要身份认证，利用这个特性可以伪造任意发件人。为了防止邮箱伪造，就出现了SPF。当你定义了你域名的SPF记录后，接收邮件方会根据你的SPF记录来判断发送过来的IP地址是否被包含在SPF记录里面，如果在，则认为是一封正常的邮件，否则则认为是一封伪造的邮件。现在大部份反垃圾邮件系统都支持SPF验证，当然也有些辣鸡邮箱不支持，或者域名本身没有设置SPF记录，所以就可以伪造邮件。
校园邮(比如亿邮)、QQ邮箱(现在非�？赡芙肜始�)。其他邮箱有可能进入垃圾邮件或拒收。
发送伪造邮件
注册 SendGrid (需要验证域名所有权，但发信可以不使用这个域名)，获得一个 API ，然后有多种方式发送邮件，最方便的是 Curl ：
curl --request POST \
--url https://api.sendgrid.com/v3/mail/send \
--header "Authorization: Bearer 你的 API" \
--header 'Content-Type: application/json' \
--data '{"personalizations": [{"to": [{"email": "发给谁"}]}],"from": {"email": "发件人(你想伪造成谁)"},"subject": "标题","content": [{"type": "text/plain", "value": "内容"}]}'
这种方式只需要你有一台服务器(本文所说的服务器，均可用虚拟机代替)，在服务器里面运行这条命令即可发送伪造邮件。但是这种方式无法自定义发件人名字，直接在对方的邮件中显示马化腾。
我的方式是使用 WordPress 插件发送。这种方式要求你有一台装有 WordPress 的服务器，安装 SendGrid 插件即可。
最好的方法，是不使用垃圾邮箱，完美解决问题。不使用垃圾邮箱，你自然就不会收到伪造邮件了。
要是使用呢?以亿邮为例，点击查看信头
收到一封马化腾发来的邮件，把发送者的IP百度一下，看到是国外发送的，或者发信人不是腾讯的域名，那就是伪造的。
伪造邮件还有可能显示由XXX代发：
这样显示很有可能是伪造的。但有些网站发送的邮件也是代发的，比如 AWS ：
Amazon SES是一个邮件分发服务，使用这一服务需要验证域名所有权，所以此邮件可信。
(文中几处 ceo@ 和 api@ 都一样的，我测试的时候换了名称)
DMARC(Domain-based Message Authentication, Reporting & Conformance)是一种基于现有的SPF和DKIM协议的可扩展电子邮件认证协议，邮件收发双方建立了邮件反馈机制，便于邮件发送方和邮件接收方共同对域名的管理进行完善和监督。对于未通过前述检查的邮件，接收方则按照发送方指定的策略进行处理，如直接投入垃圾箱或拒收。从而有效识别并拦截欺诈邮件和钓鱼邮件，保障用户个人信息安全。
如何设置腾讯企业邮箱的DMARC呢?
1.在设置DMARC记录之前，请务必确保已设置SPF记录(如何设置)：
TXT记录值为：v=spf1 include:spf.mail. ~all
2.添加以下DMARC记录：
主机记录： _dmarc
记录类型：TXT
记录值: v=DMARC1; p=none; rua=mailto:mailauth-reports@
注：如不需要记录中rua，那么记录值为v=DMARC1; p=none;
点赞 0 来源：qq企业邮箱
相关推荐：
腾讯企业邮箱：账号密码忘记了该怎么办 用户必备