我想知道：在我们收到一封在网络界面中显示伪造的From 的老板诈骗邮件后，我读到了一些关于如何检查 SPF 的内容，显然它是根据 Return-path 而不是From 标头。 （这个 reddit 总结得很好 https://www.reddit.com/r/sysadmin/comments/20rnt6/smtp_question_does_spf_only_validate_the/ ）
这有什么好处？据我所知，这使得整个想法几乎毫无用处，因为它根本无法阻止垃圾邮件发送者发送带有伪造From 标头的垃圾邮件。我在这里错过了什么？
（这只是因为我想知道，我知道 DKIM + DMARC 将解决这个垃圾邮件问题 :)）
【问题讨论】：
标签： email spam-prevention spf
不要试图让 SPF 对它不负责的事情负责。 SPF 只是列出了哪些服务器可以为您的域发送邮件。它在 SMTP 级别检查信封发件人 (MAIL FROM)，该值最终出现在返回路径标头中，但只有在它通过 SPF 检查之后。您的意思是（假设您有严格的 SPF 政策）您允许某人从您自己的邮件服务器之一发送假邮件，这是一个比 From 标头更进一步的问题，并且DKIM 无法解决。也许您的 SPF 记录不够严格？从您发布的信息中我们无法判断。
【讨论】：
v=spf1 include:spf.mandrillapp.com include:_spf.google.com -all，但是垃圾邮件发送者设法从一个没有 SPF 记录的域发送了一封带有伪造 FROM 的邮件，所以 gmail 让它通过了。
envelope-from 字段（在 SMTP 的 DATA 命令之前发出的 mail from 命令）。我们通常在电子邮件客户端上看到的from 字段是在SMTP 协议的DATA 命令之后发出的另一个from 字段）。垃圾邮件发送者通常会欺骗from 字段，而不是envelope-from。所以这就是为什么 SPF 通常什么都不做
SPF 验证envelope sender（也称为SMTP MAIL FROM、Return-Path、Bounce Address 此后发件人）。它的目的是拒绝使用伪造的 senders，禁止未经授权的服务器使用 sender。停止使用伪造的发件人生成邮件（在支持 SPF 的情况下）
BATV（和其他类型的 VERP）可用于拒绝来自那些不检查 SPF 并拒绝伪造发件人的系统的反向散射。 SRS（另一种类型的 VERP）如果你做一个邮件列表是必需的 - 你不能保留原来的发件人，因为列表服务器将（很可能）不包含在发起者中 SPF
DKIM 是处理电子邮件标题的一种。它允许您对选定的电子邮件标头和全部或部分内容进行加密签名（但不要对 MIME Multipart-Alternative 消息进行部分签名 - 这会以错误的方式结束）
【讨论】：