QQ 邮箱入信时不严格检验域名的 SPF 记录？

[KirbySD]

起因

刚才收到一封邮件，长得是这个样子

伪造发件人发垃圾邮件的事情我见多了，但伪造我个人域名邮箱向我发垃圾邮件的还是第一次见到
（这个域名邮箱只用在了替代 qq 号展示和 base64 后放在个人网站上，所以只有这两种可能泄露）

经过

查询了 zhouxin5461.cn 这个域名的 TXT 记录，显示如下：
zhouxin5461.cn text = "v=spf1 include:spf1.dm.aliyun.com -all"

我的 TXT 记录如下：
[mydomain].com text = "v=spf1 include:spf.mail.qq.com ~all"

调查得知，SPF 记录记入~all表示接收方可以不严格拒绝 SPF 验证失败邮件的接收，但需要做出标记
QQ 邮箱……嗯，没有标记，也没有扔进垃圾邮件
尝试发了封伪造发件人的邮件，仍然正常接收且未作任何标记：

接下来我修改域名 TXT 记录为 -all 代表接收方应严格拒绝 SPF 验证失败邮件的接收，继续发送一封伪造发件人的邮件
QQ 邮箱终于做了标记，但按 SPF 规则要求，这封邮件应该直接被拒收才对？

结论

QQ 邮箱似乎未严格按照 SPF 记录对入信邮件进行处理？
虽然网页版上会对 -all 的伪造邮件进行提醒，但实际上应直接拒收才是。

（准备发出来时我心血来潮试了一下 Gmail，伪造的直接进了垃圾邮件箱，非伪造的正常接收了）

[JFZ]

spf 完全不懂 解析时一顿复制粘贴 提供啥填啥

[KagurazakaNyaa]

dmarc 配了吗，DKIM 配了吗

[KirbySD]

@XiLingHost 邮件服务提供商不支持 DKIM，不过设置了 DMARC 后被 QQ 邮箱拦下来了
比较好奇为什么只设置 SPF 没用，必须要把 DMARC 设置为 reject 才会拦截…gmail 只设置 SPF 就直接扔进垃圾邮件里去了

[KagurazakaNyaa]

@KirbySD 因为 dmarc 才是决定这个域的非可信邮件应该如何处理的记录，而 dkim 和 spf 是决定一封邮件是否可信

[litblue]

SPF 是检查 sender (smtp 交互中的 mail from) ,在你邮件中是 zhouxin5461.cn
DMARC 才会检查 Mime 中的 From，即发件人

[liaojl]

我也收到了一样的邮件，也是 zhouxin5461.cn ，比较好奇，这邮件的套路是什么，正文也没有什么钓鱼链接，回复邮件的话会收到大量垃圾邮件吗？

[soys]

绝了，我一个小时之前碰巧收到了= =自己的域名邮箱发给我自己的 QQ 邮箱……不过我是 office 邮箱……具体要怎么改才不会被冒用呀

[Komoe]

@soys 我的 spf dmarc 都设置的严格模式 也收到了 这玩意要 QQ 邮箱去解决

[daisyfloor]

@KirbySD 只能说 QQ 邮箱不负责啊。发现问题了不作为。你设置 DMARC 相当于强制要求它作为。