如何在 Cloudflare 上設定 DMARC

在 Cloudflare 中新增 DMARC 記錄，告訴收件方的郵件服務商：當一封假冒你網域的郵件沒通過驗證時，該如何處理。

這件事對你的業務意味著什麼

DMARC 把 SPF 和 DKIM 串了起來，並補上了那條缺失的指令：當一封聲稱來自你的郵件沒通過驗證時，收件方的郵件服務商到底該怎麼辦？ 沒有 DMARC，每家服務商只能各自瞎猜。有了它，由你來決定——而且你還能要求他們把報告發給你，讓你看清到底是誰在用你的名義發信。

說白了：DMARC 才是真正能阻止詐騙者假冒你網域去詐騙你的客戶或員工的那道防線。它是架在 SPF 和 DKIM 這兩把鎖之上的原則——免費，花幾分鐘就值回票價。

先把 SPF 和 DKIM 設定好

DMARC 的工作原理，是去檢查 SPF 和 DKIM 的驗證結果。如果這兩項你還沒加，先加它們——一條底下空無一物的 DMARC 原則，根本沒有東西可以執行。

確認你的 DNS 是由 Cloudflare 託管的

和任何 DNS 記錄一樣，這一招只有在 Cloudflare 正在為你的網域應答 DNS 時才管用。Cloudflare 是你的 DNS 託管方，不是你的信箱服務商；它的 DNS 只有在你網域的名稱服務器（nameservers）指向主控台裡顯示的那幾台 Cloudflare 名稱服務器時才生效。在 Cloudflare 中打開你的網域，查看 Overview（概覽） 頁面，確認 Cloudflare 處於啟用狀態。如果你的名稱服務器指向別處，就改在真正託管你 DNS 的那家服務商那裡新增 DMARC 記錄。

在 Cloudflare 上的逐步操作

登入 Cloudflare 並選擇你的網域。
在左側選單中，進入 DNS 設定（找 DNS / Records（記錄））。
點擊 Add record（新增記錄）。
把 Type（類型） 設為 TXT。
在 Name（名稱） 欄位中，準確填入： _dmarc 不要在它後面再打你的網域——Cloudflare 會自動幫你補上網域。
在 Content（內容） 欄位中，先用一條僅監控、不動手的原則穩妥起步： v=DMARC1; p=none; rua=mailto:[email protected] 把那個地址換成一個你真的會去看的信箱。這只是請服務商把彙總報告傳送郵件給你，暫時不改變任何郵件的處理方式。
TTL 保持在 Auto（自動）。
點擊 Save（儲存）。

選擇你的原則（`p=` 那一段）

p=none —— 僅監控。什麼都不攔，你只收到報告。從這裡開始。
p=quarantine —— 把沒通過的郵件丟進垃圾桶。
p=reject —— 直接拒收沒通過的郵件（最強的防護）。

先跑 p=none 幾週，讀報告確認你所有的正常郵件都能通過，然後再升到 quarantine，最後到 reject。還沒看報告就直接跳到 reject，有可能把你自己真正的郵件給攔了。

Cloudflare 上大家常踩的坑

名稱是 _dmarc，帶底線。 常見錯誤是漏掉底線，或者打成 _dmarc.yourdomain.com——在 Cloudflare 裡你只填 _dmarc。開頭那個底線是必需的，別丟。
別自己加引號。 直接貼上以 v=DMARC1; 開頭的純文字值。Cloudflare 會自己加引號；手動加 " 反而可能破壞記錄。
DMARC 記錄只能有一條。 和 SPF 一樣，必須只有單獨一條 DMARC TXT 記錄。如果已經存在一條，去編輯它，而不是再加第二條。
TXT 記錄不要走代理。 DMARC 放在 TXT 記錄裡，TXT 永遠不會被代理——這裡沒有橙色/灰色雲朵開關要操心。
用一個真實、會看的報告信箱。 rua=mailto: 後面的地址應該是你真的會去查收的，否則報告白發。它可以和網域同域，也可以是另一個域。
給它一點時間。 DNS 改動可能要幾分鐘、最多一兩個小時才會生效。

驗證是否生效

儲存並傳播完成後，用本站的免費檢測跑一下。它會用大白話告訴你：你的 DMARC 記錄是否已就位，以及你設的是哪種原則。

完成了？免費檢查您的網域以確認設置已生效——並查看您在全部 34 項檢查中的完整評級。