include:_spf.google.com 对于 hotmail 来说不够

Question

我的 spf 是

neland.dk descriptive text "v=spf1 a:mail6.paradiss.dk a:min.moar.dk 
a:arnold.neland.dk include:_spf.google.com -all"

从 gmail.com 以 leif@neland.dk 发送时出现此错误

Technical details of permanent failure:
Google tried to deliver your message, but it was rejected by the server for 
the recipient domain hotmail.com by mx4.hotmail.com. [65.55.37.72].

The error that the other server returned was:
550 5.7.0 (COL0-MC1-F16) Unfortunately, messages from (209.85.219.42) on 
behalf of  (neland.dk ) could not be delivered due to domain owner policy restrictions.

_spf.google.com 包括

_spf.google.com descriptive text "v=spf1 include:_netblocks.google.com
include:_netblocks2.google.com include:_netblocks3.google.com ~all"

其中包含 209.85.219.42

那么为什么 hotmail 不接受我的邮件呢？我也有 neland.dk 的 DKIM 和 DMARC

_dmarc.neland.dk descriptive text "v=DMARC1\; p=reject\; rua=mailto:leif@neland.dk"

如果邮件不是由我自己的服务器签名，而是由 google 签名，我的 DKIM 是否重要？

Answer 1

“政策限制”是这里的关键。您的 DMARC 记录要求拒绝所有声称来自您的域的未经验证的邮件。( p=reject). 这就是正在兑现的政策就是这种情况。

您可能知道，这里有 3 个相似但不同的身份验证概念：

1. 验证发件人合法性 (SPF)
2. 由签名者(DKIM)确保的验证消息完整性
3. 与作者相关的上述验证(DMARC)

DMARC 验证是“全有或全无”（如果发件人或签名人受到损害，则作者身份验证是徒劳的）。来自DMARC 规范（第 3.4 节）：

DMARC 没有“短路”条款，例如指定一个身份验证测试的通过允许一个人跳过其他人。所有这些都需要报告。

现在，关于你的问题：

“如果邮件不是由我自己的服务器签名，而是由谷歌的服务器签名，我的 DKIM 是否重要？”

嗯，是的，那么它突然很重要。Hotmail 现在需要查明作者 ("leif@neland.dk") 是否已授权给签名域。验证此授权所需的信息不存在，因此消息“由于域所有者策略限制而无法传递”。

只需为 GMail 生成一个 DKIM 密钥，用于对发送的邮件进行签名，neland.dk并确保 GMail 密钥在 DNS 中发布。

GMail 总是使用“Google”选择器前缀对邮件进行签名，因此需要在以下时间发布密钥google._domainkey.neland.dk- 现在，当 MX athotmail.com收到来自 GMail 的提交时，它可以使用两种机制（SPF 和 DKIM）进行验证，而不必拒绝消息。

幸运的是，Google 为域所有者提供了一个很好的分步指南，介绍了 GMail/Apps 中的 DKIM 实施：

Google 支持：使用 DKIM 验证电子邮件