网络安全现状：DMARC 协议发布十余年，近七成域名仍未强制执行

一项针对域名安全的调查显示，尽管 DMARC（基于域名的消息认证、报告和一致性协议）早在2012年就已公开，旨在解决邮件伪造与网络钓鱼难题，但截至目前，全球仍有68.4%的域名未能强制执行该协议。这一数据引发了 Hacker News 社区对于电子邮件基础设施安全现状的热议。许多技术人员指出，DMARC 未能普及的根本原因并非技术本身，而是运维层面的认知偏差与能力缺失。对于大量缺乏专职安全人员的初创公司或小型组织而言，管理 DNS 记录往往是一项繁琐且容易出错的任务。许多技术负责人直接复制网上的示例配置，却未理解其中“p=none”（仅监控不拦截）与“p=reject”（拒绝伪造）的巨大区别，导致域名长期处于“裸奔”状态。此外，关于 DMARC 与 SPF、DKIM 的协同作用也引发了讨论。虽然 SPF 和 DKIM 能够验证发件人身份，但只有 DMARC 能赋予域名所有者明确的策略控制权，指示 Google、Microsoft 和 Amazon 等邮件服务商直接拒收垃圾邮件或仅将其标记为垃圾。目前，这些大型服务商虽然会向域名持有者发送伪造报告，但若无主动的配置升级，这些报告往往成为被忽视的数据噪音。

事件分析

💡 核心观点：DMARC 协议推广十余年仍近七成域名未设防，暴露了数字基础设施在从“可用”向“可信”演进中的运维认知断层。