DMARC仅验证发件人地址中的域名是否经SPF或DKIM授权，而非直接阻止钓鱼或垃圾邮件。它不处理邮件内容安全、链接验证或附件风险，因此不能替代其他安全控制措施。

好的，这是根据您的要求，对原文进行中文重述和精简后的版本：

标题：DMARC 真正能保护你什么，以及它不能保护什么

问五个人DMARC的作用，你会得到五个答案：阻止钓鱼、消灭垃圾邮件、证明邮件安全。这些都不完全正确。DMARC只检查一件事：发件人地址（From行）中的域名所有者，是否确实通过SPF或DKIM授权了这封邮件。

这是一个重要的问题，但它的作用范围比人们想象的要小得多。如果你设置了最严格的策略（p=reject）就以为能防住所有钓鱼，你可能会忽略那些处理DMARC从未涉及问题的安全控制。

邮件如何证明发送者身份

DMARC基于两个基础技术：SPF 列出允许代表域名发信的服务器；DKIM 为邮件添加加密签名，验证邮件来自签名域名且未被篡改。DMARC将这两者与你在邮件中看到的“发件人”地址关联起来。

关键点在于：邮件实际上有两个“发件人”地址。一个是邮件服务器用于路由的“信封地址”（你看不到），另一个是邮件客户端显示的“可见发件人”。攻击者可以利用这个差异：在可见发件人处显示你的银行，而信封地址指向他们自己的服务器。

SPF检查信封地址，DKIM签名带有自己的域名。DMARC的工作就是检查这两个已验证的地址，是否与用户可见的“发件人”域名一致。

DMARC如何判定通过

DMARC独立评估SPF和DKIM。只要满足以下任一条件，DMARC就判定通过： 1. SPF验证了隐藏的信封域名，且该域名与可见的“发件人”域名“对齐”。 2. DKIM签名验证通过，且其签名域名与可见的“发件人”域名“对齐”。

“对齐”有两种模式：宽松模式（默认）下，两个域名只需共享同一个组织域名（如mail.example.com与example.com对齐）；严格模式下，两个域名必须完全一致。

注意，DMARC从不检查邮件内容、链接、附件或发件人的意图。它只问邮件来自哪里。

DMARC的优势

DMARC的核心作用是防止精确域名伪造。如果有人冒用你的域名（如your-bank.com）发信，且无法通过对齐的SPF或DKIM验证，设置了p=reject策略的邮件接收方会拒绝该邮件。此外，DMARC提供的汇总报告能帮你发现哪些系统在代表你的域名发信，从而找到被遗忘的营销工具或配置错误的服务器。

DMARC的局限

1. 相似域名：攻击者注册一个相似域名（如your-bank-support.com），并配置有效的SPF和DKIM，DMARC无法阻止，因为该域名不属于你。
2. 显示名称冒充：攻击者将显示名称设为“您的银行安全”，但实际发件地址是无关域名。DMARC只检查域名，不检查显示名称。
3. 邮箱账户被盗：攻击者通过窃取的凭证登录真实账户，通过合法服务发信。这通常会通过所有验证，因为从协议角度看，邮件是通过授权基础设施发送的。
4. 已验证的恶意域名：任何人都可以注册域名并配置完美验证。DMARC通过只说明域名所有者授权了邮件，不说明所有者是否诚实。
5. 垃圾邮件和收件箱放置：DMARC不是垃圾邮件过滤器，也不决定邮件是否进入收件箱。经过验证的垃圾邮件依然是垃圾邮件。
6. 邮件转发和邮件列表：合法的中间环节可能破坏验证。转发常破坏SPF，邮件列表修改内容可能使DKIM失效。因此，实施严格策略前应谨慎监控。

结论：验证不等于信任

DMARC通过只告诉你一件事：发件人域名确实授权了这封邮件。它阻止了精确域名伪造，并让你了解谁在代表你发信。但它对邮件是否诚实、链接是否安全、账户是否被盗，没有任何判断。当供应商说DMARC“阻止钓鱼”时，他们掩盖的正是这个差距。

实现p=reject策略，只是锁上了精确域名伪造这扇门。防范相似域名、发现被盗账户、运用人类判断力，是另一项工作。认为达到p=reject就万事大吉，是一种虚假的安全感。

根据评论内容，总结如下：

主要观点与论据：

1. 文章质量争议：部分评论认为文章内容浅显、表述晦涩，甚至怀疑是AI生成，缺乏可信度（评论1、4、6）。例如，samlowry指出“文章只覆盖了最基本的内容，且表述方式最晦涩”（"The article covers just the bare minimum, and in the most obscure way"）；joladev批评“很难认真对待明显是AI生成的内容”（"It's very clearly AI generated"）。

2. DMARC技术细节讨论：有评论关注DMARC的局限性，如缺乏对IPv4/IPv6文字地址的支持（评论3），以及DMARC无法阻止用户被钓鱼（评论5）。sylware认为“带有IPv[46]文字地址的电子邮件地址本质上比SPF更强”（"Email addresses with IPv[46] literals are intrinsically stronger than SPF"）；PunchyHamster指出“DMARC无法保护用户免受钓鱼，用户仍会被域名欺骗”（"users will get phished by domain anyway"）。

3. 实用工具推荐：评论2询问当前开源的DMARC检查实现，提及opendmarc因维护问题被弃用，并推荐pydmarc。avian提到“opendmarc因破坏性变更和缺乏良好维护而被弃用”（"people have been dropping it for a while because of history of breaking changes and general lack of good stewardship"）。

平衡性说明： 评论整体对文章质量持负面态度，但技术讨论部分（如DMARC的IPv6支持、开源工具选择）提供了有价值的补充信息。未发现明显支持文章观点的评论。