DMARC规则引发Google Groups发件失败，咨询邮件列表合规适配问题

• 近期为域名及邮件服务器配置了DMARC规则，策略设为none，用于分析DMARC与SPF的作用，期间已修复一处小问题。
• 昨日使用自有域名邮箱向Google Groups发送邮件（此前常用Gmail），今日收到DMARC反馈：由Google IP发出的邮件存在DKIM与SPF验证失败情况。
• 核心疑问：
  1. 启用SPF、DKIM及DMARC严格策略后，是否会无法使用Google Groups这类邮件列表？
  2. Google是否未通过DKIM便以我的名义发送邮件？

1. 严格DMARC策略对Google Groups的影响 #

启用p=reject或p=quarantine的严格DMARC策略后，大概率会导致通过Google Groups转发的邮件被拒收或隔离，原因如下：

• SPF验证失败：你的SPF记录仅授权了自有邮件服务器的IP，而Google Groups转发邮件时使用的是Google的IP，不在你的SPF授权范围内，因此SPF验证不通过。
• DKIM验证失败：Google Groups默认不会使用你的域名的DKIM密钥对转发的邮件重新签名——要么保留原始邮件的DKIM签名，但因添加列表标识、转发信息等邮件头修改操作导致签名失效；要么用Google自身的DKIM签名，但此时发件人域会被改写为Google相关域名，若你的DMARC要求严格对齐（adkim=s、aspf=s），依然会判定验证失败。
• 当SPF和DKIM双验证失败，且DMARC对齐（发件人域与验证域一致）时，严格策略会触发邮件拦截。

2. Google Groups是否未通过DKIM便以你的名义发送邮件？ #

是的，Google Groups默认不会使用你的域名的DKIM密钥来签名转发后的邮件：

• 当你用自有域名邮箱发送邮件到Google Groups，列表转发时通常会直接传递原始邮件内容，但会修改邮件头信息（如添加List-Id、X-Google-Group等字段），这会破坏原始邮件的DKIM签名，导致验证失败。
• 部分场景下，Google Groups会将发件人域改写为groups.google.com或其他Google相关域名，此时会用Google自己的DKIM签名，但这与你的原始发件人域不一致，若DMARC要求严格对齐，依然会被判定验证失败。

• 若需继续使用自有域名向Google Groups发邮件，建议暂时保持DMARC策略为p=none或p=quarantine，同时监控DMARC反馈，确认邮件列表的转发行为。
• 可在Google Groups设置中开启“改写发件人”选项，将转发邮件的发件人改为Google Groups的域名（如your-group@groups.google.com），此时DMARC验证的是Google的域名，而非你的自有域名，验证会通过。
• 不建议将Google Groups的IP范围加入SPF记录，因为Google的IP范围庞大且频繁变动，会大幅降低SPF的安全性，甚至导致SPF记录过长失效。

内容的提问来源于stack exchange，提问作者chmike