仅部署DKIM能否实现合规的DMARC邮件验证策略？

答案是可以，只要DKIM配置符合要求，单独部署即可实现合规的DMARC策略。

DMARC的核心校验规则为：「SPF验证通过且域名对齐」和「DKIM验证通过且域名对齐」两个条件满足任意一项即可通过校验，无需两项同时部署生效。

具体原因如下：

• 不同于SPF依赖发件IP地址校验，在邮件转发场景下会因为发件IP变为转发服务器IP而校验失败，DKIM是附着在邮件头部的非对称加密签名，只要邮件核心内容和指定的头字段没有被转发服务器篡改，DKIM验证就可以正常生效。
• 仅通过DKIM实现DMARC合规需要满足域名对齐要求：DKIM签名中的d=参数对应的域名，要么和信头From字段的域名完全匹配（严格对齐模式），要么为信头From域名的上级父域名（宽松对齐模式）即可。

实际应用中大量场景都是仅靠DKIM实现DMARC合规，比如企业接入第三方邮件营销、事务邮件服务商发信时，往往只需要在自有域名DNS中添加对应服务商的DKIM公钥记录，不需要将服务商的全量发信IP段加入自身SPF记录，发出去的邮件就可以正常通过DMARC校验。

内容的提问来源于stack exchange，提问作者zer0uno