共享主机下他人能否冒用我的域名发信并通过SPF、DKIM双重校验？

同主机其他用户能否冒用你的域名发信并通过SPF、DKIM双重校验 #

• 这类共享主机场景下的邮件校验逻辑存在天然的授权扩散问题，实际风险情况如下：
  • 大部分中小共享主机会在出口邮件服务器上配置全局DKIM签名，所有从该服务器IP段发出的邮件，无论发件人地址填写的是哪个域名，都会自动套用这套统一的DKIM密钥对邮件签名；同时主机会把自己的出口IP段写入给所有用户域名的SPF配置指引，方便用户把对应IP加入自己域名的SPF授权列表。
  • 同主机的其他租户只要能正常使用自己的SMTP账号通过认证，就可以在客户端/建站系统里随意填写任意发件人地址，包括你名下域名的邮箱格式。这类邮件发出后，会和你自己发送的邮件走完全一致的出口IP、套用完全相同的DKIM签名，只要你给域名配置的SPF记录授权了该主机的IP段、DKIM记录指向的是主机服务商提供的公钥，这类被冒用发出的邮件就会同时通过SPF、DKIM的单维度校验。
  • 这种场景下SPF和DKIM的基础校验机制确实会出现防护失效：两个机制的设计初衷是让域名所有者可控的主体获得发信授权，但共享主机的统一发信架构把这种授权扩散给了所有同主机租户，相当于你授权了主机上所有用户都可以用你的域名发信。

多域发件人配置的正常工作原理 #

• 你用domain-a的SMTP认证连接、却填写其他自有域作为发件人也能正常发信，是SMTP协议和主机默认配置的正常表现，并非特殊漏洞：
  • SMTP协议本身没有强制要求「认证账号所属域」和「提交的发件人地址所属域」必须匹配。只要你通过了SMTP服务的账号密码认证，服务器默认会接受你提交的任意发件人地址，不会自动校验这个地址是否对应你认证账号下的邮箱。
  • 邮件头中显示的发件域取自你自定义的From头内容，和实际连接的SMTP服务器所属域没有绑定关系，这是完全符合协议规范的行为。
  • 你不需要为domain-b、domain-c创建独立邮箱账号就能发信，是因为主机服务商为了降低多域名用户的使用成本，默认没有开启发件人域与认证账号域强制绑定校验的规则，这类配置在面向中小站点的共享主机上十分普遍。

基础防护加固提示 #

• 要避免上述场景下的域名冒用问题，最有效的方式是为所有域名配置DMARC记录，开启严格的发件域对齐校验：只有当邮件的SPF校验通过的IP域、或者DKIM签名的域和发件人地址的域完全对齐时，才允许邮件通过校验，否则就按策略拦截或进入垃圾箱。这种配置可以直接阻断同主机其他租户冒用你域名发信的有效性，因为主机统一签名的DKIM域是服务商的主域，和你的自有域并不匹配，无法通过严格的DMARC对齐校验。

内容的提问来源于stack exchange，提问作者Vakuya