关于DMARC主域策略未覆盖子域及DNS通配符SPF配置失效的技术咨询

我的配置与问题 #

我有一个主域名和三个子域名，其中一个子域名和邮件服务器主机名一致：

• example.com
• sales.example.com
• internal.example.com
• mail.example.com

一开始我给四个域名都配置了MX、SPF、DKIM和DMARC记录，运行正常。但看到一些DMARC教程提到，给主域名配置带sp标签的DMARC策略应该能覆盖所有子域名。可当我只保留主域名example.com的DMARC策略时，邮件服务商的DMARC报告显示子域名邮件对应的DMARC策略未定义，这是为什么主域的DMARC策略没生效到子域？

另外我尝试用通配符简化MX和SPF记录：

*.example.com 3600 IN MX 10 mail.example.com
*.example.com 3600 IN TXT "v=spf1 mx -all"

但这样导致SPF验证失败，这不应该能覆盖我的所有子域名吗？为什么会失效？

问题解答 #

我来帮你拆解这两个常见的DNS邮件配置坑：

一、主域DMARC策略没覆盖子域的核心原因

你大概率是漏掉了DMARC记录里的**sp标签**！

DMARC的主域策略（p标签）默认只会作用于主域本身，要让子域继承主域的策略，必须在主域的DMARC记录里明确加上sp（Subdomain Policy）字段，指定子域无独立DMARC记录时要使用的 fallback 策略。

举个正确的主域DMARC记录示例：

v=DMARC1; p=quarantine; sp=quarantine; rua=mailto:dmarc-reports@example.com; ruf=mailto:dmarc-failures@example.com; pct=100

这里的sp=quarantine就是告诉邮件服务商：所有没有自己DMARC记录的子域，都使用和主域一样的隔离策略。如果你的主域DMARC记录里没有sp标签，子域会被判定为“无DMARC策略”，这就是你收到报错的原因。

另外要注意：即使加了sp标签，如果你某个子域自己有独立的DMARC记录，那它会优先使用自己的记录，而不是主域的sp策略。

二、通配符SPF/MX失效的常见原因

通配符*.example.com理论上能覆盖所有一级子域，但你遇到SPF失败，大概率是以下几个原因之一：

1. DNS缓存未过期，旧记录仍在生效
   你的TTL设置是3600秒（1小时），修改DNS后需要等待旧缓存过期才能生效。很多人刚改完就测试，用的还是之前单独配置的子域记录，自然会出问题。建议等待1小时后再验证，或者用dig/nslookup工具强制查询最新的DNS记录确认。

2. 通配符不匹配主域本身
   通配符*.example.com只会匹配子域，不会覆盖主域example.com。如果你用主域发邮件，而主域没有单独配置SPF/MX记录，那主域的邮件会触发SPF失败。如果你的问题是子域邮件失败，这条可能不适用，但可以顺便检查下主域的记录。

3. 子域存在精确匹配的DNS记录，覆盖了通配符
   DNS的匹配优先级是精确匹配 > 通配符匹配。如果你之前给子域（比如sales.example.com）配置过独立的MX/SPF记录，后来改成通配符时没删除这些旧记录，那通配符记录会被忽略，子域还是用旧记录，导致和你预期的通配符配置不符。

4. 邮件服务器的HELO/EHLO域名未通过SPF验证
   很多邮件服务商除了检查发件人域名的SPF，还会检查邮件服务器HELO/EHLO使用的域名的SPF。如果你的服务器HELO用的是mail.example.com，而mail.example.com的SPF是通配符提供的v=spf1 mx -all，那HELO的SPF验证会检查mail.example.com的MX记录（也就是它自己），这看起来没问题，但有些严格的服务商可能要求邮件服务器的域名必须有明确的SPF记录（而非通配符），这时候你需要给mail.example.com单独配置一条SPF记录。

备注：内容来源于stack exchange，提问作者janeden