DMARC仅对linkedin失败

Question

几周前，我刚刚建立了我们的域名，使用SPF和DMARC，但没有DKIM。但现在，我会收到linkedin的DMARC失败报告：

This is an email abuse report for an email message received from IP 213.160.4.146 on Tue, 16 Jul 2019 12:34:26 +0000.
The message below did not meet the sending domain's dmarc policy.
The message below could have been accepted or rejected depending on policy.
For more information about this format please see http://tools.ietf.org/html/rfc6591 .

Feedback-Type: auth-failure
User-Agent: Lua/1.0
Version: 1.0
Original-Mail-From: 
Original-Rcpt-To: messages-noreply@linkedin.com
Arrival-Date: Tue, 16 Jul 2019 12:34:26 +0000
Message-ID: <5cd…8b2f@SR-EXC.biv.local>
Authentication-Results: dmarc=fail (p=none; dis=none) header.from=biv-ot.org
Source-IP: 213.160.4.146
Delivery-Result: delivered
Auth-Failure: dmarc
Reported-Domain: biv-ot.org

但我无法检测到任何错误- IP地址和域匹配我们的MX记录，其中包括SPF条目。此外，引用的RFC 6591不包括auth faile "dmarc“。我每周收到一次这封邮件，没有其他服务器向我发送一份DKIM故障报告。你知道怎么回事吗？

DNS条目：

biv-ot.org:
MX:    mail.biv-ot.org
A:     148.251.171.224
SPF:   v=spf1 a mx include:ot-live.zms.hosting a:mout.kundenserver.de ~all
DMARC: v=DMARC1; p=none; ruf=mailto:…; fo=s 

mail.biv-ot.org:
A: 213.160.4.146

Answer 1

如简单邮件传输协议(SMTP) RFC，第4.5.5节所述，来自邮件服务器的自动响应(如NDRs和Out Office回复)经常可以看到这种行为。

在这些情况下，smtp.mailfrom字段是空的，在大多数SPF实现中，检查返回到检查HELO标识(建议)，如SPF RFC，第2.4节中所描述的那样。

即使您为HELO标识创建了SPF记录，如果HELO标识没有共享Header.From地址的组织域，则仍然可能会因为不对齐而导致DMARC (on )失败。

在您的具体案例中，HELO标识将被假定为postmaster@firewall.biv-ot.org，报告域(Header.From)被设置为：biv-ot.org。这意味着为firewall.biv-ot.org发布SPF记录将解决您的问题。

还注意到：只在您的DMARC策略中发布ruf=地址。几乎没有邮箱提供商发送法医/失败报告，因此仅依靠这些报告判断您的电子邮件身份验证实践是否处于良好状态是不明智的。德马西恩和瓦利梅尔的博客概述了为什么这些法医/故障报告如此稀少的原因。