訊息驗證

郵件驗證可讓您驗證電子郵件的原始來源是否與宣稱的來源一致。Sophos Email 使用 DMARC、SPF 和 DKIM 執行此操作。

郵件驗證檢查按照在您的電子郵件安全性原則中顯示的順序執行。如果電子郵件未能通過第一個郵件驗證，則不會執行其他驗證。請參見 郵件驗證的運作方式。

有關不同情況下驗證執行順序的詳細資訊，請參閱 郵件驗證的順序。

建議您將每個郵件驗證類別設定為 隔離。

您可以透過在內送允許清單中允許網域和電子郵件地址來覆寫郵件驗證。

對於每個郵件驗證，您可以選擇將未通過檢查的郵件傳送到終端使用者隔離區。

設定郵件驗證

若要設定郵件驗證，請執行下列操作：

1. 在 Email Security 原則中，前往 設定 > 內送 > 驗證。

2. 根據需要開啟 DMARC、SPF 和 DKIM 檢查。

   注意

   預設情況下，DMARC 檢查已開啟，且強制失敗設定為符合寄件者原則。

3. 按一下 新增規則 以設定失敗類型並選擇每個檢查的動作。

   有關可用失敗類型和動作的詳細資訊，請參閱 DMARC、SPF 和 DKIM。

4. 儲存此原則。

新的驗證設定適用於所有內送電子郵件。新增的條件會從上到下進行檢查，並套用第一個符合的條件。

DMARC

基於網域的郵件驗證、報告和一致性 (DMARC) 是一項電子郵件驗證原則和報告通訊協定。它基於 DKIM 和 SPF 協定，偵測並防止電子郵件欺詐。您可以控制未通過 DMARC 檢查的訊息的處理方式。

觀看此影片以了解如何設定 DMARC 選項。

硬失敗：當訊息因 SPF 和 DKIM 皆未通過比對而導致 DMARC 失敗時，就會發生此失敗。預設情況下，此選項設定為 符合寄件者原則。

系統會針對標頭寄件者 (header-from) 中的網域與信封寄件者 (envelope-from) 中的網域進行 SPF 比對檢查。系統會針對 DKIM 簽章中的 d=domain 與標頭寄件者中的網域進行 DKIM 比對檢查。

您也可以設定您的電子郵件安全性原則，以檢查 DMARC 失敗類型。

您可以設定以下選項：

• p=none：此選項允許您在寄件者的原則設定為 none 時，針對 DMARC 失敗採取動作。

  注意

  僅在「強制失敗」選項設定為「符合寄件者原則」時，才建議新增此失敗類型。當您選擇「符合寄件者原則」且寄件者已將原則設定為無 (p=none) 時，如果寄件者的訊息 DMARC 檢查失敗，則無法執行失敗動作。

• 不受支援：當傳送網域不存在 DMARC 記錄時，就會發生此失敗。此失敗類型僅與閘道模式相關。

• M365 最佳猜測密碼：此失敗類型僅與 M365 郵件流程模式相關。如需 M365 如何評估「bestguesspass」的詳細資訊，請參閱 M365 文件。
• 暫時失敗：當 DNS (網域名稱伺服器) 上的 DMARC 記錄查詢回應為暫時性失敗時，就會發生此失敗。此錯誤可能無需任何干預即可自行解決。
• 永久性失敗：當 DNS 查詢傳回的網域 DMARC 記錄無法正確解譯時，就會發生此失敗。此錯誤可能由 DNS 記錄的擁有者解決。

針對每種失敗類型，您可以套用下列動作：

• 符合寄件者原則：訊息的處理方式取決於寄件者在其 DMARC 策略中所陳述的內容。這是預設值。

  注意

  此動作僅適用於「強制失敗」。

• 標記主旨行：Sophos 電子郵件會將標記新增到訊息的主旨列，表示這是欺騙訊息。

• 隔離：訊息被隔離。

  注意

  如果您選取「包含在終端使用者隔離區中」，您的使用者可以檢查、釋放或刪除訊息。請參見 終端使用者隔離。

• 拒絕：訊息已被拒絕。

  注意

  已拒絕的訊息無法使用原始標頭。

• 傳送：郵件會傳送到下一個掃描層。

SPF

寄件者原則架構 (SPF) 能讓您驗證內送電子郵件是否來自經由寄件網域管理員授權的 IP 位址。垃圾郵件和網路詐騙郵件通常使用偽造地址。

當寄件者的 IP 位址未列為授權寄件者時，就會發生硬失敗。為確保只有授權的 IP 位址才能傳送電子郵件，寄件者必須在 SPF 記錄中新增 -all。此選項是預設的 SPF 檢查，您可以為其設定失敗動作。

您也可以設定其他 SPF 失敗類型，例如：

• 軟失敗：當寄件者的 IP 位址可能未授權時發生。這可能是因為網域擁有者未設定更明確的限制，這將導致更強烈的「失敗」。為確保只有授權的 IP 位址才能傳送電子郵件，但並非絕對，寄件者必須在 SPF 記錄中新增 ~all。
• 中性：當寄件者的網域透過在 SPF 記錄中指定 ?all 來明確聲明其不主張寄件者的 IP 位址是否經過授權時發生。在這種情況下，來自任何寄件者 IP 位址的電子郵件都會產生中性結果。
• 不受支援：當寄件者尚未設定 SPF 記錄時發生。
• 暫時失敗：由於執行檢查時出現臨時錯誤（通常由於 DNS）而發生。此錯誤可能無需 DNS 操作員的任何干預就會自行解決。
• 永久性失敗：當無法正確解釋網域的已發佈記錄時發生。這表示出現了需要 DNS 操作員干預的錯誤。

針對每種失敗類型，您可以套用下列動作：

• 標記主旨行：Sophos 電子郵件會將標記新增到訊息的主旨列，表示這是欺騙訊息。這是預設值。

• 隔離：訊息被隔離。

  注意

  如果您選取「包含在終端使用者隔離區中」，您的使用者可以檢查、釋放或刪除訊息。請參見 終端使用者隔離。

• 拒絕：訊息已被拒絕。

  注意

  已拒絕的訊息無法使用原始標頭。

• 傳送：郵件會傳送到下一個階段。

DKIM

網域名稱金鑰識別郵件 (DKIM) 是一種驗證框架，用於根據寄件者的網域對郵件進行簽署和驗證。您可以控制未通過 DKIM 檢查的訊息的處理方式。

DKIM 設定完畢後，DKIM 簽名出現在電子郵件中，DNS 回應正常，但 DKIM 檢查未通過時，會出現硬失敗。此選項是預設的 DKIM 檢查，您可以為其設定失敗動作。

您也可以設定其他 DKIM 失敗類型，例如：

• 不受支援：當寄件者尚未設定 DKIM 或寄件者在 DNS 記錄中發佈的 DKIM 金鑰無效時發生。
• 暫時失敗：由於執行檢查時出現臨時錯誤（通常由於 DNS）而發生。此錯誤可能無需 DNS 操作員的任何干預就會自行解決。
• 永久性失敗：當無法正確解釋網域的已發佈記錄時發生。這表示出現了需要 DNS 操作員干預的錯誤。

針對每種失敗類型，您可以套用下列動作：

• 標記主旨行：Sophos 電子郵件會將標記新增到訊息的主旨列，表示這是欺騙訊息。這是預設值。

• 隔離：訊息被隔離。

  注意

  如果您選取「包含在終端使用者隔離區中」，您的使用者可以檢查、釋放或刪除訊息。請參見 終端使用者隔離。

• 拒絕：訊息已被拒絕。

  注意

  已拒絕的訊息無法使用原始標頭。

• 傳送：郵件會傳送到下一個階段。