如何在 Microsoft 365 中修改入站邮件的 DMARC 策略 –

DMARC 与您的 SPF 和 DKIM 配置一起工作，以正确验证邮件、报告邮件并指示收件人邮件服务器应如何处理未通过 DMARC 检查的邮件。您可以使用 DMARC 配置两种不同的策略，以建议邮件收件人如何处理 DMARC 故障，即隔离和拒绝。

隔离策略建议收件人将 DMARC 失败电子邮件移至邮件系统的本地隔离区。 拒绝策略指示服务器拒绝电子邮件。

我使用术语“指示”是因为每个不同的邮件服务可能会根据其配置以不同的方式处理这些策略，但是，大多数提供商确实遵循标准协议。

另一方面，微软直到最近才开始遵守默认情况下规定的拒绝和隔离策略，即拒绝策略的拒绝邮件和隔离策略的隔离邮件。

如何修改默认 DMARC 策略

1. 首先登录 Microsoft 365 Defender：https://security.microsoft.com/

2. 展开电子邮件和协作，选择策略和规则 > 威胁策略。

3. 选择策略下的反网络钓鱼。

4. 单击创建以创建新策略。

5. 为新策略定义名称，然后单击下一步。

6. 选择要包含在此策略中的用户。对于我的策略，我添加了我的内部域。

7. 在网络钓鱼阈值和保护页面上，选中启用要保护的域和包括我拥有的域旁边的框。除非您想修改，否则此页面上的所有其他设置都可以保留为默认值。准备好后，单击下一步。

8. 在“操作”页面上，选中检测到欺骗邮件时遵守 DMARC 记录策略旁边的框。默认情况下，Microsoft 365 已遵循 DMARC 记录策略，但是，要覆盖这些设置，请使用下拉框修改下面屏幕截图中突出显示的每个标题下的操作，以满足您的偏好。

9. 准备好后，单击提交，然后单击完成。

隐式与显式电子邮件身份验证检查

Microsoft 有两种不同的方法来检查传入邮件的有效性，称为隐式检查和显式检查。

隐式检查由 Microsoft Defender 中的反网络钓鱼威胁策略中的欺骗情报功能组成。这个想法是，微软结合使用人工智能、邮箱分析和行为分析来确定（或暗示）一条消息是欺骗消息。

显式检查查看实际属性，通过关联的 SPF、DKIM 和 DMARC 记录（已显式配置的记录）来确定欺骗邮件。在这种情况下，可以在 Microsoft Defender 的反网络钓鱼策略的操作窗格中找到这些设置。

当您的反网络钓鱼策略中同时配置了欺骗情报检查和 DMARC 检查时，任一策略设置都可能触发您的电子邮件产生欺骗，因此隐式检查可以通过，而显式检查可能会失败，从而导致出现以下消息：被隔离，反之亦然。

值得庆幸的是，DMARC 检查现在是 Microsoft 365 的默认设置，因此即使您没有配置隐式或显式邮件检查，显式检查仍然适用，为您提供一定程度的保护。