DMARC 正式进入 IETF 标准轨道：邮件身份认证迈入新阶段

2026 年 5 月，互联网工程任务组（IETF）正式发布三份新的 DMARC 技术标准文档，将 DMARC 从早期的 Informational RFC 推进到 Internet Standards Track。这不仅是技术文档的一次更新，也意味着邮件身份认证机制正在获得更加正式的标准化基础。对于依赖海外邮件开展业务的中国跨境企业而言，这一变化值得关注。

一、事件发生了什么？

2026 年 5 月 20 日，IETF RFC Editor 正式发布了三份 DMARC 相关 RFC：

RFC 编号	主要内容
RFC 9989	DMARC 核心协议
RFC 9990	DMARC 聚合报告机制
RFC 9991	DMARC 失败报告机制

这三份文档共同更新了早期的 RFC 7489，将 DMARC 的核心协议和报告机制分别进行规范化描述。

其中，RFC 9989 取代 RFC 7489，并处理了此前与公共后缀域相关的 RFC 9091 内容；RFC 9990 和 RFC 9991 则分别对聚合报告和失败报告进行独立规范。

这次更新最重要的变化是：DMARC 正式进入 IETF Standards Track，三份文档的具体状态均为 Proposed Standard。

需要特别说明的是，标准升级并不意味着企业现有的 DMARC DNS 记录立即失效。现有 v=DMARC1 记录仍然具有兼容性，企业不需要仅仅因为 RFC 更新而重写现有记录。

二、为什么这件事值得关注？

DMARC 的标准化进程，反映了互联网邮件身份认证体系正在进一步成熟。

过去，很多企业将 SPF、DKIM 和 DMARC 看作邮件服务商推荐的技术配置，主要目的是满足邮件发送要求，减少邮件被判定为垃圾邮件的风险。

但 DMARC 实际承担的作用远不止于此。

它将发件域名、SPF、DKIM 和邮件身份对齐机制联系起来，使接收方能够根据域名所有者发布的策略，判断邮件身份认证失败时应该如何处理，同时为域名所有者提供邮件认证报告。

这意味着企业不仅需要知道邮件是否发送成功，还需要了解：

哪些系统正在使用企业域名发送邮件？
这些邮件是否通过 SPF 和 DKIM 认证？
邮件认证身份是否与发件人域名正确对齐？
是否存在未经授权的邮件发送来源？
企业发布的 DMARC 策略是否与实际邮件发送情况相匹配？

RFC 9989、RFC 9990 和 RFC 9991 的发布，使这些机制拥有了更加明确、独立的标准化规范。

不过，进入 Standards Track 不等于所有邮箱服务商已经采用完全一致的执行方式，也不代表 DMARC 配置本身能够保证邮件进入收件箱。

三、对中国跨境企业意味着什么？

对于中国跨境电商、独立站和外贸 B2B 企业，这次标准更新值得从三个方面理解。

1. 邮件身份配置不应再被视为一次性工作

企业可能同时使用网站订单系统、企业邮箱、CRM、营销邮件平台以及第三方客服系统。

这些系统可能使用同一个企业域名，或者使用不同的子域名发送邮件。

如果企业没有统一管理这些发送来源，就可能出现部分系统通过认证、部分系统认证失败的情况。

DMARC 标准的进一步完善，也提醒企业需要持续管理自己的邮件身份基础设施。

2. DMARC 报告的商业价值更加值得重视

RFC 9990 对 DMARC 聚合报告进行了独立规范。

企业可以利用聚合报告了解不同发送来源的邮件认证情况，识别未知发送源，以及发现 SPF、DKIM 和身份对齐方面的问题。

例如，一家外贸企业发现，网站订单系统发送的邮件通过认证，但某个第三方营销平台发送的邮件持续出现 DMARC 失败。

如果没有持续分析报告，这类问题可能长期存在而不被企业发现。

3. 邮件身份认证将成为企业基础设施管理的重要组成部分

报价邮件、订单确认、付款通知和售后邮件，都是跨境企业与海外客户沟通的重要渠道。

邮件身份配置出现问题，可能影响接收方对邮件来源的判断。

因此，企业需要逐步从单纯关注邮件发送功能，转向关注邮件身份是否正确、发送来源是否可信，以及认证状态是否持续稳定。

四、SPSCTD 的观察

这次 DMARC 标准更新最值得关注的地方，不是企业需要马上修改多少条 DNS 记录，而是邮件身份认证正在形成更加完整和规范的技术体系。

从 SPSCTD 关注的 Email Trust Audit 角度来看，这一变化进一步说明：

企业的邮件身份基础设施需要被检查、理解和持续管理，而不是配置完成后就不再关注。

SPF 解决发送来源授权问题，DKIM 提供邮件域名数字签名，DMARC 则进一步处理邮件身份对齐、策略和报告。

三者相互配合，构成企业邮件身份认证的重要基础。

但需要明确，DMARC 并不能独立解决所有邮件送达问题，也不能替代域名信誉管理、发送行为管理和邮件内容质量管理。

对跨境企业来说，真正重要的是了解自己的邮件从哪里发出、使用什么身份发出，以及海外邮箱系统如何识别这些邮件。

五、企业应该关注什么？

结合此次标准更新，建议企业重点检查以下事项：

检查 DMARC DNS 记录： 确认企业主域名和实际使用的邮件子域名是否具有合理的 DMARC 配置。
梳理邮件发送来源： 盘点企业邮箱、网站系统、CRM 和第三方邮件平台，避免遗漏合法发送来源。
检查 SPF 和 DKIM： 确认实际发送系统是否通过相应认证，以及认证身份是否与发件域名正确对齐。
建立 DMARC 报告分析机制： 持续观察认证结果，识别未知发送来源和异常变化。
谨慎调整 DMARC 策略： 不要在没有充分了解合法邮件发送来源的情况下，贸然将策略调整为 p=reject。

企业不需要因为 RFC 9989、RFC 9990 和 RFC 9991 的发布而立即重写现有 DNS 记录，但有必要重新审视自己的邮件身份管理方式。

六、相关阅读与参考资料

SPSCTD 相关阅读

为什么海外客户收不到你的报价邮件？跨境企业邮件送达能力完整指南

官方参考资料

七、 FAQ扩展

Q1：DMARC 进入 IETF Standards Track 是什么意思？

A：IETF 将 DMARC 从早期的 Informational RFC 推进到正式标准轨道，三份文档状态为 Proposed Standard，意味着 DMARC 的核心协议和报告机制获得了更正式的标准化基础。

Q2：RFC 9989、9990、9991 分别是什么？

A：RFC 9989 是 DMARC 核心协议，取代 RFC 7489；RFC 9990 规范聚合报告机制；RFC 9991 规范失败报告机制。三者共同更新了原有 DMARC 标准体系。

Q3：企业需要立即修改现有 DMARC 记录吗？

A：不需要。现有 v=DMARC1 记录仍然兼容，企业不必仅因 RFC 更新而重写 DNS 记录。但建议借此机会重新审视邮件身份管理方式。

Q4：这次标准更新对跨境企业有什么实际影响？

A：它提醒企业邮件身份配置不是一次性工作。企业往往有网站系统、企业邮箱、CRM、营销平台等多个发送来源，需要持续管理这些来源的认证与对齐状态。

Q5：DMARC 聚合报告对企业有什么价值？

A：聚合报告可以帮助企业了解不同发送来源的认证情况、识别未知发送源，并发现 SPF、DKIM 和身份对齐方面的问题，避免问题长期存在而未被发现。

Q6：DMARC 配置好就能保证邮件进入收件箱吗？

A：不能。DMARC 不保证所有邮件进入收件箱，也不能替代域名信誉管理、发送行为管理和邮件内容质量管理。

Q7：企业现在应该重点检查哪些事项？

A：建议检查主域名和邮件子域名的 DMARC 记录、梳理全部邮件发送来源、确认 SPF 与 DKIM 认证及对齐情况、建立报告分析机制，并在充分了解发送来源前谨慎调整策略。

Q8：为什么不应贸然把 DMARC 策略改为 p=reject？

A：如果企业尚未充分掌握所有合法邮件发送来源，贸然设置 p=reject 可能导致合法邮件被拒收。应先梳理来源、观察报告，再逐步调整策略。