Amazon SES IP 在 DMARC 中的 SPF 检查失败答案

【问题标题】：Amazon SES IP Fails SPF Check in DMARCAmazon SES IP 在 DMARC 中的 SPF 检查失败
【发布时间】：2021-01-05 21:53:33
【问题描述】：

我将 Amazon SES 用于交易电子邮件，并使用 WP SES 插件与我的 WordPress 集成。

对于我的一些 IP 以54.240.27 开头的电子邮件，SPF 失败。这似乎是 Amazon SES IP。

我在我的 DNS 中添加了以下 SPF txt：v=spf1 include:_spf.google.com include:ofpad.com include:amazonses.com ~all

非常感谢任何帮助。

更新： 我按照architjn的指示在AWS中添加了MAIL FROM Domain，但问题仍然存在。

以下是在 AWS 中实施 Mail From Domain 后 Gmail 发送的 DMARC。这是该报告的可读版本：https://us.dmarcian.com/dmarc-xml/details/VANOJ4S6b8QGCinq/

<?xml version="1.0" encoding="UTF-8" ?>
<feedback>
  <report_metadata>
    <org_name>google.com</org_name>
    <email>noreply-dmarc-support@google.com</email>
    <extra_contact_info>https://support.google.com/a/answer/2466580</extra_contact_info>
    <report_id>4375352491574064416</report_id>
    <date_range>
      <begin>1601078400</begin>
      <end>1601164799</end>
    </date_range>
  </report_metadata>
  <policy_published>
    <domain>ofpad.com</domain>
    <adkim>r</adkim>
    <aspf>r</aspf>
    <p>none</p>
    <sp>none</sp>
    <pct>100</pct>
  </policy_published>
  <record>
    <row>
      <source_ip>54.240.27.115</source_ip>
      <count>9</count>
      <policy_evaluated>
        <disposition>none</disposition>
        <dkim>pass</dkim>
        <spf>fail</spf>
      </policy_evaluated>
    </row>
    <identifiers>
      <header_from>ofpad.com</header_from>
    </identifiers>
    <auth_results>
      <dkim>
        <domain>ofpad.com</domain>
        <result>pass</result>
        <selector>ukez6fkocbm5wtdd7aqfx754ngfzaqs3</selector>
      </dkim>
      <dkim>
        <domain>amazonses.com</domain>
        <result>pass</result>
        <selector>hsbnp7p3ensaochzwyq5wwmceodymuwv</selector>
      </dkim>
      <spf>
        <domain>us-west-2.amazonses.com</domain>
        <result>pass</result>
      </spf>
    </auth_results>
  </record>
  <record>
    <row>
      <source_ip>54.240.27.35</source_ip>
      <count>8</count>
      <policy_evaluated>
        <disposition>none</disposition>
        <dkim>pass</dkim>
        <spf>fail</spf>
      </policy_evaluated>
    </row>
    <identifiers>
      <header_from>ofpad.com</header_from>
    </identifiers>
    <auth_results>
      <dkim>
        <domain>ofpad.com</domain>
        <result>pass</result>
        <selector>ukez6fkocbm5wtdd7aqfx754ngfzaqs3</selector>
      </dkim>
      <dkim>
        <domain>amazonses.com</domain>
        <result>pass</result>
        <selector>hsbnp7p3ensaochzwyq5wwmceodymuwv</selector>
      </dkim>
      <spf>
        <domain>us-west-2.amazonses.com</domain>
        <result>pass</result>
      </spf>
    </auth_results>
  </record>
  <record>
    <row>
      <source_ip>209.85.220.41</source_ip>
      <count>39</count>
      <policy_evaluated>
        <disposition>none</disposition>
        <dkim>pass</dkim>
        <spf>pass</spf>
      </policy_evaluated>
    </row>
    <identifiers>
      <header_from>ofpad.com</header_from>
    </identifiers>
    <auth_results>
      <dkim>
        <domain>ofpad.com</domain>
        <result>pass</result>
        <selector>ukez6fkocbm5wtdd7aqfx754ngfzaqs3</selector>
      </dkim>
      <dkim>
        <domain>amazonses.com</domain>
        <result>pass</result>
        <selector>hsbnp7p3ensaochzwyq5wwmceodymuwv</selector>
      </dkim>
      <spf>
        <domain>ofpad.com</domain>
        <result>pass</result>
      </spf>
    </auth_results>
  </record>
  <record>
    <row>
      <source_ip>54.240.27.34</source_ip>
      <count>10</count>
      <policy_evaluated>
        <disposition>none</disposition>
        <dkim>pass</dkim>
        <spf>fail</spf>
      </policy_evaluated>
    </row>
    <identifiers>
      <header_from>ofpad.com</header_from>
    </identifiers>
    <auth_results>
      <dkim>
        <domain>ofpad.com</domain>
        <result>pass</result>
        <selector>ukez6fkocbm5wtdd7aqfx754ngfzaqs3</selector>
      </dkim>
      <dkim>
        <domain>amazonses.com</domain>
        <result>pass</result>
        <selector>hsbnp7p3ensaochzwyq5wwmceodymuwv</selector>
      </dkim>
      <spf>
        <domain>us-west-2.amazonses.com</domain>
        <result>pass</result>
      </spf>
    </auth_results>
  </record>
  <record>
    <row>
      <source_ip>209.85.220.41</source_ip>
      <count>87</count>
      <policy_evaluated>
        <disposition>none</disposition>
        <dkim>pass</dkim>
        <spf>fail</spf>
      </policy_evaluated>
    </row>
    <identifiers>
      <header_from>ofpad.com</header_from>
    </identifiers>
    <auth_results>
      <dkim>
        <domain>ofpad.com</domain>
        <result>pass</result>
        <selector>ukez6fkocbm5wtdd7aqfx754ngfzaqs3</selector>
      </dkim>
      <dkim>
        <domain>amazonses.com</domain>
        <result>pass</result>
        <selector>hsbnp7p3ensaochzwyq5wwmceodymuwv</selector>
      </dkim>
      <spf>
        <domain>gmail.com</domain>
        <result>pass</result>
      </spf>
    </auth_results>
  </record>
  <record>
    <row>
      <source_ip>54.240.27.38</source_ip>
      <count>3</count>
      <policy_evaluated>
        <disposition>none</disposition>
        <dkim>pass</dkim>
        <spf>fail</spf>
      </policy_evaluated>
    </row>
    <identifiers>
      <header_from>ofpad.com</header_from>
    </identifiers>
    <auth_results>
      <dkim>
        <domain>ofpad.com</domain>
        <result>pass</result>
        <selector>ukez6fkocbm5wtdd7aqfx754ngfzaqs3</selector>
      </dkim>
      <dkim>
        <domain>amazonses.com</domain>
        <result>pass</result>
        <selector>hsbnp7p3ensaochzwyq5wwmceodymuwv</selector>
      </dkim>
      <spf>
        <domain>us-west-2.amazonses.com</domain>
        <result>pass</result>
      </spf>
    </auth_results>
  </record>
  <record>
    <row>
      <source_ip>54.240.27.116</source_ip>
      <count>11</count>
      <policy_evaluated>
        <disposition>none</disposition>
        <dkim>pass</dkim>
        <spf>fail</spf>
      </policy_evaluated>
    </row>
    <identifiers>
      <header_from>ofpad.com</header_from>
    </identifiers>
    <auth_results>
      <dkim>
        <domain>ofpad.com</domain>
        <result>pass</result>
        <selector>ukez6fkocbm5wtdd7aqfx754ngfzaqs3</selector>
      </dkim>
      <dkim>
        <domain>amazonses.com</domain>
        <result>pass</result>
        <selector>hsbnp7p3ensaochzwyq5wwmceodymuwv</selector>
      </dkim>
      <spf>
        <domain>us-west-2.amazonses.com</domain>
        <result>pass</result>
      </spf>
    </auth_results>
  </record>
  <record>
    <row>
      <source_ip>54.240.27.123</source_ip>
      <count>6</count>
      <policy_evaluated>
        <disposition>none</disposition>
        <dkim>pass</dkim>
        <spf>fail</spf>
      </policy_evaluated>
    </row>
    <identifiers>
      <header_from>ofpad.com</header_from>
    </identifiers>
    <auth_results>
      <dkim>
        <domain>ofpad.com</domain>
        <result>pass</result>
        <selector>ukez6fkocbm5wtdd7aqfx754ngfzaqs3</selector>
      </dkim>
      <dkim>
        <domain>amazonses.com</domain>
        <result>pass</result>
        <selector>hsbnp7p3ensaochzwyq5wwmceodymuwv</selector>
      </dkim>
      <spf>
        <domain>us-west-2.amazonses.com</domain>
        <result>pass</result>
      </spf>
    </auth_results>
  </record>
</feedback>

【问题讨论】：

标签： wordpress amazon-web-services amazon-ses spf dmarc

【解决方案1】：

SPF 始终被视为来自域。 Header From 和 From Domain 是两个不同的东西。 Header From 是电子邮件地址中@ 之后的部分。在您的情况下，它是ofpad.com。但是会发生什么是它检查来自域的 SPF。在这种情况下，它是us-west-2.amazonses.com。并且在 DMARC 中，它还检查正在发送的邮件在 Header From 和 From Domain 中是否应该具有相同的域。在这种情况下是不同的。这是它失败的主要原因。在 DMARC 中称为 SPF 对齐。

要解决此问题，您必须前往您的 SES 控制台，在选择您的域后，您将在底部看到一个名为 From Domain 的部分。您应该在 ofpad.com 的子域上配置它，然后它将开始通过 SPF。这将使您的 SPF 放松对齐。

【讨论】：

我可以使用主域而不是子域吗？我已经拥有 Google Apps MX 记录。这会导致冲突吗？
您可以使用与From Domain 无关的任何其他子域，并且仍然可以将您的根域用于Header From。它们可以不同。选择任何可以使用的子域。
我在 aws 中实现了 MAIL FROM Domain，但我的 SPF 对于 AWS 似乎仍然失败。我已使用 AWS 设置的屏幕截图和 Google 发送给我的新 XML 更新了原始问题。任何帮助表示赞赏。
我认为您在实施MAIL FROM DOMAIN 之后的第二天或第二天分享了报告。再等待 1-2 天以在报告中进行验证。报告通常有 1 天的延迟。这就是为什么如果您看到有一条记录通过 SPF 而其他记录没有通过。报告目前喜忧参半。
分享我今天收到的报告：us.dmarcian.com/dmarc-xml/details/USm64TQ5lItP9duy 仍然遇到同样的错误。

【解决方案2】：

architjn 为我指明了正确的方向，我在 AWS 设置中添加了 Mail From 域，但问题仍然存在，因为我还验证了我的发件人电子邮件，该电子邮件没有使用来自域的域邮件。显然，如果您同时验证电子邮件地址和该电子邮件地址所属的域，则电子邮件地址的设置会覆盖该域的设置。

所以我为域配置的来自域的邮件不适用于电子邮件地址。

Amazon SES 要求您验证您的电子邮件地址或域。当您验证整个域时，您正在验证来自该域的所有电子邮件地址，因此您无需单独验证来自该域的电子邮件地址。

我从 AWS 的已验证电子邮件中删除了属于该域的电子邮件地址，现在正在使用该域中配置的 Mail From Domain。

这是由architjn指示的AWS中的MAIL FROM域。

【讨论】：