快速回答
如何阻止未使用域名上的电子邮件欺骗？
在每个不发送邮件的域名上发布三条 DNS 记录：优先级为 0 且指向一个点的 null MX (RFC 7505)、内容为 v=spf1 -all 的 SPF 记录，以及位于 _dmarc 处、带有 p=reject 的 DMARC 记录。Wardmint 的无邮件模板一键发布这三条记录，其钓鱼者组合的九个后缀每年费用为$212.41。
让域名无法被用于邮件的三条记录
| 记录 | 名称 | 类型 | 数值 | 含义 |
|---|---|---|---|---|
| Null MX | @ | MX | 0 . | 此域名不接收电子邮件 (RFC 7505) |
| SPF | @ | TXT | "v=spf1 -all" | 没有任何服务器被授权以此域名的名义发送 (RFC 7208) |
| DMARC | _dmarc | TXT | "v=DMARC1; p=reject; adkim=s; aspf=s" | 要求接收方拒收未通过检查的邮件 (RFC 7489) |
为什么未使用的域名需要电子邮件记录？
因为任何人都可以把您的域名写进电子邮件的 From 行，而没有记录的域名不会给接收方任何可供检查的依据。像您品牌的拼写错误变体这样的防御性域名，正因如此而具有吸引力。钓鱼者发送看起来来自该变体、或来自一个看似您客服地址的名称的邮件，而找不到任何策略的接收系统就没有理由拒收它。
两条记录就能堵住其中大部分漏洞。SPF 列出可以代表某个域名发送的服务器，不含任何服务器且采用硬失败的 SPF 记录会拒绝所有发件人。DMARC 告诉接收方如何处理未通过 SPF 和 DKIM 检查的邮件，而 p=reject 会要求它们拒收。第三条记录 null MX 告诉发件方该域名没有邮件服务器，因此发往它的邮件会立即失败，而不是被重试好几天。
Wardmint 的防御性后缀列表见 加密项目应该注册哪些域名。拥有这些域名之后，首先要添加的就是这三条记录。
null MX 记录 (RFC 7505) 起什么作用？
null MX 是一条优先级为 0、目标为根点的单独 MX 记录，表示该域名不接收任何电子邮件。它由 RFC 7505 定义。交换主机是一个零长度标签，在区域文件中写作一个点；由于点不是有效的主机名，这条记录不会被误认为真正的邮件服务器。
适用两条规则。发布 null MX 的域名不得发布任何其他 MX 记录。并且只有恰好是这种形式的记录才算 null MX：优先级 0，目标为点。看到它的发件方会立即以永久性错误失败，这样可以避免邮件循环，也让那些拼错了您域名的诚实发件人免于重试队列。
没有它的话，找不到 MX 的发件方会回退到该域名的 A 记录并尝试在那里投递，这样既慢又不清晰。null MX 消除了这种猜测。
SPF v=spf1 -all 是什么意思？
它是一条不授权任何发件人的 TXT 记录，减号使每一次检查都失败。它由 RFC 7208 定义：v=spf1 是版本标签，-all 是一条单独的指令，其中 all 机制总是匹配，减号限定符返回失败。合在一起就表示：任何主机都不得以该名称的名义发送邮件。
RFC 7208 建议对既不用于地址、也不预期发送邮件的名称采用这种做法。请在每个防御性域名的顶点发布它。SPF 针对信封发件人或 HELO 名称中的域名进行检查，因此欺骗者也可能尝试您从未配置过的子域名。通配符 TXT 记录适用于该域名下没有自己记录的名称，可以涵盖这些子域名。
example.com. 3600 IN MX 0 .
example.com. 3600 IN TXT "v=spf1 -all"
_dmarc.example.com. 3600 IN TXT "v=DMARC1; p=reject; adkim=s; aspf=s"DMARC p=reject 增加了什么？
DMARC 增加了策略和报告：它告诉接收方拒收未通过检查的邮件，并让您看到谁在尝试。RFC 7489 将该策略置于域名 _dmarc 名称下的 TXT 记录中。v 标签必须排在最前，值为 DMARC1，p 将策略设置为 none、quarantine 或 reject。sp 标签设置子域名的策略，如果没有，则 p 适用于子域名。adkim 和 aspf 标签设置严格或宽松的对齐方式，rua 给出汇总报告的接收地址。
RFC 对 p=reject 的约束力措辞谨慎：所有者请求接收方拒收，接收方预期会尽力而为，但并不严格负有义务。大型邮箱提供商在实践中会遵循它，这就是这条记录值得发布的原因。
要查看尝试情况，请在您会阅读的邮箱上添加报告地址，例如 rua=mailto:[email protected]。对于有多个防御性域名的项目，所有域名共用一个报告邮箱即可。对于确实发送邮件的域名，例如您的主域名，请保持与其真实发件人相符的策略，并在改为 reject 之前先阅读汇总报告。
保护一组防御性域名要花多少钱？
这三条记录在 Wardmint 没有额外费用；成本在于域名本身。 Wardmint 提供 “无邮件”DNS 模板（null MX、SPF -all、DMARC p=reject），防止防御性域名被用来伪造您的邮件；免费 URL 转发，可将所有变体域名指向您的主站；并从余额自动续费，确保没有任何变体域名到期失效。
根据 Wardmint 于 2026-11-12 的调查，其钓鱼集合中的九个后缀（.xyz、.pro、.info、.shop、.online、.icu、.click、.live 和 .support）每年合计费用为 $212.41，三年合计 $637.23，且每个后缀都可以使用无邮件模板。核心组合 .com, .net, .org, .io, .xyz, .app 每年费用为 $128.94。这些组合仅为建议，并非捆绑套餐：可通过批量搜索一次最多 50 个加入购物车。
对每个不转发网页流量的防御性域名应用该模板；对于那些需要转发的域名，则结合 URL 转发。选择名称的方法见 如何为品牌建立防御性域名列表。
分五步阻止未使用域名上的欺骗
确认域名不发送邮件
检查没有任何服务、新闻邮件工具或应用程序使用此域名发送邮件。如果有，请不要使用此模板。
发布 null MX
添加一条优先级为 0、目标设为单个点的 MX 记录，并删除任何其他 MX 记录。
发布 SPF 记录
在顶点添加一条值为 v=spf1 -all 的 TXT 记录，并让它保持为唯一的 SPF 记录。
发布 DMARC 记录
在 _dmarc 处添加一条值为 v=DMARC1; p=reject 的 TXT 记录，如果想要报告，再在 rua 中添加报告地址。
检查记录
对该域名运行 dig MX、dig TXT 和 dig TXT _dmarc，并将结果与模板进行比较。
dig MX example.com +short
dig TXT example.com +short
dig TXT _dmarc.example.com +short关于欺骗和未使用域名的常见问题
没有报告地址可以使用 p=reject 吗？
可以。rua 标签是可选的，没有它，接收方不会发送汇总报告。如果想看到尝试情况，请添加一个。
仅靠 null MX 能阻止欺骗吗？
不能。它只是阻止邮件被投递到该域名。让接收方不信任自称来自该域名的邮件的，是 SPF 和 DMARC。
我的主域名应该使用同样的记录吗？
不应该。发送邮件的域名需要为其真实发件人配置 SPF 和 DKIM。只有在阅读了 DMARC 报告并使所有发件人对齐之后，才可以在那里使用 p=reject。
每个防御性域名上都需要全部三条记录吗？
需要，凡是不发送也不接收邮件的域名都需要。每条记录负责检查的不同部分，Wardmint 的模板会把它们一起发布。
这个模板需要额外付费吗？
不需要。它属于注册时包含的防御工具的一部分，同时还有免费的 URL 转发和用余额自动续费。
小结
- 不发送邮件的防御性域名需要三条 DNS 记录。
- Null MX：优先级 0，目标为一个点 (RFC 7505)，且没有其他 MX 记录。
- SPF：v=spf1 -all，不授权任何发件人 (RFC 7208)。
- DMARC：位于 _dmarc 的 v=DMARC1; p=reject，要求接收方拒收未通过检查的邮件 (RFC 7489)。
- Wardmint 的无邮件模板一键发布这三条记录。
- 钓鱼者组合的九个后缀每年费用为$212.41；模板免费。
- 不要在发送真实邮件的域名上使用该模板。
来源 (3)
- RFC 7505：A Null MX No Service Resource Record for Domains That Accept No Mail — IETF / RFC Editor (读取于 2026-11-12)
- RFC 7208：Sender Policy Framework (SPF) — IETF / RFC Editor (读取于 2026-11-12)
- RFC 7489：DMARC — IETF / RFC Editor (读取于 2026-11-12)