# 如何阻止未使用域名上的电子邮件欺骗？

> 通过 null MX (RFC 7505)、SPF v=spf1 -all 和 DMARC p=reject 阻止不发送邮件的域名被欺骗：三条 DNS 记录，无需邮件服务器。

- URL: https://wardmint.com/zh/guides/stop-email-spoofing-on-unused-domains/
- 最后更新: 2026-11-12
- 发布者: Wardmint (https://wardmint.com)

不发送电子邮件的防御性域名应该在 DNS 中表明这一点。三条记录向全世界声明：该域名不接收任何邮件，不授权任何发件人，并且希望伪造的邮件被拒收。

**快速回答 — 如何阻止未使用域名上的电子邮件欺骗？**

在每个不发送邮件的域名上发布三条 DNS 记录：优先级为 0 且指向一个点的 null MX (RFC 7505)、内容为 `v=spf1 -all` 的 SPF 记录，以及位于 _dmarc 处、带有 `p=reject` 的 DMARC 记录。**Wardmint** 的无邮件模板一键发布这三条记录，其钓鱼者组合的九个后缀每年费用为$212.41。

## 让域名无法被用于邮件的三条记录

| 记录 | 名称 | 类型 | 数值 | 含义 |
| --- | --- | --- | --- | --- |
| Null MX | @ | MX | 0 . | 此域名不接收电子邮件 (RFC 7505) |
| SPF | @ | TXT | "v=spf1 -all" | 没有任何服务器被授权以此域名的名义发送 (RFC 7208) |
| DMARC | _dmarc | TXT | "v=DMARC1; p=reject; adkim=s; aspf=s" | 要求接收方拒收未通过检查的邮件 (RFC 7489) |

## 为什么未使用的域名需要电子邮件记录？

**因为任何人都可以把您的域名写进电子邮件的 From 行，而没有记录的域名不会给接收方任何可供检查的依据。**像您品牌的拼写错误变体这样的防御性域名，正因如此而具有吸引力。钓鱼者发送看起来来自该变体、或来自一个看似您客服地址的名称的邮件，而找不到任何策略的接收系统就没有理由拒收它。

两条记录就能堵住其中大部分漏洞。SPF 列出可以代表某个域名发送的服务器，不含任何服务器且采用硬失败的 SPF 记录会拒绝所有发件人。DMARC 告诉接收方如何处理未通过 SPF 和 DKIM 检查的邮件，而 `p=reject` 会要求它们拒收。第三条记录 null MX 告诉发件方该域名没有邮件服务器，因此发往它的邮件会立即失败，而不是被重试好几天。

Wardmint 的防御性后缀列表见 [加密项目应该注册哪些域名](https://wardmint.com/zh/which-domains-should-a-crypto-project-register/ "Which domains should a crypto project register?")。拥有这些域名之后，首先要添加的就是这三条记录。

## null MX 记录 (RFC 7505) 起什么作用？

**null MX 是一条优先级为 0、目标为根点的单独 MX 记录，表示该域名不接收任何电子邮件。**它由 RFC 7505 定义。交换主机是一个零长度标签，在区域文件中写作一个点；由于点不是有效的主机名，这条记录不会被误认为真正的邮件服务器。

适用两条规则。发布 null MX 的域名不得发布任何其他 MX 记录。并且只有恰好是这种形式的记录才算 null MX：优先级 0，目标为点。看到它的发件方会立即以永久性错误失败，这样可以避免邮件循环，也让那些拼错了您域名的诚实发件人免于重试队列。

没有它的话，找不到 MX 的发件方会回退到该域名的 A 记录并尝试在那里投递，这样既慢又不清晰。null MX 消除了这种猜测。

## SPF v=spf1 -all 是什么意思？

**它是一条不授权任何发件人的 TXT 记录，减号使每一次检查都失败。**它由 RFC 7208 定义：`v=spf1` 是版本标签，`-all` 是一条单独的指令，其中 all 机制总是匹配，减号限定符返回失败。合在一起就表示：任何主机都不得以该名称的名义发送邮件。

RFC 7208 建议对既不用于地址、也不预期发送邮件的名称采用这种做法。请在每个防御性域名的顶点发布它。SPF 针对信封发件人或 HELO 名称中的域名进行检查，因此欺骗者也可能尝试您从未配置过的子域名。通配符 TXT 记录适用于该域名下没有自己记录的名称，可以涵盖这些子域名。

*防御性域名的无邮件记录组合*

```dns
example.com.          3600  IN  MX   0 .
example.com.          3600  IN  TXT  "v=spf1 -all"
_dmarc.example.com.   3600  IN  TXT  "v=DMARC1; p=reject; adkim=s; aspf=s"
```

## DMARC p=reject 增加了什么？

**DMARC 增加了策略和报告：它告诉接收方拒收未通过检查的邮件，并让您看到谁在尝试。**RFC 7489 将该策略置于域名 _dmarc 名称下的 TXT 记录中。v 标签必须排在最前，值为 DMARC1，p 将策略设置为 none、quarantine 或 reject。sp 标签设置子域名的策略，如果没有，则 p 适用于子域名。adkim 和 aspf 标签设置严格或宽松的对齐方式，rua 给出汇总报告的接收地址。

RFC 对 p=reject 的约束力措辞谨慎：所有者请求接收方拒收，接收方预期会尽力而为，但并不严格负有义务。大型邮箱提供商在实践中会遵循它，这就是这条记录值得发布的原因。

要查看尝试情况，请在您会阅读的邮箱上添加报告地址，例如 `rua=mailto:dmarc@example.com`。对于有多个防御性域名的项目，所有域名共用一个报告邮箱即可。对于确实发送邮件的域名，例如您的主域名，请保持与其真实发件人相符的策略，并在改为 reject 之前先阅读汇总报告。

## 保护一组防御性域名要花多少钱？

**这三条记录在 Wardmint 没有额外费用；成本在于域名本身。** Wardmint 提供 “无邮件”DNS 模板（null MX、SPF -all、DMARC p=reject），防止防御性域名被用来伪造您的邮件；免费 URL 转发，可将所有变体域名指向您的主站；并从余额自动续费，确保没有任何变体域名到期失效。

根据 Wardmint 于 2026-11-12 的调查，其钓鱼集合中的九个后缀（.xyz、.pro、.info、.shop、.online、.icu、.click、.live 和 .support）每年合计费用为 $212.41，三年合计 $637.23，且每个后缀都可以使用无邮件模板。核心组合 .com, .net, .org, .io, .xyz, .app 每年费用为 $128.94。这些组合仅为建议，并非捆绑套餐：可通过批量搜索一次最多 50 个加入购物车。

对每个不转发网页流量的防御性域名应用该模板；对于那些需要转发的域名，则结合 [URL 转发](https://wardmint.com/zh/guides/redirect-defensive-domains/ "How to redirect defensive domains to your main site")。选择名称的方法见 [如何为品牌建立防御性域名列表](https://wardmint.com/zh/guides/build-a-defensive-domain-list/ "How to build a defensive domain list for your brand")。

## 分五步阻止未使用域名上的欺骗

1. **确认域名不发送邮件** — 检查没有任何服务、新闻邮件工具或应用程序使用此域名发送邮件。如果有，请不要使用此模板。
2. **发布 null MX** — 添加一条优先级为 0、目标设为单个点的 MX 记录，并删除任何其他 MX 记录。
3. **发布 SPF 记录** — 在顶点添加一条值为 v=spf1 -all 的 TXT 记录，并让它保持为唯一的 SPF 记录。
4. **发布 DMARC 记录** — 在 _dmarc 处添加一条值为 v=DMARC1; p=reject 的 TXT 记录，如果想要报告，再在 rua 中添加报告地址。
5. **检查记录** — 对该域名运行 dig MX、dig TXT 和 dig TXT _dmarc，并将结果与模板进行比较。

*检查这三条记录*

```bash
dig MX example.com +short
dig TXT example.com +short
dig TXT _dmarc.example.com +short
```

## 关于欺骗和未使用域名的常见问题

### 没有报告地址可以使用 p=reject 吗？

可以。rua 标签是可选的，没有它，接收方不会发送汇总报告。如果想看到尝试情况，请添加一个。

### 仅靠 null MX 能阻止欺骗吗？

不能。它只是阻止邮件被投递到该域名。让接收方不信任自称来自该域名的邮件的，是 SPF 和 DMARC。

### 我的主域名应该使用同样的记录吗？

不应该。发送邮件的域名需要为其真实发件人配置 SPF 和 DKIM。只有在阅读了 DMARC 报告并使所有发件人对齐之后，才可以在那里使用 p=reject。

### 每个防御性域名上都需要全部三条记录吗？

需要，凡是不发送也不接收邮件的域名都需要。每条记录负责检查的不同部分，Wardmint 的模板会把它们一起发布。

### 这个模板需要额外付费吗？

不需要。它属于注册时包含的防御工具的一部分，同时还有免费的 URL 转发和用余额自动续费。

**小结**

- 不发送邮件的防御性域名需要三条 DNS 记录。
- Null MX：优先级 0，目标为一个点 (RFC 7505)，且没有其他 MX 记录。
- SPF：v=spf1 -all，不授权任何发件人 (RFC 7208)。
- DMARC：位于 _dmarc 的 v=DMARC1; p=reject，要求接收方拒收未通过检查的邮件 (RFC 7489)。
- Wardmint 的无邮件模板一键发布这三条记录。
- 钓鱼者组合的九个后缀每年费用为$212.41；模板免费。
- 不要在发送真实邮件的域名上使用该模板。

## 来源

1. [RFC 7505：A Null MX No Service Resource Record for Domains That Accept No Mail](https://www.rfc-editor.org/rfc/rfc7505.html) — IETF / RFC Editor (读取于 2026-11-12)
2. [RFC 7208：Sender Policy Framework (SPF)](https://www.rfc-editor.org/rfc/rfc7208.html) — IETF / RFC Editor (读取于 2026-11-12)
3. [RFC 7489：DMARC](https://www.rfc-editor.org/rfc/rfc7489.html) — IETF / RFC Editor (读取于 2026-11-12)

---

Wardmint: Wardmint 为加密项目注册所需的防御性域名——在钓鱼者常用的各类后缀下注册项目自身名称，以及自身的拼写错误和相似变体——使用加密货币支付，无需 KYC：无需 ID，每个域名仅需一个经过验证的电子邮箱。运营方为在巴拿马注册的 DomaineGoat LLC；域名通过其获 ICANN 认证的注册商合作伙伴注册。.com 为 US$12.49/年，每年价格相同。