有一天，你突然收到一封马化腾发来的邮件，发件人是 ceo@qq.com ，请求你收购腾讯公司，那你是收购还是不收购呢?有一天，你突然收到一封特朗普发来的邮件，发件人是 trump@whitehouse.gov ，请你来当美国总统，那这个总统你是当还是不当呢?

　　伪造邮件能干什么?可以看看我的经历，今天上海腾讯企业邮箱经销商就跟大家分一下，伪造邮件的判断与防御？

　　一、为什么邮件可以伪造

　　SMTP协议不需要身份认证，利用这个特性可以伪造任意发件人。为了防止邮箱伪造，就出现了SPF。当你定义了你域名的SPF记录后，接收邮件方会根据你的SPF记录来判断发送过来的IP地址是否被包含在SPF记录里面，如果在，则认为是一封正常的邮件，否则则认为是一封伪造的邮件。现在大部份反垃圾邮件系统都支持SPF验证，当然也有些辣鸡邮箱不支持，或者域名本身没有设置SPF记录，所以就可以伪造邮件。

　　二、哪些邮箱可以收到伪造邮件

　　校园邮(比如亿邮)、QQ邮箱(现在非常可能进入垃圾邮件)。其他邮箱有可能进入垃圾邮件或拒收。

　　发送伪造邮件

　　注册 SendGrid (需要验证域名所有权，但发信可以不使用这个域名)，获得一个 API ，然后有多种方式发送邮件，最方便的是 Curl ：

　　curl --request POST \

　　--url //api.sendgrid.com/v3/mail/send \

　　--header "Authorization: Bearer 你的 API" \

　　--header 'Content-Type: application/json' \

　　--data '{"personalizations": [{"to": [{"email": "发给谁"}]}],"from": {"email": "发件人(你想伪造成谁)"},"subject": "标题","content": [{"type": "text/plain", "value": "内容"}]}'

　　这种方式只需要你有一台服务器(本文所说的服务器，均可用虚拟机代替)，在服务器里面运行这条命令即可发送伪造邮件。但是这种方式无法自定义发件人名字，直接在对方的邮件中显示马化腾。

　　我的方式是使用 WordPress 插件发送。这种方式要求你有一台装有 WordPress 的服务器，安装 SendGrid 插件即可。

　　三、如何判断邮件

　　最好的方法，是不使用垃圾邮箱，完美解决问题。不使用垃圾邮箱，你自然就不会收到伪造邮件了。

　　要是使用呢?以亿邮为例，点击查看信头

　　收到一封马化腾发来的邮件，把发送者的IP百度一下，看到是国外发送的，或者发信人不是腾讯的域名，那就是伪造的。

　　伪造邮件还有可能显示由XXX代发：

　　这样显示很有可能是伪造的。但有些网站发送的邮件也是代发的，比如 AWS ：

　　Amazon SES是一个邮件分发服务，使用这一服务需要验证域名所有权，所以此邮件可信。

　　(文中几处 ceo@qq.com 和 api@qq.com 都一样的，我测试的时候换了名称)

    四、腾讯企业邮箱防伪造的方法

      DMARC(Domain-based Message Authentication, Reporting & Conformance)是一种基于现有的SPF和DKIM协议的可扩展电子邮件认证协议，邮件收发双方建立了邮件反馈机制，便于邮件发送方和邮件接收方共同对域名的管理进行完善和监督。对于未通过前述检查的邮件，接收方则按照发送方指定的策略进行处理，如直接投入垃圾箱或拒收。从而有效识别并拦截欺诈邮件和钓鱼邮件，保障用户个人信息安全。

　　如何设置腾讯企业邮箱的DMARC呢?

　　1.在设置DMARC记录之前，请务必确保已设置SPF记录(如何设置)：

　　TXT记录值为：v=spf1 include:spf.mail.qq.com ~all

　　2.添加以下DMARC记录：

　　主机记录： _dmarc

　　记录类型：TXT

　　记录值: v=DMARC1; p=none; rua=mailto:mailauth-reports@qq.com

　　注：如不需要记录中rua，那么记录值为v=DMARC1; p=none;