FelisMC/Felis
2
0 Fork 0
Code Issues Pull Requests 6 Actions Packages Projects Releases Wiki Activity

Tighten SPF and DMARC policy for flyemoji.network #17

New Issue
Closed
opened 2026-07-28 12:22:18 +09:00 by FLYEMOJ1 · 1 comment
FLYEMOJ1 commented 2026-07-28 12:22:18 +09:00 (Migrated from github.com)
Copy link
Copy source

问题

flyemoji.network 的邮件认证已经配起来了 —— DKIM 三个 selector 都在，SPF 也 include 了 Fastmail —— 但两条策略都停在最宽松的档位上：SPF 结尾是 ?all（neutral），DMARC 是 p=none。

合起来的效果是：任何人从任何 IP 用 @flyemoji.network 发信，收件方既不会拒也不会标记。而 Felis 用这个域名发的是账号绑定和 email-OTP —— 正是最值得被冒充的那类邮件。

证据

Identified by Claude Opus 5 (claude-opus-5) while checking the SMTP subsystem's sending domain on 2026-07-28.

$ nslookup -type=TXT flyemoji.network
"v=spf1 include:spf.messagingengine.com ?all"

$ nslookup -type=TXT _dmarc.flyemoji.network
"v=DMARC1; p=none; rua=mailto:[email protected]"

$ nslookup -type=CNAME fm1._domainkey.flyemoji.network
fm1._domainkey.flyemoji.network canonical name = fm1.flyemoji.network.dkim.fmhosted.com

fm2 / fm3 同样存在。所以缺的不是配置，是策略强度。

验收

SPF 收到 ~all 或 -all，DMARC 至少到 p=quarantine，且收紧之后真发一封 OTP 出去仍然进收件箱。

备注

需要改 DNS，我这边动不了，挂 help wanted。

顺序建议：先让 rua 报告跑一段时间，确认没有别的合法发信源在用这个域名（比如别的服务、别的脚本），再从 p=none 往上收。直接跳到 p=reject 有可能把某个自己都忘了的合法发信源打掉。

## 问题 `flyemoji.network` 的邮件认证已经配起来了 —— DKIM 三个 selector 都在，SPF 也 include 了 Fastmail —— 但两条策略都停在最宽松的档位上：SPF 结尾是 `?all`（neutral），DMARC 是 `p=none`。 合起来的效果是：任何人从任何 IP 用 `@flyemoji.network` 发信，收件方既不会拒也不会标记。而 Felis 用这个域名发的是账号绑定和 email-OTP —— 正是最值得被冒充的那类邮件。 ## 证据 Identified by Claude Opus 5 (claude-opus-5) while checking the SMTP subsystem's sending domain on 2026-07-28. ``` $ nslookup -type=TXT flyemoji.network "v=spf1 include:spf.messagingengine.com ?all" $ nslookup -type=TXT _dmarc.flyemoji.network "v=DMARC1; p=none; rua=mailto:[email protected]" $ nslookup -type=CNAME fm1._domainkey.flyemoji.network fm1._domainkey.flyemoji.network canonical name = fm1.flyemoji.network.dkim.fmhosted.com ``` fm2 / fm3 同样存在。所以缺的不是配置，是策略强度。 ## 验收 SPF 收到 `~all` 或 `-all`，DMARC 至少到 `p=quarantine`，且收紧之后真发一封 OTP 出去仍然进收件箱。 ## 备注 需要改 DNS，我这边动不了，挂 `help wanted`。 顺序建议：先让 `rua` 报告跑一段时间，确认没有别的合法发信源在用这个域名（比如别的服务、别的脚本），再从 `p=none` 往上收。直接跳到 `p=reject` 有可能把某个自己都忘了的合法发信源打掉。
FLYEMOJ1 commented 2026-07-28 12:43:19 +09:00 (Migrated from github.com)
Copy link
Copy source

这是我自己的问题，我看着处理。

这是我自己的问题，我看着处理。
Sign in to join this conversation.
No Branch/Tag Specified
Labels
Clear labels
bug
Something isn't working
 dependencies
Pull requests that update a dependency file
 docker
Pull requests that update docker code
 documentation
Improvements or additions to documentation
 duplicate
This issue or pull request already exists
 enhancement
New feature or request
 github_actions
Pull requests that update GitHub Actions code
 go
Pull requests that update go code
 good first issue
Good for newcomers
 help wanted
Extra attention is needed
 invalid
This doesn't seem right
 javascript
Pull requests that update javascript code
 question
Further information is requested
 wontfix
This will not be worked on
No labels wontfix
Milestone
No items
No Milestone
Projects
Clear projects
No projects
Assignees
Clear assignees
flyemoji (Minseong Choi) gitea-admin
No Assignees
1 Participants
Notifications
Due Date
No due date set.
Dependencies

No dependencies set.

Reference: FelisMC/Felis#17