# 2026年企业电子邮件保护：针对Microsoft 365、Google Workspace和cPanel的垃圾邮件与钓鱼过滤机制是如何运作的

> 根据FBI的数据，2025年企业电子邮件欺诈（BEC）给受害者造成的报告损失高达30.5亿美元。本指南将解释MX级过滤器如何部署在Microsoft 365、Google Workspace或cPanel之前，SPF、DKIM和DMARC究竟证明了什么，以及Gmail、Yahoo和Outlook.com的发件人规则对您的域名意味着什么。

- 规范网址: https://www.broadnet.me/zh/blog/business-email-spam-phishing-protection-guide-2026
- 语言: zh
- 最后更新: 2026-10-22
- 发布方: BroadNet (https://www.broadnet.me)

- 发布日期: 2026-10-22
- 作者: BroadNet Editorial Team

2026年的企业电子邮件保护意味着在您域名的每个邮箱前都设置一个过滤器。您将域名的MX记录指向一个过滤网关，该网关会检查每条入站消息是否存在垃圾邮件、钓鱼、恶意软件和仿冒，然后将干净的邮件传递给Microsoft 365、Google Workspace、cPanel/WHM或Exchange。SPF、DKIM和DMARC可保护您的自有域名不被伪造。[iBlockSpam](https://iblockspam.com/)作为BroadNet的电子邮件保护服务，正是以此方式运作，并按每个域名收取固定价格。

> 事实核查日期：2026年10月22日。参考来源包括：FBI 2025年IC3年度报告、Microsoft Learn、Google Workspace管理员帮助、Yahoo Sender Hub、Microsoft Tech Community关于Outlook.com的公告、RFC编辑器（RFC 5321, 6376, 7208, 7489和9989）以及iBlockSpam官网。所有数据均已链接至其来源。价格和限制可能会发生变化，请在购买前查看实时页面。

| 问题 | 简短回答 |
|---|---|
| 问题的严重程度如何？ | 2025年，FBI的IC3记录了24,768起企业电子邮件欺诈投诉，报告损失达30.5亿美元，以及191,561起钓鱼/仿冒投诉 |
| 入站过滤位于何处？ | 在MX记录层面：邮件流程为发送者 → 过滤网关 → 您的邮件平台 → 收件箱 |
| Microsoft 365设置 | 合作伙伴入站连接器，锁定至过滤器，并已开启Enhanced Filtering for Connectors |
| Google Workspace设置 | 在管理控制台中将过滤器添加为入站网关 |
| 什么可以保护您自己的域名？ | SPF (RFC 7208)、DKIM (RFC 6376)和DMARC（RFC 7489，将于2026年5月被RFC 9989取代） |
| 批量发送者规则 | 对于每天发送超过5,000条消息的域名，Gmail和Outlook.com要求提供SPF、DKIM和DMARC；Yahoo对批量发送者也执行相同要求，但未公布具体阈值 |
| iBlockSpam价格 | 按年计费，每个域名每月12美元起，包含无限量邮箱 |

## 为什么企业邮箱仍是主要切入点

FBI的[2025年网络犯罪报告](https://www.ic3.gov/AnnualReport/Reports/2025_IC3Report.pdf)记录了1,008,597起投诉，报告损失达208.77亿美元。网络钓鱼/仿冒是报告最多的犯罪类型，共有191,561起投诉。企业邮箱劫持（BEC）的投诉量要少得多，为24,768起，但报告损失高达3,046,598,558美元，高于2024年的2,770,151,146美元。在网络辅助欺诈类型中，只有投资欺诈给受害者造成的损失更高。报告还指出，企业因涉及AI的BEC诈骗报告的损失超过了3,000万美元。

这些数字仅涵盖向IC3提交的投诉，因此它们反映的是趋势而非全部成本。它们还表明这两种威胁是协同运作的。网络钓鱼是规模化攻击，而BEC是最终获利手段，即通过来自“供应商”或“高管”的极具说服力的电子邮件，要求某人更改银行详情或批准转账。IC3将网络钓鱼定义为未经请求的电子邮件、短信和电话，因此同样的套路也适用于短信。我们的[短信钓鱼防御指南](https://www.broadnet.me/blog/smishing-defense-sms-phishing-protection)涵盖了短信方面的防护。

## 入站过滤的工作原理：由MX记录决定

根据[SMTP (RFC 5321)](https://www.rfc-editor.org/rfc/rfc5321)，发送服务器会查询您域名的MX记录，以确定邮件的投递位置。无论这些记录指向何处，所有入站消息都会首先经过这些记录所指向的地址。过滤网关会将路由从“发送者 → 您的邮件服务器”更改为“发送者 → 网关 → 您的邮件服务器”。网关接受连接，检查发送者的信誉和身份验证，扫描链接和附件，然后决定是投递消息、将其隔离还是拒绝。

您的邮箱不会移动。用户可以继续使用相同的应用程序、密码和文件夹。有两个设置比其他任何设置都更重要。首先，每个MX记录都必须指向网关，因为如果遗留了仍直接指向您邮件服务器的备份MX记录，攻击者就可以绕过过滤器。其次，您的邮件平台应仅接受来自网关的入站互联网邮件。Microsoft的[内置保护](https://learn.microsoft.com/en-us/defender-office-365/eop-about)会在网关后持续运行，因此您最终拥有的是两个独立的防护层，而非单一层。

## Microsoft 365、Google Workspace和cPanel：平台特定说明

### Microsoft 365和Exchange Online

Microsoft在 [使用第三方云服务管理邮件流](https://learn.microsoft.com/en-us/exchange/mail-flow-best-practices/manage-mail-flow-using-third-party-cloud) 中记录了此设置。MX记录指向过滤服务，您需要创建一个合作伙伴入站连接器，仅接收来自该服务证书或IP地址的邮件。如果没有此设置，攻击者可以直接向您的租户发送邮件并绕过过滤器。Microsoft “强烈建议”开启 [Enhanced Filtering for Connectors](https://learn.microsoft.com/en-us/exchange/mail-flow-best-practices/use-connectors-to-configure-mail-flow/enhanced-filtering-for-connectors)，也称为跳过列表。通过在前端部署网关，每条消息都会从网关的IP地址到达。增强型过滤功能会保留原始源IP和发送者信息，因此Microsoft的SPF、DKIM、DMARC以及防仿冒检查仍能识别真实的发送者。Microsoft不建议仅针对网关IP绕过垃圾邮件过滤，因为这些地址通常由许多客户共享。

### Google Workspace

在Google Workspace中，您需要在管理控制台中将过滤器注册为[入站邮件网关](https://knowledge.workspace.google.com/admin/gmail/advanced/set-up-an-inbound-mail-gateway)，列出其IP地址，并可选择拒绝所有非来自网关的邮件。Google指出，Gmail不会对通过网关到达的消息强制执行发送者的DMARC策略，尽管它仍会利用身份验证结果来打击垃圾邮件和钓鱼邮件。因此，您的网关应当进行自身的SPF、DKIM和DMARC检查。

### cPanel/WHM与本地Exchange

托管服务器和自管Exchange遵循相同的MX逻辑。在更改DNS之前，请确认哪个服务器实际接收该域名的邮件。然后将MX指向网关，将网关设置为向您的服务器投递，并在您的设置允许的情况下，将入站SMTP限制为网关的地址。提前一天降低MX记录的TTL，以便更改和任何回退操作都能快速生效。

## SPF、DKIM和DMARC：保护您自己的域名

入站过滤保护您的用户。域名身份验证则保护所有接收声称来自您域名的邮件的人员。这三种标准分别证明了不同的内容：

- **SPF** ([RFC 7208](https://www.rfc-editor.org/rfc/rfc7208))公布了哪些服务器可以代表您的域名发送邮件。检查限制在10个DNS查询机制内，因此包含过多“include”条目的记录将会失败。
- **DKIM** ([RFC 6376](https://www.rfc-editor.org/rfc/rfc6376))添加了加密签名，接收方会根据您在DNS中发布的公钥进行验证。它证明了签名域名发送了该消息，且消息未被篡改。
- **DMARC** ([RFC 7489](https://www.rfc-editor.org/rfc/rfc7489))将SPF或DKIM与可见的From:地址中的域名绑定，告知接收方在消息失败时该如何处理（none、quarantine或reject），并向您发送关于谁在冒用您的域名发送消息的报告。

2026年5月，IETF在标准轨道上发布了[RFC 9989](https://www.rfc-editor.org/rfc/rfc9989)，即更新后的DMARC规范（“DMARCbis”工作）。它取代了RFC 7489，而两个配套的RFC 9990和9991则涵盖了汇总报告和失败报告。现有的DMARC记录将继续有效。常规路径保持不变：发布p=none，阅读报告，修复每个合法的发送者，然后过渡到quarantine，最后过渡到reject。

## 相似域名、冒充与隔离

DMARC可以阻止攻击者使用您的精确域名。但它无法阻止他们注册一个相似的域名（例如通过交换字母、添加连字符或使用不同的后缀），并利用完全有效的SPF和DKIM从该域名发送邮件。许多BEC尝试都采用这种方式，因此优秀的过滤器还会检查显示名称仿冒、新出现的发送者域名以及与您名称相似的域名。通过监控与您域名相似的注册情况，可以在其开始发送邮件之前向您发出警告。

隔离机制决定了用户是否会接受过滤器。可疑邮件应当被拦截而非直接删除，且每个用户都应能够查看被拦截的内容，并在无需提交工单的情况下释放真实的邮件。管理员需要全局域视图和邮件历史记录，以便追踪任何关于邮件丢失的投诉。例如，Microsoft的自有服务默认会将高置信度的网络钓鱼邮件直接发送到仅限管理员访问的隔离区。请提前决定谁有权释放哪些邮件。

## Gmail、Yahoo和Outlook.com的发送规则对您的域名意味着什么

自2024年2月1日起，Google的 [电子邮件发送指南](https://support.google.com/a/answer/81126) 要求所有向Gmail账户发送邮件的发送者必须设置SPF或DKIM，使用TLS，拥有有效的正向和反向DNS，并将Postmaster Tools报告的垃圾邮件率保持在0.3%以下。每天发送超过5,000条消息的发送者还必须具备SPF、DKIM和DMARC，且From: 域名需保持一致，并为营销邮件提供一键退订功能。Yahoo的 [Sender Hub](https://senders.yahooinc.com/best-practices/) 设定了相同的基准：所有人均需具备SPF或DKIM，且针对批量发送者，两者还需满足至少p=none的DMARC，垃圾邮件率低于0.3%，并在2天内处理退订请求。Yahoo表示，它不会公布判定批量发送者的发送量阈值。

Microsoft已针对Outlook.com消费者地址（hotmail.com、live.com、outlook.com）采取了后续行动。其 [2025年4月的公告](https://techcommunity.microsoft.com/blog/microsoft-defender-for-office-365-blog/strengthening-email-ecosystem-outlook%E2%80%99s-new-requirements-for-high%E2%80%90volume-senders/4399730) 要求每天发送超过5,000封电子邮件的域名必须通过SPF和DKIM验证，并发布至少为p=none的DMARC，且需与SPF或DKIM保持一致。自2025年5月5日起，不合规的邮件将被拒绝，并报错“550; 5.7.515 Access denied”。对于典型的企业而言，这将产生两个后果：首先，所有以您的域名身份发送邮件的平台（如您的CRM、开票工具或营销平台）都需要进行一致的身份验证。其次，一旦DMARC开始强制执行，攻击者也更难伪造您的域名来欺骗您的客户。对于交易型和营销型发送，BroadNet的 [电子邮件服务](https://www.broadnet.me/products/email) 通过SMTP和API处理身份验证发送。

## 清单：如何选择入站电子邮件过滤器

1. 它是否能通过供应商记录的方法（例如使用带有增强过滤功能的连接器或入站网关）在您的平台（Microsoft 365、Google Workspace、cPanel/WHM、Exchange）前端正常工作？
2. 它是否会对入站邮件本身进行SPF、DKIM和DMARC检查，并能检测出显示名称和相似域名的仿冒行为？
3. 每个用户是否都拥有包含摘要的个人隔离区，并配有管理员视图和可搜索的消息历史记录？
4. 如果您的邮件服务器宕机了该怎么办？请查看是否注明了暂存期。
5. 价格是按用户还是按域名计算，以及包含怎样的消息量和大小限制？
6. 设置过程是否会记录您当前的DNS并提供回滚步骤，之后是否有任何机制监控MX、SPF和DMARC是否发生偏移？
7. 邮件在哪里处理，哪些内容会被存储，以及存储时长是多少？
8. 在签署之前，退款条款、取消政策以及如何退出是否已明确列出？

电子邮件仅是其中一种渠道。如果您的客户通过短信接收一次性密码或警报，请在短信方面也采取同样的严谨措施。请参阅我们的[短信OTP安全标准指南](https://www.broadnet.me/blog/sms-otp-security-standards-2026)，并在发送前使用 [MobileValidate](https://www.broadnet.me/products/mobilevalidate) 校验电话号码和电子邮件地址。

## iBlockSpam的定位与功能

iBlockSpam是[BroadNet品牌家族](https://www.broadnet.me/brands)的一部分。根据其[工作原理页面](https://iblockspam.com/how-it-works)，您只需将您的MX记录指向iBlockSpam的过滤服务器，每条入站消息都会在干净邮件发送至您正在使用的服务器之前，经过垃圾邮件、病毒、恶意软件、钓鱼和仿冒检查。步骤包括检查、配置、验证和监控。引导向导将当前和新的DNS并排显示，并保存回滚步骤。iBlockSpam不会为您编辑DNS。其发布的事实如下：

- 支持Microsoft 365、Google Workspace、cPanel/WHM、Exchange及其他邮件服务器。
- 为每位用户提供带有定期摘要的个人隔离区，以及共享管理员隔离区和30天的消息历史记录。
- 如果您的邮件服务器宕机，邮件将被保留长达5天，并在服务器恢复后进行投递。
- 无限量的邮箱和域名别名。每个域名每月包含100,000条入站消息，最大消息大小为400 MB，并包含500条带有DKIM签名的出站中继消息。
- 相似域名监控、DMARC报告监控以及MX/SPF/DMARC漂移警报（Protect版本为每周一次，Protect Plus版本为每日一次）。
- 邮件在美国进行处理。

[价格](https://iblockspam.com/pricing)按域名计算，以USD计，不含税：**Protect**每个域名每月费用为$12（按年计费为每年$144）或按月计费为$15。**Protect Plus**按年计费为$19（每年$228）或按月计费为$24，并增加了每日监控、每月所有者报告和人工设置环节。不提供免费试用。取而代之的是，域名的首次年度订阅享有30天退款保证。免费的电子邮件健康检查无需账户即可读取您的MX、SPF、DMARC和常见的DKIM选择器。BroadNet更广泛的[安全方案](https://www.broadnet.me/security)和[信任中心](https://www.broadnet.me/trust)涵盖了集团的各项认证。

## 常见问题

### Microsoft 365内置的垃圾邮件过滤器对企业来说足够了吗？

对于某些机构来说，它是足够的。Microsoft 365为每个云邮箱提供防垃圾邮件、防恶意软件和防钓鱼保护，并默认开启。独立的网关可以在其前端增加一个独立的层级，具备自身的检测、个人隔离区、故障缓冲和针对每个域的控制功能。如果您添加了网关，请遵循Microsoft的官方设置文档：使用已锁定权限的合作伙伴连接器（Partner connector）并开启Enhanced Filtering for Connectors。

### 什么是MX级垃圾邮件过滤器？

MX级垃圾邮件过滤器是一种您的域名MX记录所指向的服务，因此它会在您的邮件服务器接收邮件之前先接收所有入站邮件。它会检查每条消息是否存在垃圾邮件、钓鱼、恶意软件和仿冒问题，将干净的邮件投递到您现有的平台，并将可疑邮件拦截在隔离区中。您的邮箱、应用程序和密码保持不变。改变的仅是邮件到达这些目标的路径。

### 什么是Exchange Online中的Enhanced Filtering for Connectors？

Enhanced Filtering for Connectors也称为跳过列表（skip listing），是针对接收来自Exchange Online前端服务的入站连接器的Microsoft 365设置。它会绕过网关的IP地址，识别原始发送者，从而使Microsoft的SPF、DKIM、DMARC和防仿冒检查能够评估真实的来源。每当您的MX记录指向非Microsoft的过滤器时，Microsoft都强烈建议使用此设置。

### SPF、DKIM和DMARC能拦截钓鱼邮件吗？

它们可以拦截一种钓鱼方式：伪造您精确域名的邮件。通过将DMARC设置为隔离（quarantine）或拒绝（reject），接收方可以拦截那些冒用您的From: 地址的消息。它们无法拦截相似域名、真实供应商的被盗账户，或通过已通过身份验证的免费账户发送的钓鱼邮件。这些威胁需要入站过滤、仿冒检查以及通过第二渠道验证付款变更的人员。

### Gmail、Yahoo和Outlook.com的批量发送者规则发生了哪些变化？

自2024年2月起，Gmail（每日发送超过5,000条消息）和Yahoo（批量发送者，未公布具体阈值）要求必须具备SPF和DKIM，且DMARC至少为p=none并保持对齐，同时需支持一键退订，且垃圾邮件率低于0.3%。自2025年5月5日起，Outlook.com会以错误代码550 5.7.515拒绝来自高流量域名的违规邮件。每位发送者至少需要SPF或DKIM。

### 网络钓鱼（Phishing）与商业邮件诈骗（Business Email Compromise）有什么区别？

网络钓鱼是一个大类：指冒充受信任机构以窃取凭据、资金或数据的未经请求的消息。商业邮件诈骗则是针对向供应商付款或通过电汇转移资金的公司的定向欺诈，利用被盗或被仿冒的电子邮件账户来重定向付款。FBI在2025年的IC3报告中记录了191,561起网络钓鱼/仿冒投诉和24,768起BEC投诉，造成的BEC损失达30.5亿美元。

### 电子邮件过滤器会拦截合法消息吗？

任何过滤器都可能误判消息，因此保障措施应该是隔离而非删除。请寻找具备以下功能的系统：提供定期摘要的个人隔离区（以便用户自行释放被拦截的消息）、共享管理员隔离区、针对已知联系人的白名单，以及用于追踪事件经过的消息历史记录。例如，iBlockSpam提供上述所有功能，并保留30天的消息历史记录。

### iBlockSpam的价格是多少？

iBlockSpam按域名计费，包含无限数量的邮箱。Protect方案价格为每个域名每月12美元（按年计费为每年144美元），或按月计费每月15美元。Protect Plus方案价格为每个域名每月19美元（按年计费为每年228美元）或每月24美元，并额外提供每日DNS监控、每月所有者报告以及人工设置服务。价格以USD为单位，不含税。本服务不提供免费试用，但首次年度订阅享有30天退款保证。

准备好了解您的域名状况了吗？请在[iBlockSpam](https://iblockspam.com/)上运行免费的[邮件健康检查](https://iblockspam.com/tools/email-health-check)，然后对比Protect和Protect Plus方案。设置过程仅需进行一次MX更改并配合平台引导步骤，您的邮箱将保持原位。