企业邮箱 SPF、DKIM、DMARC 怎么配置

把自建邮局的出口 IP 加进 SPF（ip4:你的IP），或者给它单独配一个子域名发信。更彻底的做法是把所有发信统一到企业邮箱，不再保留自建 SMTP。

云臻技术支持更新于 2026-10-18 阅读约 6 分钟

直接回答

三条记录分工明确：SPF 管「谁能发」（IP 白名单），DKIM 管「有没有被改」（数字签名），DMARC 管「验证失败怎么处理」（拒收或隔离）。只配 SPF 不配 DKIM，进垃圾箱的概率仍然很高；三条都配齐，才具备对外声明「这封信确实由我发出」的资格。

先搞清楚这三条记录分别在管什么

发件方身份验证有三层，很多公司只做了第一层就以为万事大吉。三层各管一件事，缺一层就留一个口子。

还有一个常被忽略的作用：DMARC 是防冒名的关键。没有它，别人可以伪造你的域名发钓鱼邮件给客户，而你的 SPF 管不到「别人用你的域名发信」这件事 —— 只有 DMARC 能告诉收件方「没通过验证的信，请直接拒收」。

SPF 是 TXT 记录，主机记录填 @，值以 v=spf1 开头。用了网易企业邮箱，典型写法是：

v=spf1 include:spf.qiye.163.com -all

拆开看：

三个最常见的错误：

有两条 SPF 记录。一个域名只能有一条 v=spf1 开头的 TXT。旧服务商的记录没删，等于两条并存，收件方会直接判为「permerror」，比不配还糟。
用 ~all 却以为已经防住冒名。~all 是软失败（标记但不拒收），-all 才是硬失败。过渡期可以用 ~all 观察，稳定后必须收紧。
include 太多层。SPF 有查询次数上限（10 次），层层 include 会超限。做邮件营销、用多个第三方发信平台的公司最容易踩这条。

DKIM 不是自己编一串值填上去，而是先由服务端生成密钥对，你只需把公钥填到 DNS。

登录邮箱管理后台，找到「域名管理 → DKIM 设置」，开启并生成。
后台会给出两项内容：selector 名称（形如 dkim 或一串编号）和一段 TXT 值（以 v=DKIM1 或 k=rsa 开头）。
在域名商添加 TXT 记录：主机记录填 selector._domainkey（把 selector 换成后台给的实际值），记录值粘贴那段长字符串。
回后台点「验证」。TXT 记录较长，部分域名商会在输入框里截断，粘贴后要检查末尾是否完整。

注意：selector 变了，旧记录要删。重新生成密钥后，DNS 里会同时存在新旧两条 selector，旧的应当删除，否则签名验证可能命中旧公钥而失败。

DMARC 记录加在 _dmarc 子域上，最小可用写法：

v=DMARC1; p=none; rua=mailto:dmarc@你的域名

p 是策略，三档，按顺序推进：

rua 是报告接收地址，建议用一个真实可收的信箱，每天会收到各邮件服务商回传的 XML 报告。报告里能看出「谁在用你的域名发信」—— 常见发现是：某个部门还在用旧的自建邮局、某个系统还在用未登记的第三方 SMTP。这些必须先处理掉，再收紧策略，否则会误杀自己的业务邮件。

用 DNS 查询工具看记录是否已生效。查 TXT 记录，确认只有一条 SPF、DKIM 的 selector 能查到、_dmarc 存在。
发一封测试信到 Gmail 或 Outlook。打开「显示原始邮件」，看三个结果：spf=pass、dkim=pass、dmarc=pass。三个都 pass 才算配置成功。
看信的落点。三个 pass 仍然进垃圾箱，说明问题不在身份验证，而在内容或 IP 信誉，需要另查。