发出去的邮件总进垃圾箱、被拒收,或者你的域名被人伪造发垃圾邮件?问题几乎都出在邮件认证三件套——SPF、DKIM、DMARC没配好。这三个DNS记录是现代邮件送达率的命门。本文逐一讲清怎么配、怎么验。这是自建邮件服务器和用任何邮件服务都必做的功课。
一、为什么需要这三件套?
邮件协议诞生时没考虑防伪,任何人都能冒充你的域名发信。接收方(Gmail、Outlook等)为了反垃圾、防钓鱼,现在会严格检查发信方的身份认证。没配好三件套,你的正常邮件会被当可疑邮件丢进垃圾箱甚至拒收;配好了,才能证明”这封信真的是我发的”。
二、SPF:声明谁能替我发信
SPF(发件人策略框架)是一条TXT记录,声明哪些IP/服务器有权代表你的域名发信。接收方收到邮件,检查发信IP是否在你的SPF名单里,不在就可疑。配置示例(TXT记录):
类型: TXT
主机: @
值: v=spf1 ip4:你的发信服务器IP -all用第三方邮件服务的话,把它们提供的include加进去,如 v=spf1 include:_spf.服务商.com -all。-all 表示”名单外的一律拒绝”(严格),~all 是软失败(标记但不拒)。
三、DKIM:给邮件盖数字签名
DKIM用密码学给每封邮件加数字签名,接收方用你公布在DNS里的公钥验证签名,确认:邮件确实来自你的域名、且内容传输中没被篡改。配置流程:
- 在邮件服务器/服务生成DKIM密钥对;
- 把公钥作为TXT记录发布到DNS(记录名类似
selector._domainkey.你的域名); - 邮件服务器用私钥给发出的邮件签名。
DKIM是三件套里技术性最强的,但自建邮件服务器软件(如Postfix+OpenDKIM)或第三方服务都有现成方案。
四、DMARC:定规矩 + 收报告
DMARC是”总指挥”,它做两件事:告诉接收方如何处理未通过SPF/DKIM验证的邮件(放行/隔离/拒绝),并接收邮件认证的报告(谁在用你的域名发信)。配置(TXT记录):
类型: TXT
主机: _dmarc
值: v=DMARC1; p=quarantine; rua=mailto:report@你的域名; adkim=s; aspf=sp= 是策略:none(只监控,新配置时用)、quarantine(可疑邮件进垃圾箱)、reject(直接拒收,最严格)。建议先用 p=none 观察报告,确认合法邮件都能通过后,再逐步收紧到quarantine或reject。
五、配置顺序与验证
推荐顺序:先SPF → 再DKIM → 最后DMARC(先none后收紧)。配完务必验证:
- 用 mail-tester.com 发一封测试邮件,它会给出满分10分的评分和三件套的检测结果;
- 用MXToolbox等工具检查各记录是否正确;
- 观察DMARC报告,确认合法邮件源都通过认证再收紧策略。
六、三件套之外:IP信誉同样关键
三件套解决”身份认证”,但送达率还取决于发信IP的信誉——干净的独立IP(参考博客邮件服务器篇和独立IP篇)、IP没有黑历史、新IP要逐步养。认证 + IP信誉,双管齐下才有高送达率。自建邮件服务器需要专属独立IP,可用多IP服务器做发信池。
结论
邮件三件套:SPF声明发信IP、DKIM签名防篡改、DMARC定策略收报告。按SPF→DKIM→DMARC顺序配,DMARC先none观察再收紧,用mail-tester验证到满分。配好三件套 + 干净独立IP,才能让你的邮件稳进收件箱。无论自建还是用第三方邮件服务,这都是必做的基础配置。
