邮件可信度三件套：SPF / DKIM / DMARC 配置详解 教程

三者分工

• SPF：声明『哪些 IP 有权替我发信』，TXT 记录即可
• DKIM：对每封信做数字签名，收件方用 DNS 公钥验签防篡改
• DMARC：告诉收件方『前两者没过怎么办』+ 收对齐报告

SPF 配置

• 示例：v=spf1 include:spf.provider.com ip4:1.2.3.4 -all
• 一条域名只能有一条 SPF 记录，include 层数 ≤10 次查询
• 收尾用 -all（硬失败）比 ~all（软失败）更可信，但先观察一个月再收紧

DKIM 配置

• 在邮箱服务商后台生成 1024/2048 位密钥，拿到 selector+公钥
• DNS 添加 TXT：selector._domainkey 记录名，值为 p=公钥串
• 发测试信到 Gmail →『显示原始邮件』看 DKIM: PASS、SPF: PASS、DMARC: PASS 三绿

DMARC 与进阶

• 先 _dmarc TXT：v=DMARC1; p=none; rua=mailto:dmarc@你的域名 过渡观察
• 看一周聚合报告确认所有合法发信源都通过后，升 p=quarantine → p=reject
• 别名转发服务（如 CF Email Routing）发出去的信不算你域名的 DKIM，代发场景用子域名隔离

🔗 延伸阅读