SPF / DKIM / DMARC 一次配齐：不再进垃圾箱
邮件进垃圾箱的根因多是认证三件套缺失。SPF/DKIM/DMARC 各自证明什么、记录怎么写、按什么节奏上线（none→quarantine→reject），一条 dig 命令链验证到位。
「企业邮箱发出去的信全进垃圾箱」——外贸团队与 SaaS 团队的头号邮件事故，根因九成是认证三件套（SPF/DKIM/DMARC）没配齐。这三条 DNS 记录是收件方（Gmail/Outlook/QQ 邮箱）判断「这封信是不是你域发的」的唯一依据。本篇是域名与 DNS 中心的邮件认证实操篇：每条记录证明什么、怎么写、按什么节奏上线。
三件套各证明什么
| 机制 | 证明的事 | 载体 | 缺失后果 |
|---|---|---|---|
| SPF | 「这个发信 IP 是我授权的」 | TXT 记录（v=spf1 …） | 收件方无法验证来源 IP，信誉归零起步 |
| DKIM | 「这封信的内容没被篡改，私钥在我手里」 | TXT 记录（selector._domainkey） | 无内容签名，转发链路中任何改动都不可辨 |
| DMARC | 「SPF/DKIM 不过时，收件方该怎么处置」 | TXT 记录（_dmarc） | 前两者只是「建议」，DMARC 才是「政策」 |
三者是递进关系：SPF 管 IP、DKIM 管内容、DMARC 管策略与对齐（发信域与认证域一致才算过）。只配 SPF 是十年前的水位；2024 年后主流邮箱对批量发信人的要求已是「SPF+DKIM 必过 + DMARC 至少存在」（各收件方的具体政策以其官方公告为准）。
记录怎么写（可直接改域名套用）
# ① SPF：列出所有合法发信源（企业邮箱服务商的 include 值以其文档为准）
你的域名. TXT "v=spf1 include:邮箱服务商域名 ~all"
# 多个来源合并进一条（SPF 只允许一条）：
# "v=spf1 include:a.com include:b.com ip4:你的服务器IP ~all"
# ② DKIM：邮箱服务商后台生成密钥对，公钥按它给的值发布
selector._domainkey.你的域名. TXT "v=DKIM1; k=rsa; p=MIGfMA0G..."
# ③ DMARC：从观察模式起步（见下方上线节奏）
_dmarc.你的域名. TXT "v=DMARC1; p=none; rua=mailto:dmarc@你的域名"写法要点：SPF 的 ~all（软失败）起步，稳定后再收紧 -all（硬失败）；DKIM 的 selector 由服务商指定，别自己发明；DMARC 的 rua 邮箱必须真实可收——它是你观察认证失败报告的收件箱，没人看的 rua 等于没配。
上线节奏：none → quarantine → reject（每档观察一周）
- 第 1 周 p=none：只收报告不干预——从 rua 报告里看清「谁在用你的域发信」：合法服务（邮箱、营销平台、事务邮件）逐个补进 SPF/DKIM，非法来源记录在案；
- 第 2 周 p=quarantine;pct=25：对未通过认证的信开始进垃圾箱处置，从 25% 起步，误伤可控；报告干净后逐周抬 pct（50 → 100）；
- 第 3–4 周 p=reject：全量拒绝未认证邮件——这是防伪冒（钓鱼/仿冒域）的满水位，也是主流收件方眼中的「认真发信人」标志。
验证命令链（配完立即跑）
# ① 三条记录逐条 dig 核对（值与面板一致、无多余引号/断行）
dig +short TXT 你的域名 | grep spf
dig +short TXT selector._domainkey.你的域名
dig +short TXT _dmarc.你的域名
# ② 实战验证：给自己发一封测试信，看信头认证结果
# （Gmail: 显示原始邮件；找这三行）
# Authentication-Results: spf=pass dkim=pass dmarc=pass
# ③ 常见翻车：spf=fail → IP 没进 SPF；dkim=none → selector 没发布或发信端没签名；
# dmarc=fail 但前两者 pass → 对齐问题（发信 From 域与认证域不一致）配套动作：IP 信誉与 DNSSEC
- 发信 IP 与建站 IP 分开：同一 IP 既跑网站又发邮件，被攻击/进黑名单时双双遭殃——多 IP 段的把发信 IP 独立（段的规划见选型中心）；
- PTR（反向解析）：发信 IP 的反向解析应指向发信域名——多数机房面板可设，设不了的问工单；
- 黑名单自查：发信 IP 入库前过一遍主流黑名单库（Spamhaus 等），每月复查一次；
- DNSSEC：给你的域开启 DNSSEC（注册商面板一键功能居多），防 DNS 层劫持与污染——邮件认证建立在「DNS 应答可信」之上，DNSSEC 是它的地基（部署后用
dig +dnssec +short TXT _dmarc.你的域名验证签名）。
事务邮件与营销邮件：分开是纪律
邮件发信量上来之后的第二课：事务邮件（注册验证、密码重置、订单通知——到达率是生命线）与营销邮件（EDM、促销——退订与投诉率天然偏高）必须分域或分子域发送。理由在信誉机制：收件方按「发信域 + IP」记信誉账，营销信的投诉会连坐同域的事务信——为了促销邮件把密码重置信送进垃圾箱，是 email 架构最冤的事故。标准做法：事务走主域（noreply@你的域名），营销走子域（news.你的域名或 mail.你的域名），各自独立的 SPF/DKIM/DMARC 记录与独立 IP 池；子域信誉崩了可以弃用重建，主域毫发无伤。发信平台（第三方 ESP）的 include 与 DKIM 托管记录照其文档逐条发布，发布后用本篇验证链全量核对一遍——「平台说配好了」不等于「dig 得到」。
进了垃圾箱的排查顺序
按命中率排序：①看信头——Authentication-Results 哪一项 fail/none，直接定位缺哪条记录；②查 rua 报告——DMARC 聚合报告会告诉你所有认证失败的来源；③查 IP 信誉——黑名单与 PTR；④查内容——短链接、敏感词、图文比例（内容侧的规则各家黑箱，只能逐项排除）。九成案例止步于第①步——三件套配齐，垃圾箱问题自动消失一半。
下一步：今天就把三条记录配上（p=none 起步零风险），下周开始抬 DMARC 水位。域名与解析服务 → 域名与 DNS 中心；发信服务器与多 IP → 在售配置。