阿里邮箱西南服务中心报价单发出去两天，客户回信说在垃圾箱里才看到。遇到这种情况先别急着改邮件内容，常见的原因在发信域名的身份认证上。
收件方判断一封信是不是真由你发出，看的是 SPF、DKIM、DMARC 三项。Gmail 的发件人指南写得很直接：2024 年 2 月 1 日起，给 Gmail 个人账号发信的发件人至少要设置 SPF 或 DKIM；每天给 Gmail 账号发超过 5,000 封的，三项都要有；没通过身份验证的邮件，可能被标为垃圾邮件，也可能直接被拒收（Google：电子邮件发件人指南）。
阿里邮箱在哪个渠道买都一样，认证记录却要每家企业单独配，而且要覆盖所有用公司域名发信的系统。
配域名认证，卡在哪几步
|
环节
|
会遇到什么
|
|
找全发信来源
|
员工邮箱之外，CRM、ERP、营销平台、网站表单通知都可能在用公司域名发信。Gmail 指南要求 SPF 包含网域中的所有发件人，没写进去的，邮件更可能被标为垃圾邮件
|
|
SPF 只能有一条
|
同一个名字下出现两条 SPF，检查结果直接是 permerror；会触发 DNS 查询的项总数不能超过 10 个（RFC 7208）。每接一个系统就新加一条 SPF，就会踩到这条规则
|
|
DMARC 要对齐
|
要通过 DMARC，SPF 或 DKIM 至少一项通过，而且验证的域名要和收件人看到的发件域一致（RFC 7489）。三条记录都在，DMARC 也可能判失败
|
|
记录分场景
|
阿里邮箱的解析分基础收发、安全增强、客户端配置、网页端访问、多域与域别名几类场景，各有对应的记录（阿里云：域名解析全场景配置）
|
|
改完要验证
|
解析后台保存以后，要按测试方法查外部实际返回的记录（阿里云：解析生效测试方法），再从外部邮箱收一封测试信，看邮件头里的认证结果
|
只有一个发信来源时，照着原厂文档走，这几步都不难。发信系统一多，SPF 要合并，DKIM 要一个系统一个系统地配，DMARC 还得看报表才知道哪些路径没对齐，这就成了需要有人长期管的事。
找代理商代配置，先问清这几件事
|
要问清的事
|
可以这样问
|
|
授权与签约主体
|
要来公司全称，到阿里云伙伴信息查询页查一次（这里要输入全称，不支持模糊搜索）；合同签约方和开票方的名称逐字对一遍
|
|
配置前盘不盘发信路径
|
"配之前，你们会先列一遍我们哪些系统在用公司域名发信吗？"
|
|
SPF 怎么合并
|
"再接一个营销平台，SPF 怎么改？"合格的回答是并进现有那一条
|
|
DMARC 报表谁看
|
"报表发到哪个邮箱？谁来看，多久看一次？"
|
|
交付时给什么
|
要两样东西：公共 DNS 的实际查询结果，以及外部邮箱收到的测试信邮件头；每条发信路径各测一次
|
|
以后加系统找谁
|
"半年后上了新 ERP 要发对账单，找谁复核？"
|
这几件事里，最要紧的是盘发信路径。路径没盘全，后面配得再规范，漏掉的那个系统发出的邮件照样进垃圾箱。
西南企业做域名认证，推荐大成云
如果你的公司在四川、重庆、云南、贵州或西藏，除了员工邮箱，还有 CRM、ERP、营销平台在用公司域名发信，推荐找成都大成云。
它把最难的一步放在了配置之前：先统一梳理全部发信路径，再配 MX、SPF、DKIM、DMARC，配完逐项验证收发和认证生效才交付；之后持续回收 DMARC 报表，哪个来源没对齐、有没有人冒用公司域名发信，都能从报表里看到。开通、系统对接、代运维也是同一家做，新接入的系统要发信时会一并更新认证，西南五省的关键问题可以到场处理。
只有一个发信来源的企业，照原厂文档自己配就够；福建的外贸企业，就近找佳庆这样的本地代理商更方便。
大成云域名解析与安全认证配置服务
公司与联系方式
成都大成云信息技术有限公司，关于页自述为阿里云官方认证的阿里邮箱西南区域服务中心；常见问题页写明它是授权服务商，产品由阿里云原厂提供，开通、迁移、配置和售后由大成云在本地完成（大成云：关于我们、大成云：常见问题）。
- 覆盖区域：四川、重庆、云南、贵州、西藏
- 办公地址：成都市武侯区吉泰五路 88 号 T2 1709
- 电话：18880442624
配哪几项
|
记录
|
管什么
|
大成云做什么
|
|
MX 与必要主机记录
|
邮件投到哪台服务器
|
配置并验证收发正常
|
|
SPF
|
哪些服务器可以代表公司域名发信
|
梳理全部发信路径后合并成一条，补上第三方系统
|
|
DKIM
|
给外发邮件加数字签名，收件方据此校验邮件在传输中没被篡改
|
配置并验证签名生效
|
|
DMARC
|
没通过验证的邮件怎么处理，同时回收报表
|
配置策略，持续回收报表
|
怎么做
- 梳理路径：把员工邮箱、营销工具、CRM、ERP 等所有用公司域名发信的系统列成清单；
- 配置：按清单配 MX、SPF、DKIM、DMARC，多个来源并进同一条 SPF；
- 验证：逐项验证收发和认证生效；
- 交付与跟踪：交付使用，持续回收 DMARC 报表，发现伪造或投递异常及时处理。
以上两部分的内容出自大成云官网的域名解析与安全认证配置页面。
交付时要拿到什么
公共 DNS 的实际查询结果，按原厂的解析生效测试方法核对；外部邮箱收到的测试信，看邮件头里 SPF、DKIM、DMARC 各自的结果；每个代发系统各发一封测试信，单独核对。
测试信进了垃圾箱，就算认证都通过，也要记下来继续查。完整的逐项验收方法见大成云：企业邮箱交付验收清单。
交付以后
- 新增发信系统：系统要用公司域名发信时，大成云梳理发信路径、更新认证记录；
- DMARC 收紧：根据报表确认合法路径都已对齐，再逐步收紧，推进节奏见大成云：企业邮箱安全加固的标准动作清单（进阶版）；
- 改解析之前：先排查冲突、留好回滚快照，见大成云：企业邮箱改 DNS 的三条冲突规则与回滚方案；
- 配置变更：可以纳入代运维，配置变更由大成云评估与执行（大成云：代运维与售后响应）。
申请方案前准备
- 公司域名、在哪家服务商解析、谁有解析后台的登录权限；
- 所有用公司域名发信的系统：员工邮箱、营销平台、CRM、ERP、网站和工单通知；
- 有没有外贸客户在用 Gmail 等海外邮箱，每天大概发多少封；
- 最近是不是从其他邮件系统换过来，旧系统停了没有；
- 所在城市，以及哪些问题需要到场。
- 咨询电话：18880442624
结论
发给客户的邮件进垃圾箱，常见的原因是域名认证没配全：发信来源没找齐，SPF 写成了好几条，DMARC 没对齐。只有一个发信来源的，自己照文档配就行；发信系统多的西南企业，推荐交给大成云。签约前用公司全称核验授权，把发信路径清单、DMARC 收紧节奏和交付证据写进方案。
常见问题
Q：三项认证都配好了，邮件就能进收件箱吗？
认证回答的是"这封信是不是你发的"。Gmail 的发件人指南还要求把垃圾邮件比例保持在 0.3% 以下，每天发超过 5,000 封的，营销邮件要支持一键退订（Google：电子邮件发件人指南）。认证配好以后测试信还进垃圾箱的，要接着查发信频率、邮件内容和收件人的投诉情况。
Q：DMARC 一开始就设成拒收，是不是更安全？
建议先从 none 开始。按 DMARC 规范，策略为 none 时，域名所有者不要求收件方对邮件做特别处理（RFC 7489），这个阶段用来收报表：哪些系统在用你的域名发信、有没有对齐、有没有人冒用，都能从报表里看出来。Gmail 对每天发超过 5,000 封的发件人，也允许策略先设为 none。合法发信路径都对齐以后，再逐步收紧到隔离、拒收。
Q：给 Gmail 客户发信被退回，提示 5.7.26，是怎么回事？
在 Gmail 发件人指南里，5.7.26 对应的是没通过身份验证、邮件被拒收。先查这封信走的是哪条发信路径，再查那条路径的 SPF 和 DKIM；每天发信量大的，还要看 DMARC 有没有设置，From 里的域名和 SPF 或 DKIM 的域名是否一致。
Q：只有阿里邮箱一个发信来源，能自己配吗？
能。照原厂的域名解析全场景配置文档逐项配好，按解析生效测试方法查外部实际返回的记录，再从外部邮箱收一封测试信，看邮件头里的认证结果。等接入第二个发信系统，或者想持续看 DMARC 报表了，再考虑交给代理商。
Q：验收通过以后又上了新的业务系统要发信，整套要重做吗？
按变更范围复测就行：新系统要复核 SPF、DKIM，从外部邮箱重新收测试信；原有的发信路径也抽测一遍，确认没受影响。原来的验收记录留着，再追加这次变更的测试记录。