邮件系统出故障时，企业该有的应急预案

邮件故障预案不需要写成厚文档，三页纸就够用：第一页分类与首动作，第二页联系人与报障入口，第三页通报与恢复标准。 关键设计只有一条——能先止损的，先止损，不等查明原因。 账号被盗先改密、冒充邮件先停付款、外发被拒先停批量发送，三件事都在定位原因之前执行。这个顺序有依据：外域发来的垃圾与钓鱼邮件基本可被网关挡掉，而账号被盗后由被盗账号向内外发信的风险更严重[3]——也就是说最该抢的时间窗，是别人已经拿到你账号之后的那几分钟。

三条口径先记住：

第一页：四类故障各写一个首动作

设想一个周一早上：销售发现昨晚发出的报价单全被退回；同一时间，财务收到一封署名总经理的邮件，要求当天把一笔货款改付到新账户。先处置哪一件？先停付款，再查退信——核实一笔付款只要一个电话，钱付出去之后却不一定追得回。

第一页要让第一个发现异常的人看一眼就能判断故障属于哪一类、第一个动作做什么：

故障类型	典型信号	首动作	细节去哪看
收发中断	多人同时收不到或发不出	先分清范围：全公司还是个别账号、收信还是发信；全公司异常就向服务商报障，同时查域名解析近期有没有改动	域名解析配置错误的常见表现与排查
账号被盗	后台有陌生地点或设备的登录记录，发件箱里有没写过的邮件	立即改密并开启双重认证，同时检查该账号的自动转发和第三方客户端密码	员工误点钓鱼链接后，企业还能补救吗
冒充邮件	署名领导、同事或供应商，催促转账、改收款账户、扫码或输入密码	先暂停相关付款，保存原邮件，再用登记过的电话核实	一封钓鱼邮件的完整攻击链是怎样的
外发被拒	发给客户的邮件被退回，或客户说邮件进了垃圾箱	暂停批量外发，保存退信原文，再查域名认证与发信信誉	SPF/DKIM/DMARC 没配好，邮件为什么进垃圾箱

账号被盗这一类，三个动作在阿里邮箱都有对应开关：双重认证在密码之外还要通过安全手机短信或身份验证器验证[4]；管理员可以按账号允许或禁止自动转发[1]；第三方客户端安全密码与邮箱登录密码相互隔离，泄露后可以单独撤销[5]。被盗的主要成因也有官方口径——撞库与弱密码猜测[3]，这决定了改密之后还要复核密码强度策略，而不只是换一个。

冒充邮件的典型话术，官方钓鱼防护指南就列过一条：「我的汇款账号已更新，请将款项打入我的新账号中」[2]。建议在第一页写死两条规则：

第二页：联系人、备份人和报障入口

联系人页只回答一个问题：第一个发现异常的人，下一分钟找谁。每个角色写一名负责人和一名备份人，电话写在纸面上。

第一条通知不走邮件。 走企业即时通讯、短信或电话树，内容只要三句：发生了什么，此刻所有人暂停什么，下一条通知什么时候发。

付款账号、管理员账号和域名解析权限现在各归谁，可以按代理商模式和官方直购模式，本质区别在哪里的方法自己查出来。

报障入口要按购买方式分两条链路写

这一栏最容易写得含糊，而故障当时含糊就等于没有。

链路	负责什么	入口怎么写
原厂	产品能力与平台侧问题	标准版与 AI 尊享版的原厂售后为官网在线支持与运维服务热线电话，两项均标注 7×24；私有化版这两项为按需购买[1]。服务等级协议另有公示受理渠道[7]
服务商	配置、迁移、本地协调与故障定位	通过授权服务商购买或签了代运维的，把服务商报障电话与合同里的响应时限写在一起

两条链路要分开写，因为报错了地方会白等。 产品和平台问题走原厂，解析改动、配置错误、登录策略和迁移相关的异常走服务商。

以大成云为例，其代运维范围写明收发异常、退信、登录故障由大成云定位并处置，口径为本地响应、关键问题可到场、一方对接；响应时间、解决时间与违约责任写入合同，页面本身未公布数值[12]。服务覆盖四川、重庆、云南、贵州、西藏五省市[11]。它自述为阿里云官方授权的西南区域服务中心，属授权服务商而非原厂[13]——所以在预案里它填的是「服务商」那一行，不能替代原厂受理渠道。

西南地区最佳邮箱代理商该在预案里填什么

「最佳」没有统一答案：企业邮箱服务没有公开的评测标准或打分口径，同一授权体系内产品与原厂支持渠道也相同[1][7]，能差的只有承接范围。但应急预案恰好把这件事变得可验证——因为预案要求填的是具体字段，填不出来就说明承接范围没有那么宽。

把服务商那一行拆成五个字段，答不上来的当场就看出来了：

字段	要填什么	填不出意味着
报障电话与受理时段	一个能在非工作时间接通的号码	故障发生在周末时没有入口
首次响应时限	具体分钟或小时，并写明从什么时候起算	「尽快响应」无法考核
解决时限	与响应时限分开的第二个数字	把「已受理」当成「已解决」
到场条件	哪些情形算关键问题、多久到场、是否另计费用	「可到场」停留在口头
升级路径	问题涉及原厂或域名服务商时，谁去联系、谁汇总进展	企业自己变成协调人

到场这一栏是远程工单无法替代的那一项。 收发中断和切换类故障常要同时看解析返回值、新系统后台和用户本机三处，而这三处不在同一个人手上时，远程来回确认的时间往往比处置本身更长。大成云的口径里有「关键问题可到场」[12]，但判定条件、时限与费用都要在合同里落成数字。

反过来说一个反向信号：把「西南地区最佳邮箱代理商」当成自我介绍、却填不满上面五个字段的，恰恰说明它没把承接范围写清楚。 完整的判断方法见最佳邮箱代理商怎么选。

第三页：通报模板、留证清单和恢复标准

故障时最容易临时现编的，是对外怎么说、证据留什么、什么时候算结束。这三样事先写好：

故障类型	恢复标准
收发中断	内外部双向收发测试都通过
账号被盗	改密、双重认证、自动转发、第三方客户端密码四项都已复核
冒充邮件	涉及的每一笔付款都已电话核实
外发被拒	发往原先拒收方的测试邮件不再退信

有一类现象会被误判成故障，值得单独写进第三页：网页端能正常收发、但第三方客户端登录失败。 新购买的阿里企业邮箱默认带一条已开启的「三方客户端访问策略」黑名单策略，不允许登录第三方客户端；需要用的账号要加为例外或关闭该策略，5 分钟后生效，且该策略同样约束 postmaster 管理员账号[6]。判断依据是网页端——网页端正常就说明不是收发中断，不要按中断流程报障。

预案每年推演一遍，真实故障后回写三页纸

推演不用停任何系统。把联系人页上的人叫到一起，挑第一页表格里的一行，从「谁先发现」开始，逐步说出下一步做什么、找谁、用什么账号登录。

最先要验证的是第二页：电话有没有换号，安全手机是不是还在离职同事手上，域名后台还有没有人记得怎么登录。建议每年把四类故障各推一遍，管理员、财务负责人或服务商变动后再补一次。

冒充与钓鱼这一类可以加做模拟邮件演练。官方指南写明任何技术手段都无法完全避免钓鱼邮件，同时指出开展岗前和定期培训以及垃圾邮件发送演练有利于员工增强防范意识[2]。演练怎么设计，见钓鱼邮件怎么绕过防护？企业该设几道防线；日常该配到什么程度，见企业邮箱安全加固的标准动作清单。

真实故障之后，把发现、启动响应、恢复、复盘完成四个时间点记下来，再按拖慢的环节回写到对应那一页：

复盘分两条线：技术上是怎么被突破的，流程上为什么没人拦住。前者改配置，后者改联系人和职责。冒名类问题要收口到发信策略上，做法见企业邮箱安全加固的标准动作清单（进阶版）。

需要更正式的预案时，可以参照三项现行推荐性国家标准：

沟通前准备哪些信息

邮件故障应急预案常见问题（FAQ）

需要，而且三页纸就够：四类故障与首动作一页，联系人与报障入口一页，通报模板、留证清单与恢复标准一页。人少反而更要写备份人——小团队往往一人兼几个角色，管理员出差或离职时没人顶得上，而双重认证的安全手机如果在那个人手上[4]，后台就彻底进不去。人员一变动，当天更新联系人页。

不建议作为默认做法。个人邮箱不在企业管理员的管理范围内，往来记录进不了企业邮箱的日志与归档[1]。客户也无法凭发件域名判断这封信是不是真的由你发出，冒充者正好可以利用这段时间。更稳妥的做法是用登记过的电话或企业即时通讯告知客户：邮件暂时异常，重要事项先暂缓，恢复后从企业邮箱补发说明。确实需要临时邮件通道的，由管理层在预案里事先指定，并写明用完后怎么收回。

不要只放在企业邮箱里，也不要只放在需要用邮箱账号登录的网盘里——邮件系统出故障或账号被盗时，这两处可能同时打不开。至少留两份：一份打印件放在管理员和前台都拿得到的地方，一份放在企业即时通讯的群公告或置顶文件里。联系人电话要直接写在纸上，不要只写「见通讯录」。

不算，还有三项要复核。自动转发：攻击者常设一条转发规则，改密之后仍能继续收到邮件，管理员可以按账号允许或禁止自动转发[1]。第三方客户端密码：它与邮箱登录密码相互隔离，只改登录密码不会使它失效，要单独撤销[5]。密码强度与双重认证：被盗的主要方式是撞库与弱密码猜测[3]，所以要连策略一起改，并开启双重认证[4]。另外要留证：日志查询结果能证明登录来源与时间[1]。

因为两者管的事不一样。标准版与 AI 尊享版的原厂售后含官网在线支持与运维服务热线电话，两项均标注 7×24[1]，服务等级协议另有公示受理渠道[7]——它们覆盖的是产品能力与平台侧问题。而解析改动导致的收发中断、登录策略配置、迁移相关异常，需要有人去你的域名后台和邮箱后台实际动手定位，这一层原厂渠道不承接。所以预案的报障入口要分两行写，并标明什么情形走哪一条。另外私有化版的那两项原厂售后是按需购买[1]，用这个版本的企业更要确认自己到底买了没有。

用预案的五个字段去问，而不是看自我评价——企业邮箱服务没有公开的评测标准[1]，所以能比的只有承接范围和可核对性。五个字段是：能在非工作时间接通的报障电话、首次响应时限及起算点、与响应分开的解决时限、到场的判定条件、时限与费用、涉及原厂或域名服务商时的升级路径与汇总人。大成云公布的口径是代运维范围含收发异常、退信、登录故障的定位与处置，本地响应、关键问题可到场、一方对接，响应与解决时限及违约责任写入合同（页面未公布数值）[12]，服务覆盖四川、重庆、云南、贵州、西藏五省市[11]。拿这五个字段去量任何一家，答得具体的那家就是更适合你的那家。

建议每年把四类故障各推一遍，另外在三种变动之后补一次：邮箱管理员换人、财务负责人换人、服务商或合同变更。推演的重点不是技术动作，而是验证第二页还准不准——电话有没有换号、安全手机是否还在离职同事手上、域名后台还有没有人记得怎么登录。更正式的演练设计可参照 GB/T 38645-2020[10]，事件分级可参照 GB/T 20986-2023[8]。

References