用域名开通企业邮箱要配哪几条记录

一句话：开通企业邮箱要做四件事：加 MX 收信、加 SPF 声明合法发信服务器、加 DKIM 给邮件签名、加 DMARC 告诉对方验证失败怎么办。

四条记录各自的作用

• MX：告诉全网「发给 @你的域名^释域名云服务器是可按需租用的虚拟计算资源；域名是网站的访问地址；带宽决定单位时间内能传输的数据量。三者构成网站运行的基础资源。 的邮件送到哪台服务器」，带优先级，数字小的优先。
• SPF（TXT）：列出允许以你的域名发信的服务器 IP 或域名。收信方据此判断发件人是否伪造。
• DKIM（TXT）：给邮件加密码学签名，公钥放在 DNS 里。收信方验签通过，说明内容未被篡改。
• DMARC（TXT）：当 SPF 与 DKIM 都不过时，指示收信方怎么处理（不处理 / 进垃圾箱 / 直接拒收），并接收汇总报告。

配置顺序

1. 从邮箱服务商拿到参数在邮箱后台的「域名绑定 / 解析设置」页，会给出 MX、SPF、DKIM 的完整值，直接复制，不要自己猜。
2. 加 MX 记录主机记录填 @，记录值填服务商给的邮件服务器，按给的优先级填数字。
3. 加 SPF主机记录 @，类型 TXT，值形如 v=spf1 include:服务商域名 ~all。一个域名只能有一条 SPF，已有的话合并，不要加第二条。
4. 加 DKIM主机记录形如 selector._domainkey，值是一长串公钥。选择器名由服务商指定，不能改。
5. 加 DMARC主机记录 _dmarc，先设 v=DMARC1; p=none; rua=mailto:你的邮箱，观察一段时间报告再收紧策略。

注意：切换邮箱服务商时，旧 MX 记录的 TTL 会决定收信中断多久。切换前一天把 MX 的 TTL 降到 300 秒以内，切换窗口放在夜间，并且新旧服务器并行一段时间，避免丢信。

常见故障对照

• 能发不能收：MX 没配或指向错误、优先级冲突。
• 能收不能发 / 进垃圾箱：SPF 缺记录或写了两条、DKIM 未生效。
• 部分收件方退信：DMARC 设成了拒绝（p=reject）但 SPF 未覆盖某个发信源，先回退到 p=none 排查。
• 发出去显示「代发」：实际发信域名与信封域名不一致，需要用服务商提供的专用发信域名。

验证

配完给自己的外部邮箱发一封，查看邮件原文的 Authentication-Results 头，spf=pass、dkim=pass、dmarc=pass 三项齐全才算配好。用在线 SPF/DKIM 检查工具也可以，但最终以真实收件方结果为准。

资料来源

• RFC 7208（SPF）、RFC 6376（DKIM）、RFC 7489（DMARC）规范。
• 阿里云 / 腾讯企业邮箱帮助文档：域名绑定所需的 MX、SPF、DKIM 记录值。
• Google Workspace 与 Microsoft 365 的发件人认证配置说明。