平台电子邮件进垃圾箱？SPF、DKIM 和 DMARC 详解

会员进行存款，而确认电子邮件进了垃圾邮件。他们不会责怪 Gmail — 他们会责怪你，并带着不满提交支持工单。电子邮件可送达性是运营平台最不光鲜却最关乎信任的部分之一。好消息是：它主要归结为三条 DNS 记录和一些习惯。

决定你的邮件落点的三条记录

SPF：谁可以为你的域名发送邮件

SPF 记录是 DNS 中的一行，列出被允许为你的域名发送电子邮件的服务器。没有它，世界上任何人都可以发送声称是你发送的邮件，因此接收过滤器会怀疑你的真实邮件。有了它，你的平台服务器和商务邮箱都在访客名单上；垃圾邮件发送者则不在。

容易让人栽跟头的细节是：每一个发送者都必须在该名单上。如果你的平台从服务器发送，而你的支持邮箱通过单独的邮件提供商发送，两者都属于该记录。漏掉一个，那一串完全真实的邮件就会开始无法通过检查 — 通常是由会员在工单中发现的，在支付通知未送达之后。

DKIM：每封邮件上的签名

DKIM 为每封外发电子邮件附加加密签名。接收方根据你 DNS 中的密钥检查它，并知道两件事：邮件确实来自你的域名，且在途中无人篡改。来自金融平台的未签名邮件正是现代过滤器被训练去不信任的对象。

只有当你 DNS 中的密钥与服务器签名所用的私钥实际匹配时，签名才有效。发布一个服务器不持有的密钥 — 比如迁移后，或面板重装后 — 你的邮件就会未签名地发出，而每个设置页面仍然坚持 DKIM 已开启。这是整篇文章中最安静的故障，下面的测试部分就是你发现它的方法。

DMARC：将它们联系在一起的政策

DMARC 告诉接收方如何处理未通过 SPF 或 DKIM 的邮件 — 监控它、隔离它或拒绝它。即使从监控政策开始，也能改善过滤器对你域名的评分，它生成的报告会向你显示还有谁在以你的名义发送（或假装发送）。

DMARC 还增加了另外两者缺少的检查：会员在 From 行中实际看到的域名，必须与 SPF 和 DKIM 认证的域名对齐。这一对齐规则正是阻止相似发送设置通过技术手段蒙混过关的关键。在实践中，分阶段推出它 — 先监控，同时阅读报告，然后隔离，最后在确定没有合法发送者被遗漏后拒绝。

正确设置这三者是一次性的工作；它也是我们 服务中心 中的一项服务，因为做得半对半错比看起来更糟 — 一个损坏的 DKIM 密钥会悄悄毒害一个域名数周。我们的 Business Email Setup 服务正是涵盖这方面：Basic 层级 $20，在你自己的域名邮箱上配置 SPF 和 DKIM，完整套装 — SPF、DKIM 和 DMARC，最多五个邮箱 — 为 $50，并测试邮件以确认它进入收件箱。

阅读你的 DMARC 报告，至少在开始时

DMARC 生成的报告是平台电子邮件中最未被充分利用的诊断工具。大型邮箱提供商会发送声称来自你域名的邮件的汇总摘要：哪些服务器发送了它、多少通过了认证、多少未通过。在设置后的前几周，这些报告是你发现被遗忘的发送者的方法 — 一个旧的联系表单、第二个邮箱提供商、子域名上的测试安装 — 在更严格的政策开始拒绝其邮件之前。之后，它们是一个预警系统：一个你不认识的来源，以你的名义发送且未通过，是你可以在其还很小时就采取行动的欺骗行为。

有帮助（和有害）的习惯

• 从你自己的域名发送。 平台邮件应来自你域名上的地址，使用正规的商务电子邮件 — 绝不来自免费邮箱。
• 预热新域名。 一个全新域名在第一天发送数百封邮件，几乎完全符合垃圾邮件发送者的特征。在前几周逐步增加发送量。
• 保持内容干净。 大喊式主题行、缩短的 URL 和纯图片电子邮件是经典的垃圾邮件信号。
• 处理你的退信。 反复向无效地址发送邮件也会损害其他每位会员的发件人声誉。
• 分离邮件流。 交易邮件（存款、重置）是神圣的。来自同一域名的营销群发会使其处于风险中；如果你必须发送它们，请使用子域名。
• 每次更改后重新测试。 主机迁移、新的邮箱提供商或 DNS 整理都可能悄悄破坏三条记录之一。记录指向发送者；更改发送者，记录必须随之更改。

像会员体验那样测试它

在主要邮箱提供商处创建测试账户，并触发你的平台发送的每封电子邮件：注册、存款确认、支付通知、密码重置。检查每封邮件的落点，并查看邮件头中的认证结果 — 你希望看到 SPF 通过、DKIM 通过、DMARC 通过。花十五分钟做这件事，能发现否则会由你的会员在公开场合、在最糟糕的时刻为你发现的问题。它属于与我们 GoldCoders 发布检查清单 中项目相同的发布前检查清单。

查看邮件头，而不仅仅是文件夹。邮件可能在签名损坏的情况下，靠声誉在某一天进入收件箱 — 而声誉是缓冲，不是修复。邮件头行是证据：它们清楚地说明了针对那封确切邮件、来自那条确切邮件流，运行了哪些检查以及哪些通过了。

为什么这在收件箱之外也很重要

可送达性悄悄地也是一个安全功能：SPF、DKIM 和 DMARC 正是阻止陌生人以你的名义发送令人信服的虚假 “支付问题” 电子邮件的机制。如果你还没有阅读，请阅读我们的 平台加固检查清单 — 你域名的电子邮件设置是你平台防御的一部分。

来自我们团队的实践

我们自己的域名通过了 SPF、DKIM 和 DMARC — 当我们设置 HyipTemplates’ 的邮件时，我们逐个邮件头验证了它们，因为我们的订单确认和支持回复通过与客户所依赖的相同管道传输。当设置期间其中一条记录出错时，我们自己的测试邮件在一小时内就进了垃圾邮件。这就是它显现的速度之快。如果你宁愿不生活在 DNS 记录中，这正是我们 商务电子邮件设置 的全部工作，可在 我们的商店 获得 — SPF、DKIM 和 DMARC 配置完成并用真实邮件测试。

总结

发布正确的 SPF、DKIM 和 DMARC 记录，从你自己的域名使用真实商务电子邮件发送，逐步预热，并像会员那样测试每种邮件类型。你的确认邮件将进入收件箱 — 会员将不再疑惑它们去了哪里。

常见问题

我设置了 SPF、DKIM 和 DMARC，但邮件仍进垃圾邮件。为什么？

认证证明邮件确实来自你的域名；它不会让邮件受欢迎。新域名开始时没有声誉，因此早期邮件会被更严格地评判 — 保持发送量诚实，绝不向你未正当获得的名单发送，并让几周的干净发送建立记录。如果哪怕一条记录未对齐 — 比如 DKIM 域名与 From 域名不匹配 — 整个证明都会动摇，所以在责怪声誉之前先重新检查对齐。

DNS 记录更改需要多久生效？

通常几分钟到几小时，偶尔长达一天，直到缓存过期。一次更改一条记录，并在每次更改后测试 — 一次更改三条会让任何故障都变成猜谜游戏。

如果设置错误，DMARC 会破坏我的邮件吗？

会，如果你直接跳到严格政策。从 p=none 开始，它只报告，阅读报告直到它们显示你的真实发送者通过，然后才升级到隔离或拒绝。政策是一个旋钮，不是一个开关 — 我们的 商务电子邮件设置 遵循相同顺序。