企业邮箱域名怎么设置？MX / SPF / DKIM 解析全流程
开通企业邮箱卡住的地方，九成都在域名解析。它的本质是：你要用几条 DNS 记录，公开告诉全世界的邮件服务器「我的邮件送到哪里」「哪些服务器有权替我发信」。记录配错，邮件要么收不到，要么发出去就进垃圾箱。
这篇文章按要配什么 → 怎么填 → 配错会怎样的顺序讲完整个流程。
一、四条记录分别管什么
| 记录 | 作用 | 说明 |
|---|---|---|
| MX | 收信 | 告诉他人的邮件服务器：发到 @你的域名 的邮件应该投递到哪台服务器。缺了它，邮件根本找不到投递目标 |
| SPF | 声明发信权 | 列出哪些服务器有权代你的域名发信。收件方据此判断来信是不是冒充的 |
| DKIM | 防篡改 | 给你发出的邮件加数字签名。收件方验证签名，确认邮件内容和发件人没有被伪造 |
| DMARC | 处置策略 | 告诉收件方：当 SPF 和 DKIM 都没通过时该怎么处理（放行 / 进垃圾箱 / 直接拒收） |
MX 解决「收得到」，SPF 和 DKIM 解决「发得出、不冒充」。只配 MX 的话，收信正常，但发信很容易被判定为可疑——这是很多「能收不能发」问题的根源。
二、MX 记录怎么填
MX 记录一般只填一条（部分服务商会给主备两条，用优先级区分）：
| 字段 | 填写内容 | 说明 |
|---|---|---|
| 主机记录 | @ | 表示域名本身，即 你的域名 |
| 记录类型 | MX | — |
| 记录值 | 由服务商提供 | 如 mx1.服务商域名，具体以服务商给出的为准 |
| 优先级 | 数字，越小越优先 | 主服务器填 5 或 10；有备用时备用填更大的数字 |
一、MX 不能指向 CNAME。这是 DNS 标准的规定，指向别名会导致邮件投递失败。MX 必须指向真实的主机名（A 记录）。
二、确认没有残留的旧 MX 记录。如果之前用过其他邮箱服务，旧记录没删掉的话，邮件会被投到错误的地方——表现就是「有时收得到有时收不到」，很难排查。
三、SPF 记录怎么填
SPF 是一条 TXT 记录，格式是固定的：
主机记录：@
记录类型：TXT
记录值： v=spf1 include:服务商提供的域名 -all三个要素：
v=spf1——固定开头，表明这是 SPF 记录include:——声明哪些服务器的 IP 段有权代你发信。有多个发信来源就写多个 include，全部合并到这一条记录里-all或~all——没被 include 的服务器发来的邮件怎么处理
| 结尾写法 | 含义 | 适用建议 |
|---|---|---|
-all | 硬失败：未授权的来源一律视为不可信 | 推荐。前提是 include 列表完整 |
~all | 软失败：标记为可疑但仍接收 | 过渡期使用，确认配置完整后改为 -all |
?all | 不作判断 | 等于没有 SPF 的保护作用 |
一个域名只能有一条 SPF 记录。如果同时存在两条以 v=spf1 开头的 TXT 记录，收件方无法判断以哪条为准，校验会直接失败——这比没有 SPF 更糟。需要在原有记录上追加 include，而不是新建一条。
四、DKIM 记录怎么配
DKIM 的配置流程和 MX、SPF 略有不同，是「先由服务商生成、再粘贴到 DNS」：
- 在邮箱管理后台启用 DKIM
系统会生成一对密钥，并给出一条待添加的 DNS 记录（包含选择器名和公钥内容）。
- 把记录添加到 DNS
主机记录形如
选择器名._domainkey，记录类型是 TXT，记录值是服务商给出的公钥字符串。 - 回后台点击验证
记录生效后，在管理后台点击验证，通过后发出的邮件就会带上 DKIM 签名。
常见的失败原因是公钥字符串复制不完整或被换行截断——TXT 记录值通常很长，粘贴时要确认首尾完整、中间没有多余空格。
五、DMARC（可选但建议配）
主机记录：_dmarc
记录类型：TXT
记录值： v=DMARC1; p=none; rua=mailto:你的邮箱| p 的取值 | 含义 |
|---|---|
p=none | 只监控不拦截，适合刚配好 SPF/DKIM 的观察期 |
p=quarantine | 未通过验证的邮件进垃圾箱 |
p=reject | 未通过验证的邮件直接拒收（防护最强） |
建议从 p=none 开始，观察一两周确认正常邮件都能通过验证，再逐级收紧。设得太激进而 SPF 没配全，会把自家正常邮件也拦掉。
六、TTL 与生效时间
| TTL 设置 | 预计生效时间 | 适用场景 |
|---|---|---|
| 600 秒（10 分钟） | 通常 10 分钟内 | 调试期推荐，改错可快速重试 |
| 3600 秒（1 小时） | 约 1 小时 | 常规使用 |
| 86400 秒（24 小时） | 最长 24 小时 | 稳定期，减少查询压力 |
第一次配置时把 TTL 设小一些（如 600 秒）。因为生效时间取决于旧记录原有的 TTL，如果之前是 24 小时，改完也要等 24 小时才全网生效，排查起来很浪费时间。等配置稳定后再调大到 3600 或 86400。
七、配错会出现什么现象
| 现象 | 最可能的原因 |
|---|---|
| 完全收不到任何邮件 | MX 记录缺失或记录值填错 |
| 有时收得到有时收不到 | 残留了旧 MX 记录，邮件被投递到两个地方 |
| 发出的邮件大量进垃圾箱 | SPF 未配、配错，或存在重复的 SPF 记录 |
| 邮件显示「由某服务器代发」 | SPF 的 include 列表里缺少实际发信的服务器 |
| 邮件签名验证失败 | DKIM 公钥复制不完整，或选择器名填错 |
| 解析改了但一直不生效 | 原 TTL 较长，仍在缓存期内 |
| 发给部分服务商正常、其他异常 | 对方策略差异，通常仍是 SPF / DKIM 配置不完整 |
如果现象是「能收不能发」，重点查 SPF 和 DKIM；如果是「完全收不到」，重点查 MX。发信侧的深入排查见 邮件进垃圾箱的 8 个原因。
八、常见问题
企业邮箱解析要多久生效？
取决于 TTL 设置。TTL 填 600 秒时通常 10 分钟内生效，填 3600 秒约需 1 小时，填 86400 秒最长可能等 24 小时。修改后建议等待原有 TTL 时长再测试，避免因缓存导致误判。
MX 记录可以指向 CNAME 吗？
不可以。MX 记录必须指向真实主机名（A 记录），指向 CNAME 别名会导致邮件投递失败。
SPF 记录为什么只能有一条？
SPF 标准规定一个域名只能有一条 SPF 记录。存在多条以 v=spf1 开头的 TXT 记录时，收件方无法判断以哪条为准，会直接判定校验失败。需要包含多个发信来源时，应在同一条记录里用多个 include 合并。
只配 MX 记录能正常收发吗？
收信可以正常，但发信会有问题。MX 只负责告知他人把邮件投递到哪里，与发信身份验证无关。缺少 SPF 和 DKIM 时，收件方无法验证你的发件人身份，邮件被判为垃圾的概率明显升高。
解析都配好了还是收不到邮件？
按顺序检查：确认 MX 记录已生效；确认没有残留的旧 MX 记录；确认域名在有效期内；检查是否设置了转发或过滤规则把邮件拦掉；确认发件方是否收到退信。