SPF、DKIM、DMARC 是什么？用 Google Workspace 一定要设置吗？
SPF、DKIM、DMARC 是证明邮件真的来自您公司的 DNS 记录。SPF 列出谁可以代表您的域名发信，DKIM 为每封邮件签名，DMARC 告诉收件方怎么处理冒充邮件。每个 Google Workspace 域名都应该三样齐全，否则正常邮件也更容易被当成垃圾邮件。
设置指南 附免费域名检测工具
SPF、DKIM、DMARC
SPF、DKIM、DMARC
设置完整教学
三条 DNS 记录，决定了您的邮件是进收件箱还是垃圾箱，也决定了别人能不能冒用公司名义发假邮件。先在下面检测，再照这篇指南设置。
免费工具
检测您公司域名的邮件安全
输入公司域名，几秒内查出公开的 MX、SPF、DKIM、DMARC 记录，不会保存任何资料。
0
邮件安全评分 / 100
要我们帮您设置好吗？ 把结果发到 WhatsApp
SPF、DKIM、DMARC 各自有什么作用？
SPF 说明哪些服务器可以发您的邮件，DKIM 为每封邮件加上防篡改签名，DMARC 用政策和报告把两者串起来。三样一起，就能防止冒充，让 Gmail、Outlook、Yahoo 相信您的邮件是真的。
| 记录 | 作用 | 白话解释 | 放在哪里 |
|---|---|---|---|
| SPF | 列出哪些服务器有权代表您的域名发信 | 门口的宾客名单 | @ 的 TXT 记录 |
| DKIM | 为每封寄出的邮件加上数字签名 | 信封上的火漆封印 | google._domainkey 的 TXT |
| DMARC | 告诉收件方 SPF/DKIM 不通过时怎么处理，并把报告寄给您 | 对付冒充者的家规 | _dmarc 的 TXT |
Google Workspace 的 SPF 记录怎么写？
在根域名加一条 TXT 记录：v=spf1 include:_spf.google.com ~all。如果还有其他服务代您发信，例如电子报工具或网站，就把它们的 include 加在同一条记录里。千万不要发布两条 SPF 记录。
Type TXT Host @
Value v=spf1 include:_spf.google.com ~all
⚠SPF 总共不能超过 10 次 DNS 查询。include 太多，即使其他设置都对，SPF 也会失败。
Google Workspace 怎么设置 DKIM？
在 Google 管理控制台生成 2048 位 DKIM 密钥，把它发布为 google._domainkey 的 TXT 记录，然后点击开始验证。之后 Gmail 就会为您域名寄出的每封邮件签名。
- 打开管理控制台进入 admin.google.com → 应用 → Google Workspace → Gmail → 验证电子邮件（Authenticate email）。
- 生成新记录选择域名，密钥选 2048 位，前缀选择器保留 google。
- 发布到 DNS把生成的 TXT 记录加在 DNS 的 google._domainkey。
- 开始验证等 DNS 生效（最长 48 小时）后，点击开始验证（Start authentication）。
DMARC 一开始应该用什么策略？
先用 p=none 加一个报告邮箱，这样可以看到谁在用您的域名发信，又不会挡掉任何邮件。报告干净几个星期后改成 p=quarantine，最后改成 p=reject 达到完整保护。
# 第 1 周：只监测
Type TXT Host _dmarc
Value v=DMARC1; p=none; rua=mailto:dmarc@yourcompany.my
# 2 到 4 周后：可疑邮件进垃圾箱
Value v=DMARC1; p=quarantine; rua=mailto:dmarc@yourcompany.my
# 报告干净后：直接拒收冒充邮件
Value v=DMARC1; p=reject; rua=mailto:dmarc@yourcompany.my
为什么现在 SPF、DKIM、DMARC 更重要？
从 2024 年 2 月起，Gmail 和 Yahoo 要求批量发信者（每天发给 Gmail 超过 5,000 封）必须设置 SPF、DKIM 和 DMARC，所有发信者至少要有 SPF 或 DKIM。缺少这些记录，邮件更容易被拒收或进垃圾箱，公司也更容易被冒充。
- 报价单和发票送到客户的收件箱，而不是垃圾箱
- 骗子很难用您的域名发假的付款通知
- 您的域名在 Gmail 和 Outlook 保持良好发信信誉
常见问题
可以有两条 SPF 记录吗？
不可以。一个域名只能有一条 SPF 记录，所有发信服务要合并在同一条里，例如 v=spf1 include:_spf.google.com include:servers.mcsv.net ~all。
DNS 修改多久生效？
一般几分钟到几小时，有时最长 48 小时。修改前先调低 TTL，可以让生效更快。
DMARC 设成 p=reject 会挡掉自己的邮件吗？
如果有些发信服务没被 SPF 或 DKIM 涵盖，就有可能。所以要先用 p=none，看报告、补漏洞，再改成 quarantine 和 reject。
域名检测工具免费吗？会保存资料吗？
免费，也不保存任何资料。它只读取您输入域名的公开 DNS 记录，想检测几次都可以。