263 企业邮箱域名解析：MX、SPF、DKIM、DMARC 配置

263 企业邮箱做了快三十年，客户里政企、国企、金融占比很高。这个客户结构带来两个特点：记录值基本只有中文文档，而且部分租户开通在云网关版本上，拿到的 MX 主机名和经典集群不一样。

下面写的是最常见的那套。如果开通邮件或后台给的值和这里不同，以你后台的为准。

开工前确认

• 域名已在 263 管理后台添加并绑定。后台没绑，DNS 查得到也没用，来信一律拒收。
• 有域名管理和 DKIM 配置的管理员权限。
• 知道自己买的是哪个版本。经典版、云网关版、信创版在 MX 主机名和 DKIM 处理上都可能不同。

第一步：两条 MX，顺序别搞反

@    MX   5     mxw.263.net
@    MX   10    mx.263.net

263 官方帮助中心的客户端配置页写得很明确：mxw.263.net 优先级 5，mx.263.net 优先级 10。w 是主网关，不是"海外版"也不是"web 版"的意思。

把这两条写反是高频错误——5 和 10 看起来像随手编的。写反的后果是所有来信都投到备用集群上，而 263 的反垃圾流水线在这两条路径上的行为并不完全一致，表现出来就是"垃圾邮件变多、正常邮件偶尔延迟"。

另外有一批开通在云网关上的租户，开通文档会让你把 MX 指向 mail.263xmail.com、优先级 10。如果你的开通邮件是这么写的，就照它做，不要两代记录同时发。

第二步：SPF

@    TXT    v=spf1 include:spf.263.net -all

一个 include，一条记录。如果这个域名还有营销平台、CRM 或电商后台在发信，合并进去：

@    TXT    v=spf1 include:spf.263.net include:spf.other-provider.com -all

根域出现两条 v=spf1 就是永久错误。建议在加记录之前先查一遍根域的 TXT，看看上一任管理员有没有留下第二条策略记录——这种历史遗留比新加出来的更常见。

列表完整之后用 -all；迁移那周先用 ~all 留个缓冲。

第三步：DKIM

263 的 DKIM 在管理后台开启。具体路径按版本略有差异，一般在域名管理 / 安全设置下面，页面会同时给出选择器和公钥。263 域名上常见的 selector 是 mail0263：

mail0263._domainkey    TXT    v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQ...

不要从这里抄选择器。选择器是按租户分配的，老账号的值可能完全不同，以后台显示的为准。通用规则是四条：

• 公钥一整串粘贴，不能有换行和尾部空格。
• 主机记录按后台给的写，包含 ._domainkey 后缀，不要再手工拼域名，DNS 面板会自动补。
• 发布完要在后台启用签名。只有 DNS 记录，服务器不会签。
• 后台给 2048 位选项就用 2048 位。

第四步：DMARC

_dmarc    TXT    v=DMARC1; p=none; fo=1; rua=mailto:dmarc@yourdomain.com; ruf=mailto:dmarc@yourdomain.com

263 公开的模板同时给了 rua 和 ruf。现在主流收件方基本不发 ruf（取证报告），而且里面可能包含用户数据，很多团队只保留 rua。两种都可以，关键是报告地址真实存在、真有人看。

不管模板怎么写，先上 p=none，跑两到四周再收紧。节奏见DMARC 配置指南。

可选的客户端记录

如果员工用自己域名的地址配置客户端，而不是直接用 263 的默认服务器，可以发这几条 CNAME：

pop.yourdomain.com     CNAME    pop.263.net
smtp.yourdomain.com    CNAME    smtp.263.net
imap.yourdomain.com    CNAME    imap.263.net
mail.yourdomain.com    CNAME    mail.263.net

默认服务器地址是 pop.263.net（110/995）、smtp.263.net（25/465）、imap.263.net（143/993）。海外用户有一套平行地址：popw、smtpw、imapw，端口相同。

验证

dig +short MX yourdomain.com
dig +short TXT yourdomain.com
dig +short TXT mail0263._domainkey.yourdomain.com
dig +short TXT _dmarc.yourdomain.com

再发一封到 Gmail 看邮件头，三项全 pass 才算通。SPF 过、DKIM 不过，九成是邮件头里的 selector 和你发布的记录对不上，或者公钥复制时被截断了。

前两条用 MX 查询和 SPF 检测，DKIM 用 DKIM 检测核对选择器。

常见错误

• MX 优先级写反。5 是 mxw.263.net，10 是 mx.263.net。
• 经典集群和云网关的 MX 同时发。按开通版本选一套，不要并存。
• 以为 DKIM 选择器是固定的。按租户分配，必须从后台读。
• 接入营销工具时新加一条 SPF，而不是合并。
• 第一天就上 p=reject，把没做过认证的内部通知邮件全拒了。

常见问题

为什么主 MX 是 mxw 而不是 mx？

mxw 是 263 经典集群的主入站网关，命名是历史原因，官方没有公开解释。真正要记住的是帮助中心公布的两组优先级：mxw 为 5，mx 为 10。

迁移期间能不能新旧邮箱并存？

同一个主机名不行。要么一次性切换 MX，要么把新服务放 mail.yourdomain.com 这类子域，主域继续留给旧服务。根域同时挂两套 MX，来信会按优先级和解析顺序被随机分流，结果无法预测。

信创版需要配不一样的记录吗？

认证记录的结构一样，但网关主机名可能不同，因为租户落在另一套基础设施上。以开通文档给的值为准，不要照搬公开帮助中心。

DKIM 一直验证不过怎么办？

按顺序查四件事：后台的选择器和发布的主机记录是否一致；后台是否显示"已启用签名"；公钥里有没有换行；DNS 面板是不是错误地拆分了长 TXT 字符串。最后一条最隐蔽，面板支持的话把公钥拆成两段带引号的字符串发布。