阿里企业邮箱（阿里邮箱）SPF、DKIM、DMARC 配置指南

阿里企业邮箱现在统一叫阿里邮箱，登录入口是 qiye.aliyun.com，与钉钉企业邮箱是同一套邮件系统的两个入口。它和阿里云邮件推送（DirectMail）完全是两个产品：一个是给人用的收件箱，一个是给程序调用的发信 API。两者都归阿里云卖，都要配 DNS，但记录值几乎没有一条是共用的。

这个区别非常容易踩坑。邮件推送的 DKIM 选择器是 aliyun-cn-hangzhou._domainkey 这类按地域命名的值，阿里邮箱是 default._domainkey；邮件推送授权 spf1.dm.aliyun.com，阿里邮箱授权 spf.qiye.aliyun.com。官网表单走邮件推送、员工信箱走阿里邮箱的公司，两条链都得配，而且 SPF 必须合并成一条。

动手前先确认三件事

• 域名已经在邮箱管理后台添加并绑定。只在 DNS 里加了 MX、后台没绑定，解析能查到，信照样收不到。
• 你有管理员权限，能进企业定制 > 域名管理 > 域名设置。DKIM 的主机记录和公钥就在这个页面里按域名生成。
• 你知道这个域名还有谁在发信：邮件推送、ERP、CRM、电商平台、客服系统。每一个都会占用 SPF 的一个 include，漏一个就可能被退信。

第一步：三条 MX，一条都不能少

@    MX   5     mx1.qiye.aliyun.com
@    MX   10    mx2.qiye.aliyun.com
@    MX   15    mx3.qiye.aliyun.com

优先级数字越小越先尝试。只配一条 MX 的后果是：主网关一旦不可达，对方服务器要么排队重试，要么直接退信，而你在后台看到的只是"收信延迟"。从别的服务商迁移过来时，务必在同一个变更窗口里删掉旧 MX；留着一条优先级 20 的旧记录，部分发件方会持续往旧邮箱投递好几天。

加完后先查一遍，确认只有这三条：

dig +short MX yourdomain.com
nslookup -type=mx yourdomain.com

第二步：SPF 只能有一条，多了就是 permerror

@    TXT    v=spf1 include:spf.qiye.aliyun.com -all

如果这个域名同时用邮件推送发信，不要新加一条，而是把 include 合并进同一条：

@    TXT    v=spf1 include:spf.qiye.aliyun.com include:spf1.dm.aliyun.com -all

同一个主机名下出现两条 v=spf1，按 RFC 7208 是永久错误。收件方不会挑"更全的那条"，而是直接返回 permerror，SPF 既不算通过也不算失败，DMARC 随之失去一半依据。这是国内域名最常见的一类配置事故，典型成因是：企业邮箱先上线，两年后网站开发为了发通知邮件又加了一条，没人合并。

结尾用 -all 还是 ~all：确认 include 列表完整之后再上 -all。迁移期间先用 ~all 观察一周，它把未授权来源标记为 softfail 而不是直接拒收，出问题还有回旋余地。

第三步：DKIM 一定从后台取，别抄博客

进入企业定制 > 域名管理 > 域名设置，点开 DKIM 配置方法，后台会给出你这个域名专属的主机记录和公钥。主机记录通常是：

default._domainkey    TXT    v=DKIM1; k=rsa; p=MIIBIjANBg...

两个细节比记录值本身更容易出事：

• 公钥必须是一整串。有些 DNS 面板会在 255 字符处硬换行，或者从后台复制时带进了换行符。这样的记录能解析出来，但每一封邮件的签名验证都会失败。面板支持的话，把公钥拆成两段带引号的字符串，解析器会自动拼接。
• 换密钥长度后要重新发布并回后台再保存一次。阿里官方文档明确写了：1024 位与 2048 位切换后，除了更新 DNS 记录，还要重新进入配置界面触发服务端重新加载签名密钥。只改 DNS 不改后台，邮件头里仍是旧 selector 在签。

新部署一律用 2048 位。1024 位只是为兼容老旧 DNS 面板保留的选项，部分收件方已经会对 1024 位签名降权。

第四步：DMARC 从 p=none 开始

阿里文档的示例直接给了 p=quarantine，但不要照抄上线。先只做监控：

_dmarc    TXT    v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com; fo=1

跑两到四周，看聚合报告里所有合法发信源是否都显示 pass 且对齐，再收紧到 p=quarantine，最后 p=reject。完整的收紧节奏在DMARC 配置指南里。

容易被忘掉的辅助记录

员工用 Outlook、Foxmail 手动配置客户端时，需要这几个固定主机名：

smtp.yourdomain.com    CNAME    smtp.qiye.aliyun.com
imap.yourdomain.com    CNAME    imap.qiye.aliyun.com
pop3.yourdomain.com    CNAME    pop.qiye.aliyun.com
mail.yourdomain.com    CNAME    qiye.aliyun.com

最后一条是用来做品牌化登录页的。国内域名必须先完成 ICP 备案，否则 mail.你的域名 打不开。新站要提前把备案时间算进上线计划。

怎么验证整条链真的通了

不要停在"记录能查到"。从阿里邮箱发一封信到 Gmail，看邮件头：

Authentication-Results: mx.google.com;
       spf=pass smtp.mailfrom=yourdomain.com;
       dkim=pass header.i=@yourdomain.com header.s=default;
       dmarc=pass (p=NONE) header.from=yourdomain.com

三项全 pass，且 DKIM 头里的 selector 和你发布的一致，才算收工。

• SPF 过、DKIM 不过：记录格式有问题，或者服务端还没加载新密钥。
• 两个都过、DMARC 不过：From 域没有对齐，常见于营销平台重写了信封发件人。
• 只有 SPF 过：DKIM 根本没启用，或者签名域和 From 域不是同一个。

用站内的 MX 查询、SPF 检测、DKIM 检测、DMARC 查询交叉核对，比单看后台状态可靠。

常见错误

• 把阿里邮箱和邮件推送的记录混用。MX、SPF include、DKIM selector 三样全不一样，先搞清楚自己买的是哪个产品。
• SPF 写成两条。必须合并，没有例外。
• SPF 里写 include:spf.aliyun.com。这个主机不是阿里邮箱的授权发信源，正确的是 spf.qiye.aliyun.com。
• 换了 DKIM 密钥却没回后台保存，邮件头一直显示旧 selector。
• 迁移时过早删旧 MX。提前一天把 TTL 降到 600 秒，新 MX 先以较低优先级并存，跑满一个工作日确认没有异常投递后再删旧的。

常见问题

同一个域名能同时跑阿里邮箱和邮件推送吗？

可以，而且很常见：员工信箱在阿里邮箱，官网表单通知走邮件推送。SPF 两个 include 合并到一条，DKIM 各自用各自的选择器（default 与地域 selector）。邮件推送那条用于回信地址的 MX 不要覆盖邮箱 MX，除非你已经把发信子域单独拆出去。

钉钉企业邮箱要单独配一套吗？

不用。钉钉企业邮箱和阿里邮箱是同一套邮件系统，MX、SPF include、DKIM 选择器完全一样，只是管理入口不同。你在阿里邮箱后台配好，钉钉侧自动生效。

记录都生效了，后台还显示"解析未生效"？

按出现频率排三个原因：给一个尚未在后台绑定的域名发了记录；改的 DNS 面板不是这个域名的权威服务器（NS 早转到 Cloudflare 了，还在注册商那里加记录）；记录加在了错误的主机名上（多写或少写域名后缀）。用 dig 查控制台实际检查的那个主机名，逐字符对比。

阿里邮箱支持 2048 位 DKIM 吗？

支持，新部署直接用 2048 位。发布完整公钥后，回后台重新保存一次配置，让邮件服务器加载新密钥。