飞书邮箱自定义域名：MX、SPF 与 DKIM 配置

飞书邮箱跟着飞书一起用，对已经在飞书里的公司来说，是拿到 name@公司域名 最省事的方式。它的解析有两个别扭之处：要三条 MX，而且只要域名上还留着任何别的 MX，验证就不通过——包括你正打算迁走的那家留下的记录。

飞书（中国）和 Lark（国际版）用的主机名和 SPF include 不一样。抄值之前先确认自己的租户是哪一个，这是最容易搞错、又最难看出症状的地方。

开始之前

• 飞书管理后台的超级管理员，或有"邮箱"权限的管理员。
• 域名已在产品设置 > 邮箱 > 域名管理里添加。
• 权威 DNS 后台的写权限。域名在阿里云 DNS、DNSPod、华为云 DNS 或 GoDaddy 的，飞书为每家都写了单独的操作文档，建议照着走——各家的"主机记录"填法不一样。
• 想好切换期间入站邮件怎么办：MX 一改，飞书里没有的地址就会退信。

第一步：三条 MX，一条都不能多

@   MX   1    mx1.feishu.cn
@   MX   5    mx2.feishu.cn
@   MX   10   mx3.feishu.cn

优先级 1 / 5 / 10 构成一个有顺序的故障转移链，三条都必须有。只发第一条，平时能用，出故障时没有退路。

然后把其它 MX 全部删掉。飞书的验证会明确检查域名上不存在竞争的 MX——三条飞书记录都填对了，只要旧服务商那条还在，验证照样失败。这是飞书邮箱反馈最多的卡点，而且它不告诉你原因，看起来只是"后台一直验证不过"。

迁移请走飞书自己的两阶段流程：邮箱搬家期间原服务商继续收信，邮件同步过来；搬家结束才替换 MX。先切 MX 再搬家，等于把迁移窗口里所有来信直接丢掉。

第二步：SPF

飞书中国服务的文档值是：

v=spf1 +include:_netblocks.m.feishu.cn -all

Lark 国际版的 include 是 spf.onlarksuite.com：

v=spf1 +include:spf.onlarksuite.com -all

include 前面的 + 是多余的（默认就是 +），但飞书就是这么打印的。保持和后台完全一致，验证的时候少一层自我怀疑。

两个要注意的地方：

• -all 是硬失败。不在 include 里的发信方一律被拒。如果官网表单、ERP、扫描件通知也用这个域名发信，要么把它们的 include 并进来，要么在摸清清单之前先改成 ~all。
• SPF 那条 TXT 不能删。开通时后台会给你两条 TXT：一条 verification-code-site-App_... 用于验证归属，一条 SPF。归属验证那条在域名验证后可以删，SPF 那条删了，几个月后认证会悄悄失效。

第三步：DKIM

DKIM 默认关闭，要按域名手动启用：

1. 管理后台 → 产品设置 > 邮箱 > 安全与反垃圾 > DKIM 身份验证。
2. 找到域名，点启用。
3. 选密钥长度。默认 2048 位，也建议选 2048；只有 DNS 面板存不下这么长的 TXT 时才退到 1024。
4. 下一页给出主机记录和密钥。selector 是按租户生成的（形如 feishu2209141830._domainkey），没有固定值可背。
5. 发布 TXT 记录，回后台点立即验证，状态变成 DKIM 已启用才算完成。

子域要在主机记录后面加子域标签：给 test.example.com 生成的密钥，主机记录是 feishu2209141830._domainkey.test。飞书 FAQ 专门写了这条，因为子域验证失败基本都是这个原因。

验证失败时按顺序查三件事：记录值里有没有多余空格；同一个主机名下是不是已经存在另一条 TXT（一个主机两条 TXT 会让查询直接失败）；以及是否只是还没生效——通常几分钟。

第四步：DMARC

飞书不强制要求，但 Gmail 和 Yahoo 对批量发信有要求，而且没有 DMARC 你的域名就仍然可以被冒用：

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com; fo=1

先跑两周监控，用 DMARC 报告分析器读聚合报告，再收紧到 quarantine、最后 reject。飞书后台也有自己的 DMARC 配置页，写的是同一条 _dmarc 记录——两边选一边用，同时配会产生重复 TXT，直接解析失败。

验证

从飞书邮箱发一封信到 Gmail，看原始邮件：

spf=pass (feishu.cn designates <发信 IP> as permitted)
dkim=pass header.d=yourdomain.com
dmarc=pass (p=NONE) header.from=yourdomain.com

如果 DKIM 是 pass 但 d=feishu.cn，说明签的是飞书自己的域名，对你的域名不构成 DMARC 对齐——通常是 DKIM 没为你的域名启用，或者记录发错了主机。

发布侧用 MX 查询、SPF 检测、DKIM 检测核对。MX 查询应该正好返回三条，多出来就说明 zone 里还留着旧记录。

常见错误

• 留了一条旧 MX。飞书直接不给过，而且报错不指向真正原因。
• 把 SPF 那条 TXT 和验证 TXT 一起删了。只有归属验证那条可以删。
• 飞书租户用了 Lark 的 include（或反过来）。基础设施不同，所有邮件 SPF 失败。
• 启用了 DKIM 但没点验证。后台有密钥，邮件仍然不签名。
• 以为切完 MX 就迁移完了。原来走旧 SMTP 中继的业务系统还要改配置，否则它们的信会静默停止。

常见问题

飞书邮箱和腾讯企业邮能共用一个域名吗？

收信不行——一个域名只有一组 MX，而且飞书不允许存在其它 MX 时才给验证。按子域拆分：主域给一家，mail2.yourdomain.com 给另一家，各自配自己的 SPF 和 DKIM。

迁移期间发到域名上的邮件会怎样？

飞书的搬家流程会让你在切换 MX 之前保持原服务商收信，中间同步历史邮件。切完之后，飞书里不存在的地址会退信，所以账号必须提前建齐。

飞书日历、文档的通知要另外配 SPF 吗？

不用。飞书套件用你的域名发出的邮件走同一套基础设施，同一个 include 就覆盖了。