iCloud+ 自定义域名邮箱：MX、SPF 与 DKIM 配置

iCloud+ 自带自定义邮箱域名，但很多人没注意：任意付费 iCloud 套餐都能绑最多五个域名，在所有登录同一 Apple ID 的设备上用 name@你的域名 收发。它不是企业邮箱——没有共享邮箱、没有管理后台、地址绑在个人 Apple ID 上——但对自由职业者、小工作室或家庭域名来说，等于省掉一份订阅。

四条记录，而且和多数服务商不同：DKIM 是一条 CNAME，目标里嵌着你的域名。复制粘贴出错基本都错在这里。

开始之前

• 有效的 iCloud+ 套餐。免费 5GB 不支持自定义域名。
• 域名在你手里，能改 DNS。域名被注册商锁定时，验证会直接失败。
• 旧邮件先归档或迁移：MX 一改，新邮件只进 iCloud。
• 想清楚域名是你自己用还是和家人共享——共享范围在开通时选定，决定谁能建地址。

第一步：走完引导，拿到你的值

登录 iCloud.com，进 Account Settings，找到 Custom Email Domain，点 Manage。选择"仅自己"或"与家人共享"，填域名，建第一个地址。

然后 Apple 会列出你这个域名的记录。其中两条是固定的（所有教程都一样），另外两条是账号专属的：验证 token 和 DKIM 目标。四条都从屏幕上抄，不要用模板拼 DKIM 目标。

第二步：MX 记录

@   MX   10   mx01.mail.icloud.com.
@   MX   10   mx02.mail.icloud.com.

两条都是优先级 10——Apple 把它们当对等节点，不分主备。先把旧的 MX 删干净；两家服务商在同一优先级并存，投递结果看起来就是随机的。

注意结尾的点。Apple 打印的目标带点，这是完整的 FQDN 写法。多数面板接受，有的会自动去掉，少数会在你省略时把域名重复拼上去。保存后立刻 dig MX 看一眼。

第三步：SPF

v=spf1 include:icloud.com ~all

已有 SPF 的，把 include:icloud.com 加进去，不要新建一条 TXT。两条 v=spf1 会让 SPF 整体失效，而且失效是静默的——信照发，只是不再被认证。

v=spf1 include:icloud.com include:_spf.google.com ~all

Apple 文档提到：注册商不支持引号或结尾的点时，就去掉再填。TXT 值的引号本来是传输层的事，面板把引号当字面字符存下来，这条策略就不以 v=spf1 开头了。

第四步：DKIM 的 CNAME

sig1._domainkey   CNAME   sig1.dkim.yourdomain.com.at.icloudmailadmin.com.

主机记录固定是 sig1._domainkey。目标中间嵌着你自己的域名，这是 Apple 按域名分配的签名端点，所以别人的教程里的值抄不了。具体字符串在你添加域名时生成，显示在设置页上。

三种常见翻车：

• 主机记录填法不对。有的面板只填 sig1._domainkey，有的会自动补 zone。会自动补的那种，你填完整域名就变成 sig1._domainkey.yourdomain.com.yourdomain.com，永远解析不到。
• 表单不接受结尾的点。去掉就行，记录照样能解析。
• 开了代理。Cloudflare 上必须仅 DNS，代理后的 CNAME 不会返回 Apple 的签名主机。

验证委派是否真的生效，而不是只看记录存在：

dig CNAME sig1._domainkey.yourdomain.com +short
dig TXT sig1._domainkey.yourdomain.com +short

第二条应顺着 CNAME 返回 v=DKIM1; k=rsa; p=...。

第五步：所有权验证 TXT

@   TXT   apple-domain=xxxxxxxxxxxxxxxx

这条证明域名归你，是根域下的一条普通 TXT，设置流程里会给出。Apple 确认后可以留着，不碍事，将来重新验证还用得上。

配置期间四条记录的 TTL 都设 3600（1 小时）。短一点的好处是填错了改完几分钟就能生效，不用等一天。

第六步：DMARC

Apple 不强制，但没有 DMARC 你的域名就仍然可被冒用，Gmail 对"像批量"的邮件也会更谨慎：

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com; fo=1

跑两周报告，再 quarantine、最后 reject。用 DMARC 报告分析器读。注意 iCloud+ 完全没有批量发信通道——将来接了群发工具，它的 include 并进同一条 SPF，DKIM selector 单独发一条记录。

第七步：验证

spf=pass (icloud.com designates <IP> as permitted)
dkim=pass header.d=yourdomain.com
dmarc=pass (p=NONE) header.from=yourdomain.com

如果 DKIM 是 pass 但 d=icloud.com，说明用的是 Apple 自己的域名签名——CNAME 没配或指错了。用 DKIM 检测，selector 填 sig1。

常见错误

• 照抄教程里的 DKIM 目标。那串里含你的域名，只有 Apple 的页面给的是对的。
• CNAME 主机名重复拼了域名。
• 留着相同优先级的旧 MX。
• 以为家庭成员可以无限建地址。每个域名每人三个，域名归创建者控制。
• 指望它给应用做 SMTP 中继。iCloud 是邮箱，个人脚本可以用 smtp.mail.me.com 加 App 专用密码，绝不能拿来群发。

常见问题

能拿 iCloud+ 邮箱当公司域名用吗？

很小的团队可以。天花板来得很快：没有共享邮箱、没有委派、没有管理后台、没有审计日志，地址还是个人 Apple ID。一旦需要其中任何一项，就该迁到真正的企业邮箱，把 iCloud 留作个人地址。

发给我没建过的地址会怎样？

退信。域名设置里有全收（catch-all）开关，迁移期间建议打开，免得忘掉的地址直接失效。

DKIM 需要像 Proton 那样三条吗？

不用。iCloud 只有一个 sig1 selector，这也是它比 Proton 的三 selector 方案简单的地方。