Mailchimp 域名认证：DKIM 与 SPF 配置

Mailchimp 可以用你的域名作为 From 发活动邮件，但在完成域名认证之前，邮件实际由 Mailchimp 的基础设施签名：收件人看到"经 mcsv.net 之类域名发送"，DMARC 因为签名域与 From 域不符而失败。在 Gmail、Yahoo、微软的发件人新规下，没有认证的批量邮件会离收件箱越来越远——Mailchimp 甚至可能直接改写你的 From 地址来保住投递率，代价是你的品牌从发件人一栏消失。

认证本身是个很小的 DNS 任务：几条 Mailchimp 给的 CNAME、一个 SPF include、一条自己发布的 DMARC 记录。下面一步步走完。

开始前的准备

• 能进域名设置的 Mailchimp 账号。
• 用于发信的域名，并有注册商或主机商处的 DNS 权限。gmail.com 这类免费邮箱域名无法认证。
• 心里有数：域名下还有哪些发件方，方便把所有 include 合并进同一条 SPF。

配置步骤

1. 在 Mailchimp 打开 Website > Domains（或跟随活动编辑器、受众设置里的认证提示），点击 Add & Verify Domain。先完成域名验证——Mailchimp 会向该域名下的地址发确认码。
2. 开始认证，Mailchimp 会展示 DKIM 的 CNAME 记录，形如：

CNAME  k1._domainkey.yourdomain.com  ->  dkim.mcsv.net
CNAME  k2._domainkey.yourdomain.com  ->  dkim2.mcsv.net
CNAME  k3._domainkey.yourdomain.com  ->  dkim3.mcsv.net

不同账号可能只显示 k1，或 k2/k3 一对——以你自己控制台里给出的为准，并且给的每条都要发。这种 CNAME 模式是关键：它把 DKIM 密钥的发布委托给 Mailchimp，密钥轮换不再需要你改 DNS，而每封发出的邮件都以 d=yourdomain.com 签名。

3. 把 Mailchimp 的 SPF include 加进域名唯一的那条 SPF TXT：

v=spf1 include:servers.mcsv.net ?all

若已有 SPF 记录，合并而不是另发一条：

v=spf1 include:_spf.google.com include:servers.mcsv.net ?all

4. 在域名根下发布 DMARC 记录：

_dmarc.yourdomain.com.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc-reports@yourdomain.com"

5. 回到 Mailchimp 点击 Check Status / Authenticate。CNAME 解析生效后认证完成，活动邮件即以你的域名作为 From、以你的域名签名发出。

如果 DNS 服务商受支持，Mailchimp 的 Entri 连接器可以在你登录服务商后代写这些记录——不熟悉手工改 DNS 的话很省心。

为什么 SPF 在这里带不动 DMARC——以及为什么没关系

Mailchimp 的信封发件人（Return-Path）留在它自己的退信基础设施上，好让退信回流到列表管理系统。SPF 校验的正是这个信封域，所以 SPF 通过的是 Mailchimp 的域名，永远无法与你的 From 域对齐。这不是你配错了什么——平台就是这么设计退信路径的。

而这并不妨碍通过：DMARC 只要 SPF 或 DKIM 其中之一通过对齐即可，而那几条 CNAME 让 DKIM 与你的域名对齐。带对齐的 DKIM 签名甚至能在多数转发场景中幸存，SPF 从来做不到。把 include:servers.mcsv.net 加进 SPF 是对 Mailchimp 发送 IP 的正式授权，但别指望它改变 DMARC 结论——也不要堆砌多余 include 去消耗 10 次查询额度。

如何验证

向 Gmail 发一封测试活动，打开显示原始邮件：应看到 DKIM 通过且 d=yourdomain.com、DMARC 通过；SPF 会显示 Mailchimp 的信封域通过。把信头贴进 邮件头分析器，三项结果一目了然。

逐条核对记录：用 DKIM 检测（域名加 selector k1、k2 或 k3）、SPF 检测查 SPF，用 DMARC 查询确认 DMARC 记录；一次查完整个域名可以用 邮件健康检查。背后的原理见 邮件认证基础指南。

常见错误

• 以为配好 SPF 就能过 DMARC。在 Mailchimp 上 SPF 永不对齐。DKIM CNAME 没发，任何 SPF 记录都救不了 DMARC。
• CNAME 只发了一部分。控制台显示 k1、k2、k3 就全都要发；缺哪个 selector，用它的那部分邮件 DKIM 就失败。
• 另发了一条 SPF 而不是合并。两条 v=spf1 TXT 会让域名下所有发件方（包括你的邮箱服务商）的 SPF 全部失效。
• 把 CNAME 发成了 TXT。DKIM 记录是指向 dkim.mcsv.net 的 CNAME，写成 TXT 或 A 记录都无法通过验证。
• DKIM 还没生效就把 DMARC 调到 reject。CNAME 未验证前 Mailchimp 邮件不对齐，p=reject 下会被直接拒收或进垃圾箱。先看几周聚合报告——用 DMARC 报告分析器——确认对齐后再收紧。

常见问题

Mailchimp 到底要求哪些记录？

账号里显示的 DKIM CNAME 记录，加上你自己的 DMARC 记录——现在的流程两项都会提示。SPF include 对 Mailchimp 投递不是必需，但作为对平台 IP 的正式授权，一条干净的 SPF 里应该有它。

Mailchimp 为什么改了我的发件地址？

From 域未认证时，Mailchimp 可能把发送地址改写成它控制的域名，以保证在 DMARC 强制环境下活动仍能投递。完成域名认证后，你的地址会原样使用。

DKIM 密钥要自己轮换吗？

不用。CNAME 指向 Mailchimp 的密钥基础设施，轮换在它那边完成，你的 DNS 不用动——这是 CNAME 委托式 DKIM 的隐性优点之一。

可以用子域发 Mailchimp 邮件吗？

可以。认证一个 news.yourdomain.com 之类的子域并从它发信即可；根域的 DMARC 记录会被子域继承，把活动邮件与其他流量分开还能互相保护信誉。