网易企业邮箱 SPF、DKIM 与 DMARC 配置（163/126）

网易企业邮箱（qiye.163.com）是国内最早的一批企业邮箱服务，制造业、外贸和部分政企单位里存量很大。它的解析配置项不多——两条 MX、两条 TXT——但官方模板比大多数域名在第一天能承受的更严，翻车基本都翻在这里。

本文只讲企业邮箱本身，不涉及网易的批量发信产品。

开始之前

• 企业服务平台的管理员权限，域名已在组织机构管理 > 域名管理里添加。
• 后台给你的验证值。网易会为每个域名生成独立的归属验证 TXT，抄别的账号的没用。
• 真正权威 DNS 后台的写权限。动手前先 dig NS yourdomain.com +short 确认是谁在应答。
• 一份发信源清单：官网留言表单、ERP、企业微信里的集成应用，都算。

第一步：MX 记录

@   MX   5    hzmx01.mxmail.netease.com
@   MX   10   hzmx02.mxmail.netease.com

两条都要，其余 MX 全部清掉。注意：不同租户、不同区域拿到的集群主机名可能不一样，以你后台打印的那一对为准，包括这篇文章在内的任何文章都只能当示例。

从别家迁移过来时，顺序千万别搞反：先在企业邮里把账号建好、验证通过，再切 MX。账号还没建就切 MX，入站邮件会被网易收下再按"无此收件人"退掉，发件方看到的是硬退信，而你的用户什么都收不到。

第二步：SPF

网易文档给的值是：

v=spf1 include:spf.163.com -all

注意结尾的 -all，这是硬失败：不在 include 里的服务器一律拒收。如果这个域名只有企业邮在发信，这样写是对的。但只要有官网表单、CRM、扫描件通知在发，-all 就会把它们静默拒掉——拒收发生在收件方，你公司内部谁也看不到退信。

清单没摸清之前，先用软失败，之后收紧：

v=spf1 include:spf.163.com ~all

新增发信源要并进同一条记录。同域名两条 v=spf1 是 permerror，收件方直接按未认证处理，比一条宽松的记录更糟：

v=spf1 include:spf.163.com include:_spf.google.com include:spf.protection.outlook.com ~all

第三步：DKIM

网易企业邮的 DKIM 用 default 这个 selector，主机记录是：

default._domainkey.yourdomain.com   TXT   v=DKIM1; k=rsa; p=MIIBIjANBg...

公钥按域名生成，在后台的域名解析或安全设置里（不同版本位置略有差异）。整段照抄：不要加引号，不要重新排版，不要让编辑器把它折成两行。2048 位密钥大约 400 字符，多数 DNS 面板能直接存；仍限制单条 255 字符的老面板，需要在同一条记录里把值拆成几个带引号的片段。

配子域时主机记录要带子域标签：给 mail.yourdomain.com 配 DKIM 是 default._domainkey.mail，不是 default._domainkey。子域永远验证不过，十次有八次错在这里。

dig TXT default._domainkey.yourdomain.com +short

第四步：DMARC——别照抄官方模板

网易帮助中心给的模板是：

v=DMARC1; p=quarantine; fo=1; ruf=mailto:dmarc@qiye.163.com; rua=mailto:dmarc_report@qiye.163.com

直接用有两个问题。一是 p=quarantine 已经是执行策略：任何对齐失败的邮件直接进垃圾箱，包括你自己忘掉的那个发信源。二是两个报告地址都是网易的，你拿到的是厂商汇总，看不到"哪个 IP 失败"的原始聚合报告。

建议从这条起步：

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com; fo=1

报告用 DMARC 报告分析器读，跑两周。确认每条发信流都对齐了，再改 p=quarantine，最后 p=reject。想同时留一份给网易，把它的地址作为第二个 rua 逗号分隔加进去即可。

第五步：用真实邮件验证

从企业邮账号发一封到你的 Gmail，看原始邮件，三行要同时成立：

spf=pass (spf.163.com designates <发信 IP> as permitted)
dkim=pass header.d=yourdomain.com
dmarc=pass (p=NONE) header.from=yourdomain.com

如果 DKIM 显示 pass 但 d=163.com，这个 pass 不算数：信确实被签名了，签的是网易的域名，对你的域名不构成 DMARC 对齐。出现这种情况，基本就是 DKIM 的 TXT 没发，或者发错了主机名。

发布侧用 SPF 检测、DKIM 检测、MX 查询核对。

常见错误

• 用 include:spf.qiye.163.com。不少第三方文章这么写，网易官方文档是 spf.163.com。按文档来。
• 第一天就抄 -all 和 p=quarantine，官网询盘邮件全丢，而且没人收到退信。
• DKIM 主机记录漏了子域标签。
• 迁移窗口里旧 MX 没删，收信时好时坏。
• 接了营销平台就新增一条 SPF，而不是合并。

常见问题

网易的 selector 一定是 default 吗？

标准 DKIM 配置下是，主机记录写 default._domainkey。但发布前仍以你后台显示的值确认，发完再用真实邮件头复核，别只凭假设。

企业邮和营销平台能共用一条 SPF 吗？

必须共用。每个域名只能有一条，所有发信源并进去。如果合并后 DNS 查询次数接近 10 次上限，就把价值低的 include 扁平化，或者把营销迁到子域单独发一条。

三条记录都过了，为什么还是进垃圾箱？

认证是门槛，不是排名。新域名、共享 IP 信誉差、内容触发规则，都会被过滤。按邮件为什么进垃圾箱逐项排查，继续改 DNS 没有意义。