263 企业邮箱域名解析：MX、SPF、DKIM、DMARC 配置
263 企业邮箱自有域名配置：mxw.263.net 优先级 5、mx.263.net 优先级 10、spf.263.net 的 SPF、后台开启的 DKIM，以及 DMARC 报告记录。
阿里云邮箱与邮件推送：DKIM、SPF 与 DMARC 配置
按阿里云官方流程配置邮件推送发信域名：六条 DNS 记录、当前 SPF include 值、按地域生成的 DKIM selector，以及 DMARC 的发布与收紧。
阿里企业邮箱（阿里邮箱）SPF、DKIM、DMARC 配置指南
在自有域名上配置阿里企业邮箱：mx1–mx3.qiye.aliyun.com 三条 MX、spf.qiye.aliyun.com 的 SPF、default._domainkey 的 DKIM，以及与钉钉企业邮箱、邮件推送的区别。
OVHcloud 邮箱认证：SPF、DKIM CNAME 与 DMARC
OVHcloud 买域名、买主机通常会带邮箱：域名自带 MX Plan，再往上是 Email Pro 和 Hosted Exchange，三套各自有独立的 DKIM 配置。这一点很关键——如果你同时有一个 MX Plan 和一个 Exchange，在错的那个上配 DKIM，会得到一条永远不会出现在出站签名里的记录。
另外，OVH 面板生成的默认 SPF 里带 ptr 机制。它合法，但实践中是个坏主意。本文给的是可以长期用的配置，而不是面板预填的默认值。
开始之前
- OVHcloud 控制台权限，且域名和邮箱服务在同一个账号下。
- 域名的 NS 指向 OVH。如果指向别处，你可以照本文取到值，但记录必须发在真正承载解析的那家——在 Domain names > 域名 > DNS servers 确认。
- 清楚自己的邮件是哪个套餐在发：MX Plan、Email Pro 还是 Exchange。
第一步：SPF
v=spf1 include:mx.ovh.com ~all加拿大区域的域名用 include:mx.ovh.ca。面板里的引导路径是 Web Cloud > Domain names > 域名 > DNS zone > Add an entry > SPF record > Use the SPF for OVHcloud web hosting，会自动写入。
PTR 的问题。mx.ovh.com 背后的 zone 用两个 ptr 机制授权发信方。RFC 7208 允许收件方忽略 ptr，而 Gmail 等大厂确实很多年不支持它。结果是这条授权不可移植：一部分收件方认，一部分不认，排查起来比干净的 ip4/include 难得多。
如果你跑的是有固定 IP 的 Private Exchange，把地址显式写出来，不要只依赖 include：
v=spf1 ip4:203.0.113.10 ip6:2001:db8::10 include:mx.ovh.com ~all已经有 SPF 的就改那一条。再发一条 v=spf1，SPF 直接整体失效。
第二步：DKIM 是指向 OVH 签名区的 CNAME
OVH 不给你裸公钥，而是生成一个 selector 和 CNAME 目标，形如：
ovhex123456-selector1._domainkey CNAME ovhex123456-selector1._domainkey.1500.ab.dkim.mail.ovh.net.selector 按账号和套餐生成，所以任何文章都给不出你该填的那串。从面板取：
- Web Cloud > Email > MX Plan（或 Email Pro / Exchange）。
- 选中域名，打开 DKIM 标签或邮箱服务的信息页。
- 启用 DKIM，面板会显示 CNAME 的主机记录和目标。
- 在域名的 DNS zone 里发布，面板给了结尾的点就保留。
CNAME 的好处是轮换透明：OVH 换密钥你不需要动 DNS。代价是记录必须能解析——Cloudflare 上一旦开代理，返回的是边缘 IP 而不是目标；同一主机名也不能再存在 TXT 记录。
先验委派，再看签名：
dig CNAME ovhex123456-selector1._domainkey.yourdomain.com +short
dig TXT ovhex123456-selector1._domainkey.yourdomain.com +short第二条应该顺着 CNAME 取到 v=DKIM1; k=rsa; p=...。
第三步：DMARC
v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com; fo=1发布在 _dmarc.yourdomain.com。OVH 自己的 DMARC 文档比较简略，部分旧模板直接给执行策略；不管它，从 p=none 起步。用 DMARC 报告分析器盯到每条流（邮箱、官网表单、任何 ESP）都以对齐状态通过，再改 quarantine、最后 reject。
第四步：验证
从 OVH 邮箱发一封到 Gmail，看原始邮件头：
spf=pass (mx.ovh.com designates <IP> as permitted)
dkim=pass header.d=yourdomain.com
dmarc=pass (p=NONE) header.from=yourdomain.com如果 DKIM 显示 d=ovh.net 之类而不是你的域名，说明 CNAME 没配或还指着错的 selector。用 DKIM 检测（selector 填面板里那个）和 SPF 检测分别核对。
常见错误
- 在错的 OVH 套餐上配 DKIM。MX Plan、Email Pro、Exchange 各有一套，只有真正在发信的那个会签名。
- 直接用引导生成的 SPF 默认值，没注意到 include 里的
ptr。 - 把 DKIM 的 CNAME 挂到 Cloudflare 代理后面。
- 同一主机名已有 TXT 还去建 CNAME——DNS 不允许共存。
- 新增发信源时又加一条 SPF。
常见问题
域名 DNS 不在 OVH，还能用 OVH 邮箱吗？
能。DKIM 的 CNAME 仍然指向 OVH 的签名区，只是记录要发在你自己那家 DNS 上。面板的一键配置只在 OVH 托管 DNS 时可用，所以要手动抄主机记录和目标。
OVH 为什么用 CNAME 而不是 TXT 公钥？
轮换对用户透明，记录也短。顺带绕开了 2048 位密钥在老面板上要按 255 字符分段的麻烦。
OVH 的 SPF 也覆盖 Email Pro 和 Exchange 吗？
共享和托管套餐覆盖，include:mx.ovh.com 对它们有效。跑在自己 IP 上的 Private Exchange 不在这个 include 里，要把地址显式写出来。