Shopify 邮件认证：发件域、DKIM 与 DMARC 配置

Shopify 从你的店铺发出两类完全不同的邮件：事务通知（订单确认、发货、退款）和 Shopify Email 的营销投放。两类都声称来自你的发件地址，也都要过 Gmail 和 Yahoo 在 2024 年 2 月收紧的那套认证规则。

认证没配好时，Shopify 不会报错——它会把你的发件地址改写成 store+12345678@shopifyemail.com 之类，好让邮件还能投出去。客户看到的是一个陌生地址而不是你的品牌，回复也断了，邮件进"促销"或垃圾箱。这是"Shopify 邮件坏了"最常见的成因，解法在 DNS，不在客服工单。

开始之前

• Shopify 后台 Settings > Notifications 的访问权限。
• 发件地址所在域名的 DNS 权限——通常是主域，除非你有意把它放在子域上。
• 该域名得有一个真实邮箱。Shopify 不是邮件托管商，它不收回复，也绝不能把 MX 指给它。

第一步：搞清楚 Shopify 到底要什么

它不给 SPF 字符串，也不给裸 DKIM 公钥，而是给你四条 CNAME：

• 三条 DKIM selector，指向 Shopify 可轮换的密钥设施。
• 一条 return-path CNAME，负责 SPF 对齐。

因为 SPF 的授权藏在子域的 CNAME 后面，你不需要为 Shopify 单独加一条 SPF TXT。很多人期待的是粘一个 include:shopify.com，但 Shopify 文档写得很清楚：CNAME 已经自动处理了发件地址的 SPF。

实际后果是：如果你已经有 Google Workspace 或 Microsoft 365 的 SPF，保持原样就行。Shopify 不在里面，也不需要进去。邮箱服务商的 SPF 继续管你的邮箱，Shopify 的 CNAME 管 Shopify。

第二步：认证域名

1. Shopify 后台 → Settings > Notifications。
2. 在 Sender email 里填客户看到的地址。
3. 点 Email domain authentication。
4. DNS 在 Cloudflare、GoDaddy 或 IONOS 的，选 Authenticate automatically，Shopify 会通过接口把记录写进去。
5. 其它情况选手动，把四条 CNAME 的主机记录和目标原样加到你的 DNS 后台。

在 Shopify 买的域名是自动配好的，不用管。

手动配置有两个高频失败点：

• Cloudflare：四条 CNAME 都必须是仅 DNS。开了代理会解析到 Cloudflare 边缘地址，Shopify 的验证永远看不到自己的基础设施。
• Host 字段：填 Shopify 给的前缀，不要填完整主机名（除非面板明确要求完整形式）。域名重复拼接是最典型的静默失败。

第三步：DMARC 得自己加

Shopify 的自动认证只配 DKIM 和 SPF，不会创建 DMARC 记录——它自己的文档就是这么写的。没有 DMARC，Gmail 的批量发信要求就没满足，域名也仍然可被冒用。

_dmarc.yourdomain.com   TXT   v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com; fo=1

从 p=none 起。用 DMARC 报告分析器跑两周，确认 Shopify 那条流和你的邮箱都以对齐状态通过，再 quarantine，最后 reject。

为什么这里全靠 DKIM 撑着

Shopify 事务邮件的信封发件人（Return-Path）指向它自己的邮件基础设施，不是你域名。SPF 是对信封域求值的，所以你的 From 域和 SPF 默认不对齐——信仍然 SPF pass，只是不算对齐。

DMARC 只要 SPF 或 DKIM 有一个对齐就能过。既然 SPF 不对齐，担子全压在 DKIM 上。三条 DKIM CNAME 里有任何一条缺失或坏掉，订单确认就会整体 DMARC 失败、开始进垃圾箱——而 Shopify 后台因为其余记录能解析，可能仍显示"已认证"。

所以验证要看真实邮件，不能只看绿勾。

第四步：验证

下一笔测试订单（或用后台的测试通知），在 Gmail 里打开收到的邮件，点显示原始邮件：

spf=pass (shopify.com designates <IP> as permitted)
dkim=pass header.d=yourdomain.com
dmarc=pass (p=NONE) header.from=yourdomain.com

然后看 From 那一行。如果显示的是 store+12345678@shopifyemail.com，说明认证没生效、被改写了。这个改写就是要你去查 CNAME 的信号，而不是去找客服。

发布侧用 DKIM 检测把 Shopify 给的每个 selector 都查一遍，整体用 邮件健康检查看。

常见错误

• 为 Shopify 加了一条 SPF TXT。不需要，还白白占掉 10 次查询预算里的一次。
• Cloudflare 上把 CNAME 开了代理。
• 以为自动流程连 DMARC 一起配了。没有。
• 把 MX 指向 Shopify。它不是邮箱，入站邮件要继续走真实服务商。
• 域名认证了，发件地址却是免费邮箱。@gmail.com 这种地址跟你域名的记录毫无关系。

常见问题

这能顺便认证 Klaviyo 或 Omnisend 的邮件吗？

不能。每个平台用自己的记录认证。Shopify 的 CNAME 只覆盖 Shopify 自己发的信。ESP 有自己的 DKIM selector，按它的发信方式再配 SPF include 或 return-path CNAME。

Shopify 需要单独的子域吗？

不强制，但营销量大的店值得：给 Shopify 认证 mail.yourdomain.com，主域留给员工邮箱，这样一次投放翻车伤不到订单确认的信誉。

后台显示已认证，邮件还是进垃圾箱

认证是门槛不是评分。先在一封真实邮件上确认 DKIM 对齐；如果确实通过，问题在内容、投诉率或发信历史，按垃圾箱排查指南走。