新浪企业邮箱域名解析：SPF、DKIM、DMARC 配置

新浪企业邮箱是国内做得比较早的托管邮箱之一，它的 DNS 布局也留着那个年代的痕迹：三条 MX，其中两条优先级相同；SPF 的 include 指向一个大多数人第一次都会猜错的域名。照着网上通用的"加一条 MX 就完事"教程配，结果往往是能收到一部分信、丢掉另一部分，发出去的信还全部认证失败。

这篇把新浪企业邮箱自有域名的四条记录、后台开 DKIM 的路径，以及迁移时容易忽略的细节一次讲清。

开工前确认

• 新浪企业邮箱已开通，域名已在企管后台添加。一个租户最多可绑定 20 个自有域名，先确认你要配的是哪一个。
• 有域名的权威 DNS 修改权限。NS 指向谁，就去谁的面板改，注册商面板不一定是真正生效的地方。
• 有企管后台"日常维护 / 反垃圾管理"的管理员权限，DKIM 和 DMARC 的记录值在这个页面生成。

第一步：三条 MX 记录

@    MX   10    mx.sina.net
@    MX   15    mx.sinanet.com
@    MX   15    mx.entmail.sina.com

后两条优先级都是 15，这不是写错。优先级 10 的主网关不可达时，发件方会按解析返回顺序依次尝试这两条 15 的备用网关。三条都要发。只发 mx.sina.net 的域名，在新浪侧做维护的那几个小时里会静默丢信，而且退信原因通常只写"目标服务器无响应"，很难定位到是 MX 少了一条。

从其他服务商迁移过来时，旧 MX 要在同一次变更里删掉。留着一条优先级 20 的旧记录，缓存没过期之前仍会有发件方往旧邮箱投递，这个窗口可能是好几天。

第二步：SPF，最容易写错的一条

@    TXT    v=spf1 include:spf.sinamail.sina.com.cn -all

include 是 spf.sinamail.sina.com.cn。不是 spf.sina.com，不是 sina.net，也不是 spf.sina.net。这三种写法在各类博客里都能搜到，但它们授权的发信源跟新浪企业邮箱没有关系——记录本身语法正确、查询也有结果，SPF 检测照样是 fail。

如果这个域名还有别的平台在发信，比如营销系统或工单系统，要合并到同一条里：

@    TXT    v=spf1 include:spf.sinamail.sina.com.cn include:spf.other-provider.com -all

根域出现两条 v=spf1，按 RFC 7208 是永久错误。收件方返回 permerror，等于这个域名没有有效策略，比"配得不够全"更糟。

迁移完成后的第一周建议先用 ~all，确认所有合法发信源都被覆盖，再收紧到 -all。

第三步：DKIM 在后台生成，不要抄选择器

新浪的 DKIM 是自助功能，选择器按租户分配，不是全网统一的固定值。路径是企管后台的日常维护 > 反垃圾管理，里面有 DKIM 与 DMARC 的配置入口，页面会给出你这条域名要发布的主机记录和公钥。

记录形态大致是：

<选择器>._domainkey    TXT    v=DKIM1; k=rsa; p=MIIBIjANBg...

两个实操要点：

• 公钥复制时不能带换行。后台把公钥放在一个可滚动的小框里，全选复制很容易把换行符一起带走。带换行的记录能解析，但每封信的签名验证都会失败，而大多数检测工具只会给你一句"记录无效"，不会指出是空白字符的问题。
• 发布完还要在后台启用签名。DNS 记录只是把公钥公开出去，邮件系统要另外点一次"验证"或打开签名开关，才会真的对出站邮件加签。跳过这一步的域名，DKIM 记录查得到，邮件头里却没有 DKIM-Signature。

后台如果提供密钥长度选项，选 2048 位。老租户如果还是 1024 位，建议直接重置一次密钥。

第四步：DMARC

_dmarc    TXT    v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com; fo=1

先跑两到四周监控，再收紧。新浪模板里可能直接给了更严格的策略，在报告里确认所有合法来源都 pass 且对齐之前不要采用。收紧顺序和报告读法见DMARC 配置指南。

可选：品牌登录页与客户端地址

新浪的客户端服务器是固定主机名，海外用户还有一套单独地址：

smtp.sina.net        25 / 465（SSL）
imap.sina.net        143 / 993（SSL）
pop3.sina.net        110 / 995（SSL）
hwsmtp.sina.net      海外 SMTP
hwimap.sina.net      海外 IMAP
hwpop.sina.net       海外 POP3

要做品牌化登录页，把 mail.yourdomain.com 做 CNAME 指向 p.mail.sina.net。国内域名必须先完成 ICP 备案，否则这个地址打不开登录页。另外，开通时赠送的 sinanet.com 二级域名是删不掉的，它是兜底地址，不要拿它当对外发信的主身份。

验证

从新浪邮箱发一封信到 Gmail，看邮件头：

Authentication-Results: mx.google.com;
       spf=pass smtp.mailfrom=yourdomain.com;
       dkim=pass header.i=@yourdomain.com header.s=<选择器>;
       dmarc=pass (p=NONE) header.from=yourdomain.com

三项全 pass 才算完成。

• SPF 失败：先查根域是不是有两条 v=spf1，再核对 include 主机名是否一字不差。
• DKIM 失败：对比邮件头里的 selector 和你发布的是否一致，再检查公钥有没有空白字符。
• SPF 和 DKIM 都过、DMARC 不过：From 域没有对齐，多半是某个平台改写了信封发件人。

用MX 查询、SPF 检测、DKIM 检测分别核对每一条记录。

常见错误

• 只发一条 MX。三条都是服务的一部分，不是主备冗余那么简单。
• SPF 写成 spf.sina.com。正确的是 spf.sinamail.sina.com.cn。
• DKIM 记录发了但没在后台启用，等于没配。
• 接入营销平台后又加一条 SPF，变成两条并存。
• 以为赠送的 sinanet.com 地址可以删掉。删不掉，也不该拿它当主发信身份。

常见问题

为什么两条 MX 优先级一样？

它们是并列的备用网关，不是主备关系。优先级 10 的主机不可达时，发件方按解析返回顺序尝试两条 15 的主机。优先级相同在 DNS 里完全合法，国内早期邮件系统这种布局很常见。

域名放在境外 DNS 可以用新浪企业邮箱吗？

可以，但收信延迟和被过滤的概率会高一些。新浪给境外用户单独准备了 hwsmtp、hwimap、hwpop 三个客户端地址，这只影响客户端连接，不影响 MX 投递路由。

换密钥后 DKIM 选择器会变吗？

可能会。重新生成后，以后台给出的主机记录为准重新发布。不要假设选择器永远不变——旧的记录留在那里，会继续验证旧签名，而对新签名一律判失败。

DMARC 是必须的吗？

收信不靠它，但 Gmail、Yahoo 对批量发信方的要求实际上已经把 DMARC 变成必需项，国内收件方也越来越常检查。最低限度发一条 p=none，报告地址填你真的会看的邮箱。