腾讯企业邮（企业微信邮箱）SPF、DKIM 与 DMARC 配置

腾讯企业邮现在叫企业微信邮箱，是国内自有域名 name@公司域名 最常用的方案。它和腾讯云 SES（邮件推送）完全是两个产品：SES 只有发信 API、没有收件箱，MX 和 SPF 记录也完全不同，而且注册给企业邮的域名根本不能再加进 SES。把两者的记录混用，是这一块最常见的事故来源。

本文只讲企业邮本身：四条记录，顺序是 MX → SPF → DKIM → DMARC。

开始之前

• 企业微信管理后台的管理员权限，且已开通至少一个邮箱账号（试用也可以）。
• 域名已在协作 > 邮件 > 邮箱域名里添加，状态显示为使用中。域名没绑定就先去发记录，验证永远不会通过——后台根本没在看那几条记录。
• 真正承载解析的那个后台的写权限：DNSPod、阿里云 DNS、Cloudflare，或域名注册商面板。先确认 NS 指向谁，再动手。
• 想清楚还有谁在用你的域名发信：ERP、CRM、官网留言表单、短信/邮件 API。这些最后都必须并进同一条 SPF。

第一步：MX 只留腾讯这两条

@   MX   5    mxbiz1.qq.com
@   MX   10   mxbiz2.qq.com

数字小的优先，所以 mxbiz1 先收，mxbiz2 兜底。两条都要有，只配一条等于自己制造单点故障，出问题时腾讯也无法帮你切流。

最容易吃掉一整天的问题：迁移完没删旧 MX。旧服务商的记录还在，部分发信方就会继续往旧邮箱投递，表现是"有的人能收到、有的人收不到"，而你在新后台里怎么查都正常。腾讯的要求是只保留这两条。但在删之前先确认旧 MX 上没有还在用的历史地址——很多公司把 finance@ 这种只收不发的邮箱留在了旧服务上。

改完先查一遍再往下走：

dig MX yourdomain.com +short
nslookup -type=mx yourdomain.com

第二步：SPF 用 include:spf.mail.qq.com

v=spf1 include:spf.mail.qq.com ~all

已经有 SPF 的（比如同时用 Google Workspace、Microsoft 365、某个电商平台），不要新增第二条。同域名下两条 v=spf1 会直接导致 permerror，收件方按 SPF 失败处理，比没有记录更糟。正确做法是把 include 并进原来那条：

v=spf1 include:spf.mail.qq.com include:_spf.google.com include:spf.protection.outlook.com ~all

在还没摸清全部发信源之前，结尾用 ~all 而不是 -all。软失败只是标记不匹配，不会拒信，于是被遗忘的发信方会出现在 DMARC 报告里，而不是悄悄退信。等报告连续一个月干净了，再收紧成 -all。

这里最常见的错值：include:qcloudmail.com 属于腾讯云 SES，授权的是邮件推送的发信集群，不是企业邮的邮箱服务器。企业邮域名用这个 include，等于自家员工发的信全部 SPF 失败。

第三步：DKIM 必须在后台生成

企业邮支持 DKIM，但不生成就没有密钥。selector 不是固定的，网上抄不到，每个域名各自一套。

1. 进企业微信管理后台：协作 > 邮件 > 安全管理 > DKIM 验证 > 配置。
2. 选中域名，选择密钥长度。选 2048 位；只有 DNS 服务商拒收长 TXT 值时才退到 1024 位，并且把它当临时妥协而不是终点。
3. 后台会给出主机记录（形如 dkim._domainkey 或一串数字 selector）和以 v=DKIM1; k=rsa; p= 开头的 TXT 值。两个都照抄：大小写敏感，复制时混进的空格会让整把密钥解析失败。
4. 到 DNS 后台按这个主机记录发布 TXT。
5. 回后台点已完成配置，立即验证，状态变成已验证才算生效。停在"验证中"时，腾讯不会用这把密钥签名。

多个域名就要多套密钥、多条记录，一条记录救不了第二个域名。

不要只信后台的绿勾，自己查一次：

dig TXT dkim._domainkey.yourdomain.com +short

再发一封真实邮件看邮件头，确认 dkim=pass header.d=yourdomain.com。如果显示的是 d=qq.com，说明用的是腾讯自己的域名签名，DMARC 对齐不会通过——这种情况通常是域名没绑定成功或 DKIM 没真正启用。

第四步：DMARC

在 _dmarc.yourdomain.com 发布 TXT：

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com; fo=1

腾讯文档里的模板把 rua 指向 mailauth-reports@qq.com。那是发给腾讯的，不是发给你的——只想要腾讯的汇总可以用，但想看"到底是哪个第三方在破坏对齐"，必须换成自己的邮箱。收报告后用 DMARC 报告分析器读。

p=none 至少跑两周，再改 p=quarantine，最后才到 p=reject。域名上只要还有一个没认证的发信源——官网留言表单、老 OA 的扫描件通知——直接上 reject 就是把这些真实业务邮件静默丢掉，而且退信还发不到你手上。

验证整套配置

从企业邮账号发一封信到你自己控制的 Gmail，点显示原始邮件，三个 pass 才算完成：

spf=pass (spf.mail.qq.com designates <发信 IP> as permitted)
dkim=pass header.d=yourdomain.com
dmarc=pass (p=NONE) header.from=yourdomain.com

发布侧用 SPF 检测、DKIM 检测、DMARC 查询、MX 查询交叉核对。如果信能收到却进垃圾箱，认证多半没问题，别再改 DNS，先按邮件为什么进垃圾箱排查内容和信誉。

常见错误

• 把企业邮和腾讯云 SES 搞混。MX、SPF、域名归属全都不一样。要做发信 API，看腾讯云 SES 那篇。
• 迁移后留着旧 MX，然后反复排查"邮件投递到了错误的邮箱"。
• 第一天就上 -all，把官网表单通知和自己的监控邮件全拒了。
• DKIM 记录发了但没点验证，后台一直显示未验证，所有邮件裸奔。
• DKIM 值带换行粘贴。DNS 能存，密钥解析成乱码，验证工具只会告诉你"无效"，不会告诉你为什么。

常见问题

同一个域名能同时给企业邮和腾讯云 SES 用吗？

同一个主机名不行。注册给企业邮的域名无法再添加为 SES 的发信域名。给 SES 开 mail.yourdomain.com 这类子域，主域留给企业邮，SPF 和 DKIM 分别发在子域上。

企业邮的 DKIM 是 2048 位吗？

生成时选 2048 位就是。1024 位仍然可选，是为了兼容老 DNS 面板，但密钥强度已经偏弱，部分收件方会降低签名权重。

DKIM 一直显示验证中怎么办？

按顺序查三件事：主机记录有没有多写域名后缀；TXT 值里有没有复制进来的空格；你改的 DNS 后台是不是这个域名真正的权威服务器。域名 NS 早就转到 Cloudflare、却还在注册商面板加记录，是最典型的一种。

SPF 和 DKIM 都过了，还需要 DMARC 吗？

需要。SPF 和 DKIM 只是证据，DMARC 才是让收件方按证据行动的策略，同时把认证域和用户看到的 From 域对齐，并给你伪造尝试的报告。没有 DMARC，别人伪造你域名的信照样能投出去。