站上发了验证邮件、找回密码邮件，用户说没收到。你去后台看，邮件确实发出去了，状态是成功。这种情况九成不是邮件服务器的问题，是收件方不信任你的域名。SPF、DKIM、DMARC 这三样，就是用来证明“这封邮件确实是我发的”。
邮件为什么会被判成垃圾
收件服务器判断一封邮件可不可信，看几件事：发信域名有没有授权这台服务器发信、邮件内容有没有被篡改、这个域名的历史信誉怎么样。
如果这三样都没配置，收件方只能凭经验猜。新域名没信誉，直接进垃圾箱；老域名偶尔发营销邮件，也可能被降权。
最常见的表现是发出去的邮件石沉大海。发送方的日志显示 250 成功，但那只是“我收下了”，不代表“我放进收件箱了”。
要解决就得主动声明：我授权哪些服务器用我的域名发信，我的邮件带签名，我告诉你不合规的邮件该怎么处理。这就是三条记录的作用。
SPF 到底在说什么
SPF 是一条 DNS 记录，内容是“允许哪些 IP 或服务器用我这个域名发邮件”。收件方收到邮件后，检查发信服务器的 IP 在不在这个列表里。
写法大概是 v=spf1 加几个来源，最后跟一个 all。all 前面的符号决定策略：加号是通过，减号是硬失败，波浪号是软失败，问号是不表态。
新手最容易犯的错是把 all 写成加号，意思是“所有服务器都允许”，等于没配。正确做法是先写波浪号观察一段时间，确认没有漏掉的来源，再改成减号。
一个域名只能有一条 SPF 记录。如果你同时用了两个邮件服务商，要把两家的来源写进同一条记录里，别写两条，写两条会直接失效。
还有，SPF 有十次查询的限制。记录里引用太多别的域名会超限，超了就不生效。用在线工具查一次，它会告诉你当前用了几次。
DKIM 是给邮件盖章
DKIM 用一对密钥给邮件签名。私钥放在你的发信服务器上，公钥以 DNS 记录的形式公布出去。收件方用公钥验签，验证邮件在传输过程中没被改过。
配置步骤：先在邮件服务商后台生成密钥对，把公钥按它给的格式加到 DNS 里，记录名一般是 选择器._domainkey.你的域名。私钥配到发信服务里。
选择器这个名字可以自己定，常见的是 default 或者 mail。关键是 DNS 记录名和发信配置里的选择器要一致，不一致验签就失败。
公钥那串字符很长，复制的时候容易断行。加 DNS 记录前先确认完整，一般用 TXT 记录，值里带 p= 开头的那段。
验证方法很简单：给自己发一封邮件，在收到的邮件头里找 DKIM-Signature，看结果是 pass 还是 fail。fail 就回头检查选择器和 DNS 记录。
DMARC 是总开关
DMARC 建立在前两个之上。它告诉收件方：如果 SPF 和 DKIM 都不过，你该怎么处理这封邮件。
记录名固定是 _dmarc.你的域名。内容包含三部分：策略 p、报告地址 rua、对齐方式 adkim 和 aspf。
策略 p 有三个值：none 只报告不处理，quarantine 放进垃圾箱，reject 直接拒收。新手一定从 none 开始，观察报告，确认自己所有合法来源都通过了，再逐步升级。
报告地址 rua 是收报告的地方，格式是 mailto:你的邮箱。每天会收到 XML 格式的报告，里面列了哪些 IP 用你的域名发过信、通过没通过。这个报告非常有价值，能发现有人冒用你的域名。
对齐方式决定 SPF 和 DKIM 验证的域名必须和 From 域名一致到什么程度。严格模式要求完全一致，宽松模式允许子域名。多数场景用默认的宽松就行。
从 none 直接跳到 reject 是最常见的翻车方式。一升级，所有没配好的合法来源全被拒，用户收不到验证邮件，你还不知道原因。
配置顺序和验证方法
顺序是 SPF 先配，因为最简单，配上立刻见效；然后 DKIM，需要生成密钥；最后 DMARC，因为它依赖前两个的结果。
每一步配完都要验证，别一口气全配完再看。用在线检测工具查一次，它会把你域名的三条记录都列出来，标出哪里有问题。
最可靠的验证是实际发信。给自己几个不同邮箱各发一封，Gmail、QQ、163 各一个，然后看邮件头里的三个验证结果。
三个都 pass 才算配好。有一个 fail 就说明那一条还有问题，别看整体进了收件箱就以为没事，可能是运气好。
DNS 生效有延迟，改完等十几分钟再测。有些人改完立刻测，看到还是旧值就以为没生效，反复改，最后把自己搞乱。
送达率还有哪些影响因素
内容本身也会被判。标题全是感叹号、正文全是链接、图片多文字少，这些特征和垃圾邮件高度相似。
发信频率也有关。突然从一天十封涨到一天一万封，收件方会警觉。要做量就慢慢加，别一次冲上去。
退信率很关键。发出去的邮件大量退信，说明你的收件人列表质量差，信誉会掉。定期清理无效地址。
用户投诉更致命。有人点了“举报垃圾邮件”，你的域名信誉会受重创。所以发信前一定要确认对方同意接收，别买名单群发。
还有 IP 信誉。共享 IP 的情况下，同 IP 上别人乱发，你也会被牵连。有条件的话用独立 IP。
日常要盯的几个指标
第一个是 DMARC 报告里的失败率。每天都失败很多，说明有人在冒用你的域名，或者你有来源没配进 SPF。
第二个是进箱率。抽样发到几个主流邮箱，看进收件箱还是垃圾箱。这个要定期做，平台规则会变。
第三个是退信率。超过百分之五就要清理列表了。
第四个是打开率。打开率突然掉一半，多半是被判垃圾了，赶紧查配置有没有被改。
这些指标不用天天看，每周扫一眼就够。有异常才深入查，平时不用盯。
最常见的几个坑
第一条，SPF 写了两条记录。前面说过只能有一条，多条的后果是直接不生效，而且很多检测工具不会明确提示。
第二条，DKIM 私钥配错。表现是签名验证 fail，但 SPF 通过，整体还能进箱，所以不容易发现。要单独看 DKIM 的结果。
第三条，DMARC 直接上 reject。这个前面说过，是最容易把业务搞挂的操作。
第四条，只配了主域名，忘了子域名。如果你用 mail.你的域名 发信，子域名也要单独配，或者用 DMARC 的 sp 参数统一策略。
