邮件送达率优化指南：SPF/DKIM/DMARC 配置与最佳实践

邮件送达率优化指南：SPF/DKIM/DMARC 配置与最佳实践

发送了一封重要的邮件，用户却收不到——这是最令人沮丧的事情之一。据统计，全球约 15-20% 的合法邮件无法到达收件人收件箱。邮件送达率取决于多种因素，其中邮件认证（SPF/DKIM/DMARC）是最基础也最重要的一环。

一、邮件送达基础

邮件被拒的常见原因

未通过 SPF 检查 → 邮件被拒绝
未通过 DKIM 检查 → 邮件被标记为垃圾
未配置 DMARC → 邮件可能被冒充
IP 信誉低 → 邮件被延迟或拒绝
内容触发垃圾邮件规则 → 邮件进入垃圾箱
发送频率异常 → 临时限制发送

邮件送达的生命周期

发送服务器 → SPF 检查 → DKIM 验证 → DMARC 策略 → 内容过滤 → 收件箱/垃圾箱

二、SPF（Sender Policy Framework）

2.1 什么是 SPF

SPF 授权哪些邮件服务器可以代表你的域名发送邮件。收件服务器会检查发件 IP 是否在你的 SPF 记录中。

# SPF 记录格式
example.com.  TXT  "v=spf1 include:spf.mailgun.org include:spf.sendgrid.net ~all"

2.2 SPF 配置示例

# 只使用 Google Workspace 发送
v=spf1 include:_spf.google.com ~all

# 使用 Google Workspace + Mailgun
v=spf1 include:_spf.google.com include:mailgun.org ~all

# 使用自有服务器发送
v=spf1 ip4:192.168.1.0/24 ip4:10.0.0.1 ~all

# 不使用任何邮件服务（建议不发送邮件）
v=spf1 -all

2.3 SPF 限制

• SPF 有 10 次 DNS 查询限制（包括 include 链中的查询）
• 超过 10 次查询会导致 SPF 验证失败（PermError）
• 建议定期检查 SPF 记录是否超限

三、DKIM（DomainKeys Identified Mail）

3.1 什么是 DKIM

DKIM 通过数字签名验证邮件在传输过程中未被篡改。发件服务器对邮件进行签名，收件服务器通过 DNS 获取公钥验证签名。

# DKIM 记录格式
default._domainkey.example.com.  TXT  "v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC..."

3.2 DKIM 配置步骤

步骤 1：生成密钥对

# 使用 OpenSSL 生成 DKIM 密钥
openssl genrsa -out dkim_private.key 2048
openssl rsa -in dkim_private.key -pubout -out dkim_public.key

步骤 2：在 DNS 中添加 DKIM 记录

# 将公钥内容添加到 DNS（去掉换行）
mail._domainkey.example.com.  TXT  "v=DKIM1; k=rsa; p=公钥内容"

步骤 3：配置邮件服务器

# Postfix 配置
dkim_sign_domain = example.com
dkim_key_file = /etc/opendkim/keys/example.com/mail.private
dkim_selector = mail

3.3 常见 DKIM 问题

• 密钥长度不足：建议使用 1024 位或 2048 位 RSA 密钥
• 选择器冲突：不同邮件服务使用不同的选择器（如 google._domainkey、mailgun._domainkey）
• DNS 未传播：新添加的记录需要等待 DNS 传播

四、DMARC（Domain-based Message Authentication, Reporting & Conformance）

4.1 什么是 DMARC

DMARC 告诉收件服务器，如果邮件未通过 SPF 或 DKIM 验证应该怎么做。

# DMARC 记录格式
_dmarc.example.com.  TXT  "v=DMARC1; p=none; rua=mailto:[email protected]"

4.2 DMARC 策略

4.3 DMARC 部署流程

第 1 阶段：p=none（仅监控，持续 2-4 周）
  → 收集报告，了解所有发件来源
  → 确保所有合法的发件源都通过 SPF/DKIM

第 2 阶段：p=quarantine（标记可疑邮件，持续 2-4 周）
  → 监控误报情况
  → 调整 SPF/DKIM 配置

第 3 阶段：p=reject（拒绝未验证邮件）
  → 定期检查 DMARC 报告
  → 确保新增加的发件源已配置认证

# 完整 DMARC 记录示例
_dmarc.example.com.  TXT  "v=DMARC1; p=reject; sp=reject; adkim=s; aspf=s; rua=mailto:[email protected]; ruf=mailto:[email protected]; pct=100; rf=afrf; ri=86400"

五、其他影响送达率的因素

5.1 IP 信誉

• 新 IP 需要"预热"：从少量邮件开始，逐步增加发送量
• 避免 IP 被列入黑名单（定期检查）
• 发送量大的邮件服务建议使用专用 IP

5.2 邮件内容

<!-- 避免触发垃圾邮件过滤器的做法 -->
✅ 纯文本和 HTML 混合发送
✅ 合理的文本/图片比例（建议 60:40）
✅ 包含退订链接
✅ 使用真实发件人名称
✅ 个性化内容

❌ 全大写标题
❌ 过多的感叹号（!!!）
❌ 使用免费邮箱作为发件人（@gmail.com）
❌ 过多使用营销词汇（免费、促销、限时）
❌ 隐藏文字或图片

5.3 发送频率

• 保持稳定的发送频率，避免突然大量发送
• 逐步增加发送量，让 ISP 适应你的发送模式
• 监控退信率（Bounce Rate），控制在 2% 以下

5.4 列表卫生

• 定期清理无效邮箱地址
• 处理退订请求（48 小时内处理）
• 不要购买邮件列表
• 使用双确认（Double Opt-in）收集订阅

六、监控工具

七、总结

邮件送达率的提升是一个持续优化的过程。SPF、DKIM、DMARC 是必须的基础配置，缺一不可。在此基础上，保持 IP 和域名信誉、优化邮件内容和发送策略、定期清理列表，才能确保邮件稳定到达用户收件箱。建议从部署 DMARC 的 p=none 策略开始，逐步过渡到 p=reject，确保在加强安全的同时不影响正常发信。