## 问题背景

企业邮件系统迁移时，“邮件发不出去”和“邮件全进垃圾箱”经常被混在一起反馈。业务侧看到的是发送失败、客户端报错或收件人没收到，但根因可能完全不同：有的是收件路由问题，有的是发信身份认证问题，还有的是发信 IP、端口或中继配置问题。

近期处理一个子公司域名接入腾讯云企业邮箱的案例时，最初也有人建议“先查MX，再查DMARC”。这个顺序容易误导。MX记录主要决定入站邮件投递路径，也就是别人往你的域名发信、回信时应该投递到哪台邮件服务器；外发投递时，发件方查询的是收件域的MX。发件域MX缺失或错误，不会直接导致外发失败。DMARC缺失本身也不会直接导致外发失败，只有DMARC策略与SPF/DKIM对齐失败时，才可能引发拒收、隔离或降级。

因此，排查首先要分方向：是收不到邮件、回信失败，还是外发退信、进垃圾箱。前者重点看入站MX路由，后者重点看SPF、DKIM、DMARC、PTR/HELO、IP信誉、25端口或中继配置。本文按这两条链路复盘一次可复现的排查与配置过程。

## 环境与约束

本次场景包含两类发信方式：

- 域名接入腾讯云企业邮箱，员工通过企业邮箱收发邮件。
- 部分业务应用通过SMTP调用企业邮箱代发，另有测试环境自建Postfix用于对比验证。
- 域名解析托管在DNSPod，操作者具备域名DNS解析修改权限和腾讯云控制台相关读写权限。
- 测试收件方包括QQ邮箱、网易邮箱、Gmail等，用于观察不同收件方的认证结果和退信反馈。

需要提前说明几个约束：

1. 不同邮件服务商对MX、SPF、DKIM、DMARC记录值的要求不同。腾讯云企业邮箱的MX、SPF记录值也可能随产品版本、地域或控制台指引变化，操作前应以腾讯云官方文档、控制台提示和工单确认为准，不要直接照抄博客或历史配置。
2. 自建MTA发信时，需要关注公网IP、PTR反向解析、HELO域名、IP信誉和出方向端口。腾讯云CVM出方向25端口在部分地域或账号下可能受限，是否默认封闭、如何申请解封、安全组如何放行，需以腾讯云官方文档和工单确认为准；也可以评估465/587端口或邮件中继方案。
3. DNS修改存在TTL缓存，验证时要考虑生效时间。生产域名不建议一次性全量切换，应保留旧记录并灰度观察。

## 排查/方案设计

建议把排查拆成两条链路，避免把MX和外发认证混在一起。

### 链路A：入站MX路由

适用场景：外部用户发信到你的域名失败、回信失败、部分子域名收不到邮件、MX查询结果异常。

检查顺序：

1. 确认收件域名和子域名是否一致，是否存在子域独立收信需求。
2. 执行MX记录查询，确认记录是否存在、优先级是否合理、目标主机是否为邮件服务商要求的值。
3. 对照腾讯云企业邮箱官方文档或工单确认记录值，检查是否误删、误改或残留旧邮件网关记录。
4. 检查DNS解析状态和TTL，观察修改后是否生效。

这条链路解决的是“邮件往哪里投”的问题，不应用来判断外发为什么退信。

### 链路B：出站SPF/DKIM/DMARC认证

适用场景：外发退信、进入垃圾箱、邮件头显示SPF/DKIM/DMARC失败、第三方代发平台邮件被拒收。

检查顺序：

1. 先看退信码和SMTP响应，确认是认证失败、策略拒收、连接超时、端口不通，还是收件方限流。
2. 确认实际发信路径：企业邮箱代发、自建MTA直连、第三方营销平台代发，还是多路径混用。
3. 检查SPF是否只有一条记录、语法是否正确、是否包含全部实际发信源，查询次数是否可能超限。
4. 检查DKIM选择器是否已发布、签名域名是否与发件域对齐、邮件转发是否破坏签名。
5. 执行DMARC检查，确认`_dmarc`记录是否存在、策略是否过严、对齐方式是否覆盖现有发信源。
6. 检查PTR/HELO、IP信誉、25端口出方向、安全组和中继配置。

外发时查的是收件域MX，不是发件域MX。发件域MX缺失不会直接造成外发失败，这一点需要在排障时明确，否则容易改错记录。

## 实施步骤

### 步骤一：先收集退信和邮件头

不要急着改DNS。先收集退信邮件、收件方、退信码、邮件头中的`Authentication-Results`，以及是否所有收件方都失败。若只有Gmail失败、QQ正常，可能是策略或信誉差异；若所有外部域都失败，优先看连接、端口、中继和认证配置。

### 步骤二：入站MX记录查询与核对

登录DNSPod控制台，查看对应域名的MX记录。主机记录通常为`@`，也可能是独立子域。确认优先级和目标邮件服务器域名。腾讯云企业邮箱常见记录可能包含`mxbiz1.qq.com`等值，但应以官方文档和控制台指引为准。迁移期间不要急于删除旧MX，可先保留旧记录并调整优先级做灰度。

### 步骤三：出站SPF配置与核对

在DNS中添加或修正TXT记录，主机记录为`@`。若仅使用腾讯云企业邮箱发信，SPF示例可参考：

```text
v=spf1 include:spf.mail.qq.com ~all
```

其中`include`值需以腾讯云官方文档为准。如果还有自建服务器IP，可追加`ip4:1.2.3.4`。注意不要出现多条SPF TXT记录。`~all`是软失败，适合作为过渡策略；确认所有合法发信源都已覆盖后，再评估是否使用`-all`。不要一开始就把`~all`当成“严格限制”，它并不是最严格策略。

### 步骤四：DKIM配置与核对

企业邮箱代发场景，按控制台指引开启DKIM并发布选择器记录。自建Postfix场景，可使用OpenDKIM等方案生成密钥并发布公钥TXT记录。检查时确认选择器名称、域名和邮件头中的`d=`、`s=`是否匹配。邮件转发可能修改内容并破坏DKIM签名，这属于正常现象，需要结合DMARC对齐和转发场景评估。

### 步骤五：DMARC检查与渐进策略

添加TXT记录，主机记录为`_dmarc`。初期建议使用监控模式：

```text
v=DMARC1; p=none; rua=mailto:dmarc-reports@example.com
```

`p=none`不会直接拦截邮件，主要用于收集报告和观察SPF/DKIM对齐情况。确认发信源完整后，再逐步从`p=none`过渡到`p=quarantine`，最后评估`p=reject`。要区分“DMARC记录缺失”和“DMARC策略失败”：缺失记录本身不会直接导致外发失败，但策略与对齐失败可能引发拒收或降级。

### 步骤六：检查发信基础设施

自建MTA需检查PTR反向解析是否与HELO域名一致，公网IP是否被列入常见黑名单，出方向25端口是否可用。腾讯云CVM的25端口限制、安全组放行和解封流程，以官方文档和工单确认为准。若25端口不可用，可评估465/587端口提交或通过邮件中继发送。企业邮箱官方集群代发场景，客户侧通常不需要自行开放25端口，但仍需确认应用调用参数和授权配置。

## 关键配置或代码

以下命令用于快速做MX记录查询、DMARC检查和DKIM选择器检查。示例值仅用于说明格式，实际以服务商文档为准。

```bash
# 查询发件域或收件域的MX记录；外发排查时应查收件域
dig MX example.com +short

# 示例输出（仅示意）：
# 10 mxbiz1.qq.com.
# 20 mxbiz2.qq.com.

# 查询SPF TXT记录
dig TXT example.com +short

# 示例输出（仅示意）：
# "v=spf1 include:spf.mail.qq.com ~all"

# 查询DMARC记录
dig TXT _dmarc.example.com +short

# 示例输出（仅示意）：
# "v=DMARC1; p=none; rua=mailto:dmarc-reports@example.com"

# 查询DKIM选择器记录，selector需替换为实际选择器
dig TXT selector._domainkey.example.com +short

# 查询发信IP的PTR记录
dig -x 203.0.113.10 +short
```

如果使用`nslookup`，也可以分别查询MX和TXT记录。验证时注意本地DNS缓存和权威DNS的TTL差异。对于SPF查询次数、语法和多记录冲突，可结合服务商工具或自建脚本检查，但不要把第三方评分当作唯一结论。

## 验证与效果

配置完成后先做小范围验证，不要直接全员推广。

1. 入站验证：从外部邮箱向目标域名发信，确认MX路由正常，回信也能到达。
2. 出站验证：向QQ邮箱、网易邮箱、Gmail分别发送测试邮件，查看邮件头中的`Authentication-Results`，重点关注`spf=pass`、`dkim=pass`、`dmarc=pass`。不同收件方展示格式不同，以实际邮件头为准。
3. 退信对比：记录修改前后的退信码和SMTP响应。若从连接失败变为认证通过，或从策略拒收变为正常投递，说明方向正确；若仍失败，应继续看IP信誉、内容策略或收件方限流。
4. DMARC报告：配置`rua`后，观察指定邮箱是否收到聚合报告，用报告分析哪些发信源未对齐。报告有延迟，不能立即作为唯一判断依据。
5. 第三方工具：Mail-Tester等工具可作为辅助，观察SPF、DKIM、DMARC检查结果，但不同工具规则不同，不能承诺“评分高就一定进收件箱”。

效果受收件方策略、IP信誉、邮件内容和发送频率影响。DNS配置正确只是必要条件之一，不是所有退信问题的万能解。

## 风险和避坑

1. **不要把MX当成外发核心机制**。MX影响入站投递和回信；外发退信重点排查SPF、DKIM、DMARC、PTR/HELO、IP信誉、25端口或中继配置。发件域MX缺失不会直接造成外发失败。
2. **不要混淆DMARC缺失与DMARC策略失败**。缺失记录本身不会直接导致外发失败；策略和对齐失败才可能引发拒收或降级。`p=none`是监控模式，不是修复SPF/DKIM问题的替代方案。
3. **SPF不要配置多条记录**。多个SPF TXT记录可能导致验证异常。`include`过多还可能触发查询次数超限，建议定期梳理发信源。
4. **`~all`不是最严格策略**。它是软失败，适合过渡；确认合法发信源完整后，再考虑`-all`。
5. **DMARC策略不要一刀切**。刚配置完就使用`p=reject`，可能误伤第三方代发、营销平台或子域业务。建议按`none -> quarantine -> reject`渐进推进，并关注子域名继承。
6. **腾讯云相关能力和记录值以官方文档、控制台和工单为准**。CVM 25端口、安全组、企业邮箱MX/SPF值、解封流程都可能受地域、账号权限、产品版本影响，不要照抄历史配置。
7. **注意TXT长度和API导入**。SPF或DKIM公钥较长时，需关注255字符分段和API导入格式，避免记录被截断。
8. **保留灰度与回滚**。修改MX、SPF、DMARC前记录旧值，保留回滚方案，观察TTL生效后再扩大范围。

## 可扩展方向

基础记录配置稳定后，可以继续做自动化巡检：通过DNS API定期执行MX记录查询和DMARC检查，发现记录被误删或篡改时触发告警。也可以把邮件网关或Postfix日志接入日志服务，分析退信码和认证失败原因，形成主动运维。

对品牌展示有需求的团队，可在DMARC达到较严格策略且DKIM对齐稳定后评估BIMI，但需确认收件方支持和证书要求。还可以关注MTA-STS、TLS-RPT等邮件传输安全机制，以及SPF扁平化、第三方代发平台授权和多子域统一治理。所有扩展动作都应先确认腾讯云官方文档、账号权限和地域限制，再在生产环境灰度验证。

## 总结

邮件退信和进垃圾箱不是单一[DNS记录](https://toolsbar.cn/tools/site-check?utm_source=tencentclaud) 问题。更可靠的排查方式是先分链路：入站看MX路由，出站看SPF、DKIM、DMARC认证，以及PTR/HELO、IP信誉、端口和中继。MX记录查询用于确认收件路径，DMARC检查用于观察策略与对齐；不要把MX缺失误判为外发失败的直接原因，也不要把DMARC缺失等同于必然退信。

实施时以腾讯云官方文档和工单确认为准，记录值不要照抄，策略不要一步到位。先收集退信和邮件头，再小范围修改、验证、观察报告，最后扩大范围。邮件服务器配置牵涉DNS、协议和发信基础设施，保持灰度、保留回滚，比一次性“全改完”更稳妥。

企业邮件系统迁移时，“邮件发不出去”和“邮件全进垃圾箱”经常被混在一起反馈。业务侧看到的是发送失败、客户端报错或收件人没收到，但根因可能完全不同：有的是收件路由问题，有的是发信身份认证问题，还有的是发信 IP、端口或中继配置问题。

邮件退信别急着改MX：入站路由与出站SPF/DKIM/DMARC排查复盘

邮件退信和进垃圾箱不是单一DNS记录问题。更可靠的排查方式是先分链路：入站看MX路由，出站看SPF、DKIM、DMARC认证，以及PTR/HELO、IP信誉、端口和中继。MX记录查询用于确认收件路径，DMARC检查用于观察策略与对齐；不要把MX缺失误判为外发失败的直接原因，也不要把DMARC缺失等同于必然退信。

云计算

排查企业邮箱迁移问题应先分方向：入站收信失败查MX路由，出站退信或进垃圾箱重点查SPF、DKIM、DMARC、PTR/HELO及IP信誉。发件域MX缺失不导致外发失败，DMARC缺失同理，只有策略与对齐失败才触发拒收。配置时以官方文档为准，DNS记录勿照抄，采用none至quarantine渐进策略，保留旧记录灰度验证并收集邮件头反馈。

日志服务

代码解释

服务器

路由

DNS解析新购特惠59元起，续费优惠低至5.3折！

让每一个 Agent，都跑在云上

热销域名限时优惠，新客首年免费！


domain

4核4G3M云服务器 新用户低至38元/年！

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

排查企业邮箱迁移问题应先分方向：入站收信失败查MX路由，出站退信或进垃圾箱重点查SPF、DKIM、DMARC、PTR/HELO及IP信誉。发件域MX缺失不导致外发失败，DMARC缺失同理，只有策略与对齐失败才触发拒收。配置时以官方文档为准，DNS记录勿照抄，采用none至quarantine渐进策略，保留旧记录灰度验证...

邮件退信别急着改MX：入站路由与出站SPF/DKIM/DMARC排查复盘-腾讯云开发者社区-腾讯云

邮件退信别急着改MX：入站路由与出站SPF/DKIM/DMARC排查复盘

邮件退信别急着改MX：入站路由与出站SPF/DKIM/DMARC排查复盘

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐