📧 邮件认证检查
输入域名即可获取 MX、SPF、DMARC、MTA-STS、TLS-RPT 记录并验证。
完全免费
无需注册
服务器处理
无日志 / 数据库
限速
5 种语言
深色模式
📚 邮件认证基础
• SPF: 通过 TXT 声明哪些 IP/主机可代表此域名发邮件
• DKIM: 为消息添加数字签名 — 需要选择器,无法自动检测
• DMARC: SPF/DKIM 之上的策略
• MTA-STS: 接收方声明 TLS 是必需的
• TLS-RPT: TLS 投递失败报告的接收地址
📖 本诊断能告诉你什么
本诊断只查看 DNS，报告 MX、SPF、DMARC、MTA-STS / TLS-RPT 的配置情况。不包含 DKIM——DKIM 公钥必须知道选择器名称才能查询，而选择器无法从 DNS 枚举。另外，即使全部为绿色，也不代表邮件能进入收件箱。决定送达率的主要是发信 IP 与域名的信誉，认证配置只是前提条件。
| 检查项 | 含义 | 未通过时的处理 |
|---|---|---|
| SPF 通过也仍可伪造发件人 | SPF 验证的是信封发件人（Return-Path），完全不看收件人实际看到的 From: 标头。攻击者可以在自己控制的域名上正确配置 SPF，同时把 From: 写成你的公司。仅靠 SPF 无法阻止冒充。 |
堵住这个漏洞的是 DMARC 的对齐（alignment），它要求 From: 的域名与通过 SPF / DKIM 的域名一致。若通过 SaaS 发信，默认 Return-Path 是服务商域名，因此无法对齐。请在该服务的「自定义 Return-Path」或「发信域名认证」设置中，改为 bounce.example.com 这类你自己的子域。 |
| DMARC 一直停留在 p=none | p=none 的含义是「认证失败也什么都别做」。只有「已配置」这个事实，实际上一封伪造邮件都没被拦下。由于记录存在，检查工具会显示绿色，因此很容易被误以为已经处理完毕。 |
用 rua=mailto:… 接收汇总报告，花 2〜4 周把所有合法发信源摸清——营销工具、计费系统、早已遗忘的内部脚本，总会冒出来一些。待它们全部通过认证后，从 p=quarantine; pct=10 起步，逐步提高到 100，最后设为 p=reject。 |
| 一经转发 SPF 必然失效 | 邮件经过邮件列表或自动转发时，发信 IP 会变成转发服务器的地址，SPF 必然失败。这是机制固有的性质，而非配置错误。DKIM 签的是正文与标头，只要转发方不改写就会保留下来。 | 请务必配置 DKIM。DMARC 只要 SPF 与 DKIM 其中之一对齐即可通过，因此有 DKIM 时转发也能维持认证。仅凭 SPF 就升到 p=reject，会导致被转发的邮件被成批拒收。会在主题前加前缀的邮件列表同样会破坏 DKIM，那种情况只能依赖支持 ARC 的接收方。 |
即使是不接收邮件的「仅发送域名」也需要配置。不要让 MX 为空，而应发布 Null MX（0 .，RFC 7505），并声明 v=spf1 -all 与 p=reject，从而明确拒收冒用该域名的垃圾邮件。另一个实务上容易踩的坑是：发信服务商的域名认证按完全一致匹配，认证了 example.com 未必允许从 mail.example.com 发信。本站正是因此导致发信中断，最终统一使用父域名的发件人才得以解决。