SPF/DKIM/DMARC邮件记录检测生成工具

这个工具能检测什么

检测项	回答的问题	常见问题
SPF	哪些服务器有权用你的域名发信	多条记录冲突、查询次数超过 10 次、末尾写成 +all、用了已废弃的 ptr
DKIM	邮件内容有没有被中途篡改	没配置、公钥只有 1024 位、密钥已吊销（p= 为空）、处于 t=y 测试模式
DMARC	前两项对不上时怎么处理、报告发给谁	没配置、停在 p=none、没填 rua 收不到报告、外部报告地址未授权、pct 不是 100
基础配置	这个域名到底发不发信、有没有记录冲突	没有 MX、同一域名有多条 SPF/S 多条 DMARC
发信 IP 评估（选填）	我现在的服务器 IP 能不能过 SPF	IP 不在授权范围，邮件被判为伪造

三条记录分别管什么

用一个寄快递的场景来理解：

• SPF —— 相当于「备案过的寄件网点名单」。收件方拿到寄件人的 IP，比对这份名单：名单里有，说明这封信确实是从你家网点寄出的。它管的是从哪里寄。
• DKIM —— 相当于「封口处的防伪印章」。寄出前用私钥盖一个章，收件方用 DNS 里的公钥验章：没被拆过，说明内容没被改过。它的好处是跟 IP 无关，所以邮件被转发、经邮件列表中转之后依然有效。
• DMARC —— 相当于「门卫处理规则」。它规定：上面两项都没验证通过时，这封信是扔掉（reject）、放垃圾箱（quarantine）还是照常放进去（none），以及把每天的统计报表发到哪个邮箱。没有 DMARC，前两项即使配了也没有统一裁决。

三者是递进关系：SPF 与 DKIM 负责「证明」，DMARC 负责「裁决」。只配其中一两条，都能被绕开 —— 比如只配 SPF，攻击者改用别的 IP 发信，SPF 失败但没有任何惩罚；只配 DKIM 而不配 DMARC，同样没人执行。

不配会有什么后果

从 2024 年 2 月起，Gmail 与 Yahoo 对邮件身份验证提出了明确要求，随后 Microsoft（Outlook / Hotmail）也跟进：

• 批量发件人（每天向 Gmail 投递 5000 封以上）：必须同时配置 SPF 与 DKIM，必须有 DMARC 记录（最低 p=none），必须支持一键退订，垃圾邮件投诉率必须低于 0.3%。不满足的直接降级或拒收。
• 非批量发件人（绝大多数外贸站、企业站）：至少要配好 SPF 或 DKIM 其中之一，否则来自该域名的邮件会被统一标记为可疑。

对做外贸的网站来说，这直接影响的是询盘：网站表单通知、报价单、订单确认、开发信，全都走邮件。配置不全的常见表现是：自己发出去没问题，客户的回复却收不到；或者客服邮箱发的报价单整批进了对方的垃圾箱，双方都以为对方没处理。

最常见的六个配置错误

现象	真实原因	怎么改
配了 SPF 反而收不到信	同一域名下有两条 SPF 记录（换服务商时忘了删旧的），RFC 规定多条一律 permerror	合并成一条，把两边的 include 串起来，删掉多余记录
SPF 记录看起来没问题但一直失败	include 层层嵌套，DNS 查询次数超过 10 次上限，直接 permerror	展开查询明细，把占比最大的 include 换成 ip4: 写死的网段
DMARC 配了却一直收不到报告	rua 用了外部域名（如 dmarcian、vali.email），但对方没做 _report._dmarc 授权	按工具提示的完整记录名补一条 TXT：v=DMARC1
DMARC 显示 p=none，形同虚设	只做了监控没有收紧策略，伪造邮件照样进收件箱	看 1–2 周报告确认无误后，升到 quarantine，再到 reject
DKIM 记录存在但验签总是失败	公钥只有 1024 位，或复制时被截断 / 密钥已被吊销（p= 为空）	重新生成 2048 位密钥；2048 位记录约 400 字符，注意别复制不全
只有子域名配了记录	主域没配，攻击者改用主域伪造；或 sp= 比 p= 更宽松	主域也要配 DMARC，sp= 至少与 p= 同级

记录怎么加（各平台路径）

三条记录都是 TXT 类型，只是「主机记录」和「记录值」不同。以下是国内常用三家的路径：

平台	路径	注意
阿里云 DNS	云解析 DNS → 域名 → 解析设置 → 添加记录	主机记录填 @ 表示根域名；_dmarc、mail._domainkey 直接原样填
腾讯云 DNSPod	DNS 解析 → 我的域名 → 记录管理 → 添加记录	记录类型选 TXT；记录值里的引号不用自己加，面板会自动处理
Cloudflare	DNS → Records → Add record	类型选 TXT；Name 填 @ 或 _dmarc；TTL 选 Auto 即可

加完记录后建议等 10 分钟左右让解析生效，再回到本页重新检测一次。DNS 生效时间取决于原有 TTL，一般不超过 1 小时。

评分怎么算

维度	满分	得分要点
SPF	35	存在记录 12｜只有一条 5｜语法正确 5｜查询次数未超限 5｜末尾 -all 得 8（~all 得 5，?all 得 2）
DKIM	25	找到可用公钥 12｜密钥 ≥2048 位得 8（1024 位得 4）｜无严重问题 5
DMARC	30	存在记录 12｜p=reject 得 10（quarantine 得 7，none 得 2）｜配了 rua 得 4｜pct=100 得 2｜sp 不弱于 p 得 2
基础配置	10	有 MX 记录 4｜记录无冲突 3｜外部报告地址已授权 3

等级对照：A ≥ 90 优秀 · B ≥ 75 良好 · C ≥ 60 及格 · D < 60 待改进。缺 DMARC 时总分封顶 45 分（SPF 与 DKIM 再整齐，没有统一裁决也不成立）；三条记录一条都没有时封顶 20 分 —— 避免靠「记录整齐」刷出虚高的分数。

常见问题

为什么大公司的域名检测出来分数也很低？

因为很多大型机构的主域名只用于收信，真正的发信走的是独立子域（例如 mail.example.com、news.example.com）。本工具检测的是你填入的那个域名本身。判断标准很简单：你用哪个域名发信，就检测哪个域名。如果你只用 info@你的域名 发询盘回复，那这个域名的 SPF 就必须配好。

检测会不会影响我的邮件正常发送？

不会。本工具只做 DNS 查询，读取的是任何人在浏览器里都能查到的公开记录类型，不投递邮件、不连接邮件服务器、不修改任何配置。

三条记录必须一次配齐吗？

不需要，但建议按 SPF → DKIM → DMARC 的顺序推进。SPF 最容易配，也最先见效；DKIM 需要在邮件服务商后台开启签名后再把公钥加到 DNS；DMARC 建议先用 p=none 跑一两周，看清有哪些合法发信源之后，再逐级收紧到 reject。

DMARC 直接设成 p=reject 不是更安全吗？

风险在于误伤。一旦设成 reject，所有没通过验证的邮件都会被拒收 —— 包括你可能忘记声明的第三方发信通道（网站表单插件、CRM、邮件营销平台、甚至企业微信/钉钉的邮件通知）。先用 p=none 收集报告，把报告里出现的所有发信源都覆盖进 SPF / DKIM，再收紧，才是稳妥做法。

为什么我的 DKIM 检测不到？

三个常见原因：① 还没在邮件服务商后台开启 DKIM 签名（开了才会有公钥）；② 选择器不在本工具探测的常见列表里，可以在上方「DKIM 选择器」输入框填上服务商给的选择器再检测；③ 记录加错了位置，DKIM 必须放在 选择器._domainkey.你的域名 下，最常见的是漏了 ._domainkey 这一段。

1024 位的 DKIM 密钥还能用吗？

目前多数邮箱仍然接受，但它已被视为淘汰规格。Google 从 2024 年起建议所有发送方迁移到 2048 位；未来新政策只会更严。本工具会对 1024 位直接标黄提示，可以用下方生成器就地生成 2048 位密钥对替换。

用生成器生成的 DKIM 私钥安全吗？

密钥对完全在你的浏览器里用 WebCrypto 生成，私钥不会上传到任何服务器，也不经过本站。生成后请自己妥善保存私钥，并把它填进邮件服务器的 DKIM 配置里 —— 公钥才放到 DNS。

多久需要重新检查一次？

建议在四种情况下复查：换了邮件服务商或 DNS 服务商、新增了发信渠道（营销邮件、客服系统）、DMARC 报告里出现陌生发信 IP、以及每季度例行一次。