自建域名邮箱，先避开这3个坑

自建域名邮箱，真正的门槛不在装软件那一步。开源方案一抓一大把，docker-mailserver、Postfix 配 Dovecot，对着文档走，装完能收能发，看着就成了。可等真往外发信的时候才发现，客户那边一封没收到，全躺在垃圾箱里。问题不在服务器上，在域名那头那几条记录和信誉上。下面这三个坑，按踩到的概率排，头一个几乎人人过一遍。

自建域名邮箱，卡住的多半是“发出去”这半边

配的时候眼睛都盯着 MX 记录，通了就以为完事。MX 只管收信这一半。往外发，得看 SPF、DKIM、DMARC 三样配没配对，少一样，收件方给你打的分就低。有个特别误导人的现象：自己给自己发测试信，秒到，看着一切正常。那是因为同域投递走的是内部链路，压根不经过外网的信誉校验。拿 Gmail 发一封过去试试，直接进垃圾箱，或者干脆被退回来。所以测试必须用外部邮箱互发，自己测自己，等于没测。

顺序上，先看域名有没有 SPF，再看 DKIM 签名是不是在服务器上启用了——很多教程把密钥生成完就结束了，签名压根没开；DMARC 先设成 p=none 收报告，观察一段再收紧。一上来就 p=reject，正常邮件也会被你自己挡在外面，客户投诉就是这么来的。

域名解析那几条记录，别照着教程抄

SPF 是一条 TXT 记录，一个域名只能有一条。有人注册商那边默认带了一条，自己又加一条，两条并存直接失效，不是取并集，这个坑很隐蔽。include 挂太多第三方发信服务也会废，有数量上限。DKIM 是 selector._domainkey 这个主机名底下的 TXT，公钥贴的时候注意别断行、别贴错位置。DMARC 在 _dmarc 下面。改完别立刻下结论，DNS 有缓存，等生效了再用公开的检测工具查一遍。具体填法各家解析商略有差别，以服务商和官方页面说明为准。

还有一条常被忘的：PTR 反向解析。不少收件方会查你这台机器的 IP 反解跟发信域名对不对得上，这个自己改不了，一般要在 IP 提供方那边提工单设置。IP 是共享的话，还得看邻居的脸色。

转发、代发、真自建，是三种东西

市面上不少卖“域名邮箱”的，其实是转发：xxx@你的域名 收到信，转去你的个人邮箱。收没问题，回信的时候发件人显示的还是那个个人邮箱，客户看着就别扭。还有一种是代发，发件人写你的域名，实际走对方服务器，SPF 对不上，很容易被判伪造。真正的自建是账号、存储、发信都在你自己控的机器上。这几种价格差出去好几倍，不是没道理的。买之前问清楚是哪种，比问价格重要得多。

25 端口这关，不少人卡在这

便宜云主机、家宽、部分 VPS，25 出站默认是封的，为了防垃圾邮件。要发信得走 587 或 465 提交端口加认证，或者向服务商提交用途申请解封，再或者挂一个 SMTP 中继出去。这事该在装机之前就确认，别等配完了发现发不出去，再回头翻控制台找工单入口。封不封、怎么申，以服务商控制台和工单回复的说明为准，别信论坛上几年前的帖子。

IP 是共用的，信誉是一点点攒的

共享 IP 发信，邻居乱发一通，你跟着被拖进黑名单，信发出去对方连看都没看见。全新的 IP 上来就猛发，也容易被限流。所以域名这块我建议别拿主站的主域名直接干，用 mail. 这种二级域名，或者干脆单独注册一个专用于邮件。主域名 MX 一动，公司原来那套邮件全跟着受影响，这地方出过的事不少，改之前先想清楚回滚怎么做。

账号怎么分、备份怎么做，比服务器放哪更该先定

全公司共用一个 admin@，人一离职邮箱就删，合同往来记录跟着一起没了。开号之前想清楚：哪些是个人账号、哪些是组邮箱（info@、support@ 这类）、离职的邮箱是保留还是设自动回复加转发。备份也要分开做，邮件一般是数据库加邮件目录两块，别只备一半，恢复的时候才发现缺东西。配额别给到顶，满了之后就是退信，发件人还不知道为什么。

给个上手顺序：先确认出站端口通不通；域名用二级的，MX 别碰主站；SPF 只留一条，DKIM 把签名真开起来，DMARC 先 none；测试一律用外部邮箱互发；账号和备份策略写在开号之前。跑通一天不算数，连着盯一两周的退信比例和垃圾箱情况，那才叫真跑起来了。