邮件配置检测

功能

• 一次查全四样：MX、SPF、DMARC，以及指定选择符下的 DKIM
• 数出 SPF 里需要 DNS 查询的机制个数（include / a / mx / ptr / exists / redirect），接近或到达 10 次上限时给出提示
• 解释 SPF 终止符的实际效果：`-all` 拒绝、`~all` 进垃圾箱、`?all` 不判断、`+all` 等于没有策略
• 把 DMARC 的三种策略翻译成实际效果：`none` 只观察不拦、`quarantine` 进垃圾箱、`reject` 直接拒收
• 把 DMARC 的子域策略、生效比例、聚合与失败报告地址、DKIM/SPF 对齐模式逐项拆开
• 指出 `p=` 缺失这种整条 DMARC 记录无效的情况
• DKIM 公钥为空时说明那是密钥被主动吊销（RFC 6376），而不是「没配置」
• 没有 SPF / DMARC 时直接说清后果（任何人都能假冒这个域名发信）
• 可切换 DNS 线路，主线路无响应时自动切备用线路

使用方法

1. 填入域名 —— 填你要发信的域名（通常是裸域名）
2. 要查 DKIM 就填上选择符，不知道可以先留空
3. 点「检测」
4. 按说明去 DNS 服务商或注册商那边补上缺的那一项

常见问题

为什么 SPF 那一行写着「本条记录的 DNS 查询」，而不是总共几次？

因为 SPF 的 10 次上限是整条链共享的：`include:` 指向的那个域名会再算它自己的查询，嵌套下去也算在同一个 10 次里。要算准必须把整条链递归解析一遍，那是另一个量级的工具。所以这里只数本条记录里的机制，并在说明里写清这一点 —— 你看到的数字是下限，实际总数只会更多。

我明明配了 SPF，工具却说没收到，为什么？

因为顶点上的 TXT 记录集可能很大，而解析器只返回其中一部分。这不是工具的推断，是实测：同一个 cloudflare.com，阿里云在几次查询里分别返回 0 条、17 条、15 条，腾讯返回 3 条、4 条、4 条，而且两条线路给出的内容互不相同。所以工具对顶点 TXT 会两条线路各查一次并取并集，两者不一致时明确告诉你记录集不完整；SPF 没收到时也只说「本次查询没有收到」，而不是断言这个域名没有 SPF。若你确信配了，换一条 DNS 线路或稍后重试。

SPF 超过 10 次会怎样？

返回 `permerror`。关键在于它的表现：那时 SPF 既不通过也不失败，而是整个不被评估 —— 于是任何服务器都能假装替你发信，而你的 SPF 记录看起来完全正常。这也是为什么「多加一个 include」是个危险的操作：它可能悄悄让防护失效。

我配了 DMARC，为什么还能收到假冒我域名的邮件？

先看策略那一行。如果是 `p=none`，那 DMARC 只是让你收报告，不会拦下任何东西 —— 要真正拦截需要改成 `p=quarantine`（进垃圾箱）或 `p=reject`（拒收）。建议先用 `p=none` 观察一段时间确认没有误伤，再逐步提高。另外要确认聚合报告地址（`rua`）是你真的在看的邮箱，否则等于没配。

DKIM 的选择符是什么？我该填哪个？

选择符是注册 DKIM 时自己起的名字，用来把一条公钥挂在 `<选择符>._domainkey.<域名>` 下面 —— 同一个域名可以同时挂好几把（轮换用），所以必须由你指出是哪一把。常见的有 `google`（Google Workspace）、`selector1` / `selector2`（Microsoft 365）、`s1` / `s2`（SendGrid）。去邮件服务商的 DNS 设置或控制台里能看到。

公钥显示「已吊销」是什么意思？

表示那条记录里的 `p=` 是空的。按 RFC 6376 §3.6.1，空 `p=` 是一个刻意的、合法的值，意思是「这把密钥作废了，别再信它」—— 邮件服务商轮换 DKIM 密钥时就是这么做的（Google 按日期起名，旧的会留一条空记录）。所以它不是配置错误，也不一定需要处理；但如果它正是你当前在用的那把，那就要查为什么。