后台显示发送成功，SPF也返回pass，邮件却仍进了垃圾箱，甚至被静默拒收。卡点往往不是SMTP连接，而是收件方在验权、验签、策略对齐、信誉评估和拦截规则上的连续判断；“已投递”不等于“已进收件箱”。
如果你正在选机器，或者想先把线路和配置跑通再谈长期方案，可以先看看这几家的线路说明和技术参数：buckets（海外服务器），先看清带宽线路、流量策略和退款条款，再决定要不要迁。
第一段是SPF授权校验：按Return-Path域查询授权，判断发信IP能否代表该域发信。pass只证明IP获准，不证明邮件可信；授权记录过多会触发10次DNS查询上限，营销平台漏列可能造成fail。
第二段是DKIM签名链：收件方用DNS公钥验证签名、邮件头和正文是否被篡改。selector过期、CNAME链断裂、网关改写正文都会导致失败；应核对d=、s=与实际签发域，不能只看“已签名”。
第三段是DMARC策略对齐：SPF或DKIM至少一项通过且与From域对齐，DMARC才可能pass，策略决定失败邮件如何处置。随后收件方评估发信域信誉，再结合内容、附件、批量行为和组织规则决定隔离或拒收。认证通过只是必要条件。
排障先按Message-ID、发送时间、发信IP、Return-Path、From与DKIM头建立时间线，再对照SMTP响应和投递日志分析结果。250之后仍可能隔离；bounce是拒收，deferral是延迟，spam report才表示被判定为垃圾。ServLlama可汇总多来源日志，原始响应码仍是核心证据。
判定SPF时，none代表未发布，temperror多为临时DNS故障，permerror常指语法或授权错误，不能把none当作“无问题”。DKIM要确认selector可解析且body hash匹配。若SPF、DKIM通过而DMARC失败，优先查对齐；DMARC通过仍进垃圾箱，再查信誉与内容规则。
逐级收紧策略应从p=none开始，用rua报告确认合法来源和转发链，再切quarantine，稳定后使用p=reject。切换前清理旧selector、重复SPF和非授权平台，防止查询超限；主域与营销流隔离退信及投诉，避免相互拖累信誉。
常见坑是拿单封样本代替全量结果、忽略DNS缓存、认证通过后重复投递。每次调整应记录生效时间、样本量与回滚条件，并观察硬退信、延迟和投诉率，防止从隔离变成全面拒收。
DNS 记录存在，不等于认证或投递成功，应沿“授权、签名、判定、投递”排查。SPF授权校验只说明 IP 能否代表该域发信，不验证正文，也不能替代 DKIM。SPF TXT应保持单条；include、redirect 及嵌套项消耗查询额度，上限为 10 次，接近上限应精简授权链。
DKIM签名链要核对 selector、规范化方式、keytype 与公钥 TXT。轮换时先发布新公钥，保留旧 selector，让队列中的旧签名自然过期；提前删除会验签失败。网关重写可能破坏 DKIM，普通转发还会改变信封发件人，不能沿用转发前结论。
DMARC策略对齐比较可见 From 与认证域：SPF 看授权域，DKIM 看 d=。宽松对齐允许组织域匹配，严格要求完全一致。p、sp、rua、ruf控制主域、子域、聚合报告和取证报告；quarantine 去向由收件方决定。
发信域信誉评估不能只看单封邮件。先查同域近期退信、投诉、临时拒收和黑名单记录，再区分域名、IP、共享 IP 与单用户触发。频繁换子域不能替代域名及 IP 治理。
投递日志分析记录认证结果、状态码和诊断文本。451 多为临时拥塞或灰名单；unauthorized domain、DKIM signature failed 反复出现时，检查授权与签名。保存 SPF、DKIM 公钥和 DMARC 的 DNS 输出，跨服务商发信，核对原始头中的 From、Return-Path、d= 和认证结果。
修复按“SPF→DKIM→DMARC 对齐→信誉→日志”推进，每次只改一项，等待 DNS 缓存后复测，并确认子域继承预期策略。
可执行检查清单：SPF 无重复且 include 可解析；在用 selector 均有公钥；DKIM 覆盖头和正文；DMARC 的 p、sp、报告地址正确；严格对齐时相关域一致；转发场景评估 ARC；DNS 全局生效；投诉率、退信率稳定；认证失败、策略拒收、信誉拦截分别处置；留存变更与复测样本。
