# 公司寄信成功，報價卻進垃圾信箱？企業先驗收五項寄信身分

- 網址：https://www.edgedeploy.tw/blog/business-email-domain-authentication-checklist
- 分類：中小企業資安
- 發佈日期：2026-09-15
- 更新日期：2026-09-15
- 作者：邊境部署

> 公司信箱、網站通知、發票與電子報都可能使用同一網域寄信。本文用五項驗收問題，協助企業盤點寄信來源、SPF、DKIM、DMARC 與真實送達結果，降低報價漏接、通知失效及品牌遭冒名的風險。

公司信箱可以寄信、寄件平台也顯示成功，客戶卻說沒收到報價；電商訂單通知進了垃圾信箱，業務只好改用私人信箱重寄。此時，問題未必是信件內容，而可能是收件服務無法確認「這封信真的代表這家公司」。

同一個公司網域，常同時被員工信箱、網站表單、電子發票、客服、客戶管理系統與電子報服務拿來寄信。只要漏掉其中一個來源，設定看似完成，實際信件仍可能驗證失敗。後果不只是一封信沒送達，還包括報價延誤、付款通知漏接、客服重工，以及冒名信件傷害品牌信任。

可以把寄信網域想成公司的出貨中心。SPF 是核准哪些出貨碼頭可以使用公司名義；DKIM 是每件貨上的防拆簽章；DMARC 則核對箱子上的品牌名稱與核准身分是否一致，並告訴收件端遇到不合格貨件時如何處理。三者分工不同，少一項仍可能留下誤判或冒用空間。

## 寄得出去，不等於收件端相信寄件身分

SPF（寄件者政策框架）是一筆公開在 DNS，也就是網域地址簿裡的規則，用來列出哪些寄信系統獲准代表特定網域寄送。DKIM（網域金鑰識別郵件）會替信件加上可驗證的數位簽章，讓收件端核對簽章網域與內容是否被改動。

DMARC（網域型郵件驗證、報告與一致性）再檢查收件人看見的寄件網域，是否與通過 SPF 或 DKIM 的網域對得上，並提供監測與處理政策。這個「對得上」稱為網域一致性。Google 與 Yahoo 的現行寄件規範都把郵件驗證列為基本要求，對大量寄件者要求更完整；但通過驗證仍不保證一定進收件匣，內容、收件人意願、寄件聲譽與投訴也會影響結果。

## 用五個問題驗收廠商說的「都設定好了」

1. **所有寄信來源都列出來了嗎？** 盤點員工信箱、網站、訂單、發票、客服、行銷、監測與外包服務，記下負責人、用途、寄件網域與停用方式。只問主要信箱供應商，最容易漏掉低頻卻重要的系統通知。
2. **SPF 是一份可正確判讀的授權清單嗎？** 同一網域不應各家廠商各放一筆互相競爭的 SPF 規則。SPF 評估也有 DNS 查詢上限，層層加入供應商可能產生永久錯誤。不要為求通過而把不受公司控制的廣大來源一起授權。
3. **實際信件的 DKIM 有通過且網域一致嗎？** 要從真正送達的郵件完整標頭核對結果、簽章網域與畫面上的寄件地址，不只看廠商後台的綠色勾勾。網站通知、電子報與人工信件都要各取樣。
4. **DMARC 現在是監測還是阻擋，報告由誰看？** `p=none` 代表先收集資訊、不要求收件端隔離或拒絕，適合盤點初期；確認合法來源後才逐步評估 `quarantine` 或 `reject`。過早收緊可能擋到漏列的真實信件，長期只監測則不能充分阻止冒名。
5. **驗收有沒有回到真實交付結果？** 分別寄到 Gmail、Yahoo 與主要客戶常用的信箱，保留驗證結果、退信碼與垃圾信箱情況。驗證通過但仍被攔截時，還要檢查寄件聲譽、名單來源、退訂與寄送頻率，不能一直改 DNS 碰運氣。

## 便宜設定與完整治理，差在持續接得住變更

如果公司只有一套企業信箱，沒有網站通知或行銷寄送，依供應商指引完成三項驗證並定期抽查，可能已足夠。當來源變多，較穩妥的做法是把員工信件、交易通知與行銷郵件分到清楚的子網域，分別管理供應商、聲譽與停用責任。成本會增加，但某一類寄信出問題時較容易定位，也不必一次改動全部流程。

低價方案可能只代貼 DNS 紀錄，不包含來源盤點、實際標頭驗證、DMARC 報告判讀與新增系統後的變更管理。這不表示一定要買昂貴工具，而是合約要寫清楚：誰提供來源、誰改 DNS、誰驗收、誰看報告，以及錯誤設定造成漏信時由誰先處理。

## 今天先做一張寄信來源表，不要先改 DNS

先列出過去九十天所有會使用公司網域寄信的服務，包含低頻的密碼重設、發票與監測通知。每項填上畫面寄件地址、服務商、用途、預估量、管理帳號、目前 SPF／DKIM／DMARC 結果與最近驗證日。請廠商提供一封去除個資的完整郵件標頭，讓設定與實際結果能對照。

接著選幾封不含敏感資料的測試信，從每個來源寄到不同收件服務，記錄是否送達及驗證結果。若來源清單尚未完整，不要直接把 DMARC 調成全面拒絕；先補齊合法來源、修正一致性，再分階段收緊並觀察。

## 自行處理的邊界與接洽準備

只有一個寄信供應商、公司掌握 DNS 與管理帳號時，通常可以依官方指引自行設定並抽樣驗證。若網域同時交給多家行銷、電商、發票與客服服務，已有大量退信、疑似冒名，或沒有人能判讀郵件標頭與 DMARC 報告，就值得由郵件、DNS 與資安人員共同盤點。郵件轉寄、郵件群組與跨網域代寄也可能改變驗證結果，需要按實際流程測試。

接洽前可準備網域與子網域、寄信服務清單、去除個資的完整標頭、退信訊息、現有 DNS 紀錄、管理權限、信件類型與近期變更。邊境部署可以協助整理來源、責任與驗收證據，設計分階段調整順序；但任何驗證設定都不能保證每封信進收件匣，也不能取代名單同意、內容品質與持續監測。

## 查證來源

- [Google：Email sender guidelines](https://support.google.com/mail/answer/81126?hl=zh-Hant)
- [Yahoo Sender Hub：Sender Best Practices](https://senders.yahooinc.com/best-practices/)
- [IETF RFC 9989：DMARC](https://www.rfc-editor.org/info/rfc9989/)
- [IETF RFC 7208：SPF](https://www.rfc-editor.org/info/rfc7208/)
- [IETF RFC 6376：DKIM](https://www.rfc-editor.org/info/rfc6376/)