郵件網站設定維運
公司信箱寄出去都進垃圾信匣？三個設定要先檢查
報價單寄出去石沉大海，追問才知道在垃圾信匣。網站的訂單通知客戶說沒收到，會員的密碼重設信也一樣。這種情況多數不是信件內容寫得像廣告，而是收信方無法確認這封信真的是你寄的。郵件系統為了擋詐騙，預設對「證明不了身分」的來信很不客氣，而證明身分靠的是三個網域設定。
1. 為什麼合法的信也會被擋
電子郵件的設計非常寬鬆，寄件人欄位其實可以隨便填。詐騙集團拿這一點冒用別人的網域寄信，所以收信方發展出一套驗證機制：檢查這封信是不是真的從你網域授權的伺服器寄出的。
沒設定的話，你的信在對方眼中就是一封「自稱來自某網域、但無法驗證」的郵件。有些系統會直接丟垃圾信匣，有些乾脆退信。這跟信件內容寫得好不好無關。
自我檢查
- 用網站發出去的自動信最容易中招，因為它們常常從主機或第三方寄信服務送出，跟你平常收信的信箱不是同一台伺服器。
- 換過主機、換過信箱服務、或新加了電子報工具之後，是問題最常出現的時間點。
- 同一封信有人收得到有人收不到很正常，各家郵件系統的判斷標準不同。
2. 三個設定分別在證明什麼
這三個設定都寫在網域的 DNS 設定裡，不需要動到網站程式。名稱看起來很技術，但要證明的事情很單純。
自我檢查
- SPF 證明的是「誰有資格用我的網域寄信」。你在網域設定裡列出授權的寄件伺服器，收信方比對來源符不符合。
- DKIM 證明的是「這封信路上沒被改過」。寄出時附上一段簽章，收信方用你公開的金鑰驗證。
- DMARC 說的是「驗證失敗時該怎麼辦」。可以選擇照收、丟垃圾信匣或直接退回，同時能設定接收報告，看看有誰在冒用你的網域。
- 三個要一起做才有完整效果。只設 SPF 是最常見的半套，改善有限。
設定本身不難，多數郵件服務商都會直接給你要填的內容，複製貼上到網域的 DNS 設定就好。麻煩的是要把所有會用你網域寄信的來源都列進去，包含網站主機、電子報工具、客服系統。漏掉一個，那個來源寄的信就會驗證失敗。
3. 怎麼自己檢查有沒有設好
不必等客戶抱怨才發現。下面兩個方法都免費，五分鐘內能得到答案。
自我檢查
- 寄一封信到你自己的 Gmail，打開信件後選「顯示原始郵件」。畫面上方會列出三項驗證結果，都顯示通過才算正常。
- 網路上有免費的郵件驗證檢查服務，寄一封信到它給的地址，它會回報三項設定的狀態與問題所在。
- 如果 DMARC 有設定接收報告，每週會收到彙整資料，可以看出有沒有來源一直驗證失敗，那通常就是漏列的服務。
- 退信信件裡的錯誤訊息也值得看，它常常直接寫出被拒絕的原因。
4. 網站的自動信要特別注意
表單通知、訂單確認、密碼重設這類信件，是最容易被擋又最要命的一類。客戶收不到訂單確認會直接打電話問，收不到密碼重設信就登入不了。
自我檢查
- 不要用主機直接寄信。共用主機的 IP 常常被別人寄垃圾信連累，信譽已經很差。改用專門的寄信服務，通過驗證的機率高很多。
- 寄件地址要用自己的網域，不要用免費信箱。用免費信箱當寄件人會直接被判定可疑。
- 設一個真的收得到信的回覆地址。用不存在的地址當回覆信箱，也是被扣分的原因。
- 上線前實際測一輪：註冊、下單、忘記密碼各走一次，用不同家的信箱收，確認都進得了收件匣。
5. 設定完不會立刻好
網域設定改完之後需要時間散布到各地的伺服器，通常幾小時內生效，偶爾要等到隔天。而且網域的寄信信譽是累積出來的，長期被判定為垃圾信的網域，設定補齊之後也要一段時間才會恢復。
自我檢查
- 改完當天先自己測一次，確認驗證結果變成通過。
- DMARC 建議先設成只監控不處置，觀察一兩週的報告，確認沒有正常來源被誤判，再收緊處置方式。
- 一次寄大量信之前先小量測試。突然爆量本身就是被判定為垃圾信的特徵。
信寄不到的成本比想像中高：客戶以為你沒回、訂單以為沒成立、會員登不進來卻不會跟你說。這三個設定是一次性的工作，做完之後除非換寄信服務，平常不必再管。
常見問題
- 我用的是 Google Workspace，還需要自己設定嗎？
- 需要。郵件服務商會提供要填的內容，但實際把它加到網域設定裡這一步要你自己做，很多人跳過了。而且如果你還有其他來源會用同一個網域寄信，例如網站的通知信或電子報工具，那些也要一併列進去。
- 只設一個 SPF 夠不夠？
- 有幫助但不夠。SPF 只驗證來源伺服器，遇到郵件被轉寄時容易失效。加上 DKIM 才能證明內容沒被改過，再加上 DMARC 才能告訴收信方驗證失敗時怎麼處理，並讓你收到誰在冒用你網域的報告。三個一起做才是完整的。
- 設定會不會讓正常的信也被擋掉？
- 有可能，所以順序很重要。DMARC 一開始設成只監控不處置，觀察報告確認所有正常來源都通過之後，再逐步收緊。跳過觀察期直接設成退回，很容易把自己漏列的某個服務寄的信全部擋掉。