选择记录之前选择 Combell 邮件产品
Combell 不是单一的身份验证配置。它是 SPF 说明区分基本电子邮件、Exchange 电子邮件和Microsoft 365 。它是独立的 DMARC 文章指出 DKIM 不适用于标准邮箱，并描述了 Combell Mailserver 上支持安装的替代方案。这些差异决定了负责任的配置计划可以承诺什么。本指南涵盖记录的产品选择和DNS准备，而不是经过验证的租户实施或通用DKIM配方。 SPF文章于 2025 年 4 月 1 日更新； DMARC文章于 2026 年 9 月 2 日更新。在进行更改之前，请确认其对实际订阅的适用性。 康贝尔SPF指导 康贝尔DMARC指导
从列出产品名称的库存开始，而不仅仅是发票上的供应商名称。记录哪个系统发送员工信件、哪个系统发送网站通知、哪个系统发送活动以及哪个系统接收回复。 Combell 托管的网站并未确定每条消息都使用其基本电子邮件基础设施。同样，Exchange 订阅和Microsoft 365路由不应仅仅因为它们的DNS通过同一门户进行管理而收到基本电子邮件授权。此清单是拟议的工作：尚未检查此手稿的帐户、域或消息。
使SPF与实际发送路由一致
该提供商为其三种指定产品发布了单独的SPF示例。将它们视为需要进行适用性检查的产品特定说明，而不是可互换的附加内容。获取当前批准的路由信息，通过授权流程检索现有的完整SPF策略，并在提出结果记录之前识别其他合法发件人。不要用简短的示例替换多发送者策略，也不要在其旁边发布第二个SPF策略。 康贝尔SPF指导
针对SMTP评估SPF 邮件来自 身份，或 HELO身份 在相关案件中；它不直接验证可见的作者地址。因此，授权出站服务的策略可能是正确的，而消息仍然缺少DMARC 结盟。将信封域、可见发件人域和观察到的出站路由保留为单独的字段。避免描述正确的 SPF记录 作为所有带有该组织显示名称的邮件都是真实的证明。 RFC 7208 ，第 2.3–2.4 节
查看扩展的SPF依赖路径，包括已存在的服务。协议限制评估了 DNS 查询术语；这不仅仅是文本包含条目、数据包或缓存答案的计数。附加授权必须保留在评估规则内，而不能默默删除合法发件人。最终的 all 机制表达了一个策略结果，而接收者处理仍然是一个单独的决策。硬故障和提供商以交付为导向的措辞都不能保证特定的收件箱或拒绝结果。 RFC 7208 ，第 4.6.4 节和第 8 节
在权威DNS上下文中发布
对于在其记录的DNS接口中管理的域，Combell 通过我的产品、 DNS和转发管理、域旁管理以及 TXT记录。其SPF指令对域本身使用空白主机名。仅将该行为应用于记录的编辑器和预期区域。在其他地方管理的DNS区域需要提供商自己的名称输入语义； Combell 说明并不能证明其他编辑器可以以相同的方式处理空白名称或后缀。 康贝尔SPF指导
在发布之前，记录预期的完全限定所有者名称、记录类型、完整内容、TTL 和回滚值。将目标所有者与编辑器的预览进行比较。授权更改后，将存储的控制面板视图与权威答案和解析器观察结果区分开来。 TXT呈现可以包含引号或多个字符串；这些显示详细信息不应被误认为是多个独立的SPF策略。操作员应保留预期的逻辑值和记录边界。 RFC 1035 ，第 3.3.14 和 5.1 节 RFC 7208 ，第 3.1–3.3 节
Combell 规定的一到四小时的间隔是操作指导，并不能证明每个缓存都在特定时刻刷新。工作表应保留观察时间并将以前缓存的答案与当前的权威状态区分开来。不要仅仅因为一个解析器仍然返回较早的答案而重复重写正确的记录。相反，时间的流逝无法修复错误的所有者名称或意外重复的保单。
遵守标准邮箱DKIM限制
Combell DMARC页面明确表示DKIM在标准邮箱上不可用。它将 Combell Mailserver 标识为支持人员可以在其上安装DKIM不同选项，并将 Flexmail 标识为单独的营销产品。这些替代方案并不能证明标准邮箱已获得DKIM交换机，也不能提供通用的 选择器 或公钥。需要一致DKIM项目应保留此作为产品适合性决策，而经常账户的适用性尚未解决。 康贝尔DMARC指导
不要发布虚构的DKIM记录以使清单看起来完整。仅DNS发布无法导致未签名的路由对消息进行签名。签名者必须拥有相应的私钥并应用适当的签名，而接收者则通过签名选择器和签名域获取公开的验证材料。支持辅助安装需要其自己批准的范围、当前说明和后续消息证据。此处未进行任何支持联系或安装。 RFC 6376 ，第 3.5 节和3.6.2.2节
与示例分开决定DMARC策略
Combell 描述了将DMARC添加为_dmarc处的TXT记录，并为不需要特定执行策略的用户提供了监控策略示例。该示例不允许替换现有隔离或拒绝策略。在更改政策之前，请检查组织的完整发件人清单和批准的报告安排。生成器可以格式化决策；它不能决定组织对未经身份验证的邮件的容忍度。 康贝尔DMARC指导
DMARC可以传递合格的对齐SPF结果或合格的对齐DKIM结果。因此，标准邮箱DKIM限制本身并不能证明每封邮件均未通过DMARC ，而且已发布的SPF策略也不能确定实际信封身份是否一致。当证据可用时，记录批准路线的接收器结果。身份验证仍然与声誉、内容评估、收件人偏好和最终交付不同。 RFC 9989 ，第 2.4 和 4.4 节
虚构的诊断：错误的产品假设
考虑一个虚构的组织 Cedar Workshop，其管理员在DNS发票上看到 Combell 并选择一个基本电子邮件示例。其财务信件实际上使用不同的订阅邮件产品，而网站则使用另一种发送服务。然后，一位同事提出了一个猜测的DKIM选择器来满足内部清单。在这种情况下，没有什么是测量的事件或执行的测试。
建议的诊断首先是纠正产品库存。该团队根据现有SPF策略协调每个合法发件人，并记录哪些路由可以提供一致的身份。它让DKIM无法解决标准邮箱问题，而不是发明 一个记录。如果企业需要针对该路线的DKIM ，则所有者会评估支持的产品替代方案并获取适用的说明。成功的结果是一个明确的决策和证据计划，而不是声称DNS更改已经解决了交付问题。
空白验收工作表
- 订阅和产品：____；负责的帐户所有者：____。
- 发送申请、信封域和可见发件人域：____。
- 权威DNS运营商和预期的完整所有者名称：____。
- 保留现有SPF政策和合法发件人：____。
- 产品特定授权确认日期：____。
- 扩大SPF评估审查和未解决的依赖性：____。
- 此确切产品的DKIM可用性和安装责任：____。
- 当前DMARC政策、批准的报告目的地和变更理由：____。
- 授权的DNS观察和实际收到的消息证据：____。
- 剩余的产品适合决策、回滚所有者和发布审批者：____。
所有字段均故意留空。目录实施要求、人工审查、当前源适用性、生产路线、视觉/可访问性审查和所有者发布仍然开放。本草案不构成操作性验收，不构成交付保证。