区分商务电子邮件和群发电子邮件
SAP Cloud for Customer 对于业务消息和群发电子邮件有单独的身份验证注意事项。第一方知识文章将服务票据和报价等交易用途与营销活动和新闻通讯等批量通信区分开来。在请求激活或编辑DNS之前记录范围内的路由。不要假设企业邮件的更改就完成了批量电子邮件的推出。 SAP业务和群发电子邮件的区别
本指南适用于客户云，通常称为 C4C。它不是 SAP Marketing Cloud、S/4HANA、Business ByDesign 或文档中碰巧提到的其他产品的配置过程 DKIM。在采取行动之前确认确切的产品、租户 URL、环境、发送域和支持组件。
构建每个租户和每个实际可见的来自域（包括子域）的清单。包括测试和生产环境以及工作流程生成的消息，而不仅仅是手动发送的信件。证据应确定谁拥有每个身份以及哪个业务流程依赖于该身份。单独的租户 URL 并不是完整的域清单。
了解托管SPF不足的原因
SAP 的公共企业邮件常见问题解答称 SAP 维护其基础设施 SPF 并要求客户完成DKIM配置。这并不成立 结盟 对于特定客户的发件人域：收集实际信封标识并将其与发件人进行比较。在此审查期间，单独的安全指南页面不可读，因此不会从中断言特定于环境的信封后缀或对齐结果。 SAP 企业邮件常见问题解答
将提供程序包含添加到不相关的客户域策略不会更改消息中使用的信封标识。在进行任何SPF编辑之前，记录评估的身份以及需要更改的原因。在该所有者处维护一项适用的策略，保留其他合法发件人，并考虑嵌套DNS评估。 SPF RFC 7208
对于记录的业务路线，一致的DKIM是调查的关键路径。不削弱域名 DMARC执行 隐藏有效对齐签名的缺失。 SPF结果为合格和不合格 DMARC 当成功的SPF身份与可见的 From 域无关时，结果可以一致。
准备租户特定的商业邮件记录
SAP 的公共常见问题解答描述了三个 CNAME 每个租户每个发送域的记录，使用特定于租户的 选择器 名称。它要求客户提供域到租户的映射，并涵盖用于商业邮件的所有自定义域。示例租户编号是占位符，而不是要复制到客户区域的公共值。 SAP 企业邮件激活常见问题解答
获取或确认租户环境的当前确切公共所有者和目标。公共常见问题解答提供了特定于租户的示例，而不是对每个环境的确认；不要从熟悉的crm.ondemand.com示例中导出未经确认的环境的目标。保留支持说明并让DNS管理员在发布之前验证映射。 SAP 企业邮件常见问题解答
检查每个建议的CNAME所有者的现有数据。一个由多个业务流程使用的域已经可以有多个选择器；新记录不得覆盖不相关的键。验证DNS控制台的所有者名称扩展并仅发布当前支持的集。将公共值存储在更改记录中，但切勿包含私人签名材料或帐户凭据。
发布后，保留提供商激活请求的权威查找结果和域到租户列表。使用公共常见问题解答的域到租户映射，并与 SAP 明确确认该环境的业务邮件激活过程。 DNS发布和 SAP 激活是不同的阶段。不要仅仅因为存在CNAME就报告工作已完成。 SAP 企业邮件常见问题解答
处理测试和生产中的共享域
SAP 记录了一种情况，其中生产消息使用名称引用测试租户的选择器，因为首先在那里激活了相同的域。该文章称，在该记录的情况下，每个域都可以有一个选择器处于活动状态，并且该名称本身不会导致发送问题。 跨租户的 SAP 选择器使用情况
仔细使用该解释。令人惊讶的选择器名称并不能证明失败，但文章也不能证明实际签名有效。确认提供商的域配置文件、公钥查找、签名域和接收者结果。避免仅仅为了使生产证据看起来更整洁而删除测试命名的记录；它可能仍然服务于活动配置文件。
当测试租户停用时，请在删除DNS之前检查共享签名依赖项。记录哪个租户最初建立了域配置文件、提供商所说的保持活动状态以及哪些生产工作流程仍在使用它。如果需要更改选择器，请获取协调的过渡计划并保留旧密钥依赖关系，直到提供商确认退役是安全的。
将群发电子邮件视为单独的激活请求
SAP 的群发电子邮件激活文章描述了发送子域、三 CNAME 配置和支持事件。它询问邮件类型、收件人类别、预期每月数量、每次发送数量、租户和子域。准备这些操作详细信息，而不是仅提交DNS屏幕截图。确认发布的记录和激活说明适用于当前的群发电子邮件路由。 SAP 群发电子邮件激活
与活动所有者和安全团队一起选择发送子域。子域可以澄清运营所有权，但它不会自动隔离每个声誉或政策问题。在使用之前，请检查其现有的DNS 、为其发件人域发现的策略、回复处理以及对其他系统的任何依赖关系。
群发电子邮件文章指出，通用检查器可能会显示保留记录的预期错误，而仍需要完整的三记录集。将其视为特定于提供商的资格，而不是忽略任意DNS故障的权限。让 SAP 确认预期的活动和保留状态，验证确切的 CNAME，并证明收到的消息实际使用的签名。不要仅仅因为保留记录未在一项测试中使用而删除它们。
独立捕获业务和群发邮件证据
对于商业邮件，请在每个已发布的租户中选择无害的代表性事务或工作流程。对于群发邮件，请使用受控测试受众和受支持的活动测试，这样不会联系非预期收件人。记录原始对象或活动、时间戳、租户和选定的发件人。测试租户结果不应默默地替代生产证据。
在受信任的接收方，保留原始标头和身份验证结果。记录可见的发件人、信封身份、所有DKIM d= 签名域和 s= 选择器以及每个相关签名的接收者结果。选择器标识DNS公钥查找；它本身并不是DMARC对齐的域。 DKIM RFC 6376
将当前DMARC发现和对齐规则应用于观察到的身份。即使SPF在没有对齐的情况下通过，通过对齐的DKIM路径也可以满足DMARC 。单独的策略记录无法添加签名或更正不匹配的发件人域。在更改之前审查有效的政策，并仅使用批准的报告目的地。 DMARC RFC 9989
如果测试失败，请在更改任何内容之前保留确切的失败信息和公共查找。没有签名可以表明缺少激活或不同的路线。丢失的键可能表示选择器记录或目标不正确。具有错误签名域的有效签名表明对齐或域配置文件选择。这些观察结果缩小了支持请求的范围；他们并不能证明猜测替代记录是合理的。
托管SPF和意外选择器的虚构示例
仅虚构的书面案例：C4C-01 假设生产报价具有 From sales@company.example 、传递签名d=company.example,以及名称引用测试租户的选择器。未提供确切的选择器和SPF身份，因此这不是可重用的DNS配方。在规定的传递签名下，签名域完全对齐；仅意外的选择器名称并不是删除它的理由。 SAP 所有者应在停用前验证共享域配置文件。单独的群发邮件路由没有激活或接收者证据并保持打开状态。未执行任何租户、 DNS查询或消息。
实施工作表和发布限制
- 范围：确切的产品、租户 URL、环境、生产或测试状态、业务或大众路线以及所有者。
- 域地图：每个可见的域和子域、相关工作流程、回复所有者和共享配置文件。
- DNS ：当前提供商发布的三记录集、特定于环境的目标、现有冲突、TTL 和查找证据。
- 激活：支持参考、请求的路由、域到租户列表、提供商响应以及活动或保留选择器说明。
- 群发电子邮件规划：邮寄目的、收件人类别、预期数量、选择的子域和受控测试方法。
- 消息证明：来源参考、发件人、信封身份、 DKIM d=/s=值、可信结果、有效策略和对齐决策。
- 恢复：暂停权限、先前支持的路由、共享选择器依赖关系和退役批准。
实时租户设置、公共DNS 、实际激活、收到的标头和当前屏幕截图仍未验证。目视审查、人类 SME 批准和出版正在等待中。本指南是未出版的候选纪录片；特定于环境的目标、共享配置文件行为以及任何未经测试的业务或大众路线都需要在发布前进行确认。
来源可用性说明
SAP KB3573096 和 KB3728757 的解决方案文本已于 2026 年 11 月 8 日04:12:48 UTC 成功公开检索。后来的独立检查返回了需要登录的预览。上面的共享选择器和业务与大众的解释依赖于那些保存的主要源副本；实施前与 SAP 确认当前账户的适用性。
将传递的消息与执行准备情况分开
RFC 9989 第 7.4 节要求有效的DKIM才能进行域发布 p=reject 并对间接邮件互操作性提出警告。单个对齐的SPF结果本身并不能证明拒绝策略的推出是合理的。与此提供商设置分开审查所有合法路由和策略所有权。