范围和先决条件
以前的 ZeptoMail 域验证 URL 现在提供Zoho CPaaS 文档，更新于 2026 年 10 月 22 日。下面的域设置遵循当前页面及其事务电子邮件范围。确认租户中的产品标签和帐户路径，而不是假设历史屏幕截图仍然匹配。该页面明确排除促销批量电子邮件；营销活动属于受支持的营销服务。
配置记录的路由
- 步骤 1. 在域中，选择添加域并输入确切的域。关联适当的一个或多个代理。记录哪个应用程序使用每个代理，以便测试覆盖生产路线。
- 步骤2.选择未验证的域名并获取生成的 DKIM TXT和 CNAME 主机/值对。使用 DNS 提供商 选择器 或其他以了解预期的主机格式。
- 步骤 3. 在权威DNS服务上发布两条生成的记录。 DKIM记录携带公钥； CNAME建立退回邮件或 Return-Path 子域。请勿随意替换 MX记录 或猜测的 SPF 包括。
- 步骤 4. 返回产品并选择验证。其当前文档建议使用DKIM加上返回路径CNAME ，并指出单独的 SPF记录 此验证流程不需要。现有的不相关的SPF政策必须保持不变。
- 步骤 5. 如果验证待决，请比较活动的 名称服务器 以及准确的记录。记录的更新窗口为 24-48 小时；使用其验证工具包中的 Check DKIM和 Check CNAME进行调查，而不是重复重新生成密钥。
- 步骤 6. 通过指定的代理发送代表性交易通知。记录由生成的Return-Path选择的DKIM和SPF身份。
- 步骤7. 启动后保留记录。该服务会不断检查它们，如果所需的记录在帐户规定的截止日期之后仍然丢失，则可以暂停发送。
产品特定风险
新的DKIM选择器必须在使用前进行验证。该页面描述了在验证现有密钥后添加最多两个新密钥；使用帐户的轮换流程，而不是立即删除旧的DNS密钥。如果DNS更改后域被暂停，请恢复丢失的生成条目并重新验证。保持退回邮件路径正常工作：仅DKIM通行证并不能证明退回邮件处理已保留。
证明接收端的路由
使用批准的外部邮箱并保存完整的原始消息及其时间戳和消息标识符。本指南中没有声称进行现场租户测试。以下是实施期间需要完成的验收工作表，而不是 一个记录 观察到的结果。
- 证据字段：Visible From；记录内容：实际地址和域名；接受问题：这是预期的发件人身份吗？
- 证据领域：信封；记录内容： Return-Path和接收者报告的SPF域；验收问题： SPF实际验证了哪个域？
- 证据领域： SPF ；记录内容：可信接收者结果和评估的身份；验收问题：它通过了吗？该身份是否一致？
- 证据领域： DKIM ；记录内容：每个d=域，s=选择器和接收器结果；验收问题：至少有一个通过的签名是否对齐？
- 证据领域： DMARC;记录内容：接收结果和适用的政策；验收问题：是否存在对齐的通过路径？
- 证据字段：路线；记录内容：产品、账户、消息类型；验收问题：测试是否使用生产路径？
DMARC需要至少一条对齐的、通过的SPF或DKIM路径。仅传递来自不相关服务域的签名是不够的。严格的 结盟 需要精确的域相等；宽松的对齐使用适用的组织域关系。在宣布成功之前检查域的实际对齐设置。子域不是自动严格匹配。 SPF使用SMTP身份，而不是显示名称或回复。咨询 对齐术语表 记录决定时。
使用 Authentication-Results 来自您信任的接收系统，而不是任意发送者提供的标头。捕获所有签名，而不是在第一次失败时停止。对于转发的邮件，将直接测试与转发的副本进行比较：转发可能会更改SPF评估或更改签名的内容。不要通过将货运代理的地址添加到您的提供商授权中来诊断这些影响。
在不扩大访问范围的情况下诊断故障
首先将权威DNS与准确配置的记录名称进行比较，然后检查递归可见性和服务验证。错误的名称、截断的密钥或冲突的CNAME无法通过等待缓存来修复。所有者仅保留一个SPF策略，并在合并另一个发件人之前检查评估的包含和重定向中的 10 个 DNS 查找术语限制。 DKIM选择器属于单独的签名配置；不要覆盖其他应用程序的记录来强制验证结果。
如果身份验证通过但传送效果不佳，请分别检查收件人响应、信誉、内容和发送权限。 DMARC通行证不承诺接受或收件箱放置。如果两条路径均不一致，请停止扩展并更正实际的发送器配置。不要削弱整个域的DMARC策略来隐藏单个产品故障。
移交和恢复
与指定所有者一起保存批准的DNS差异、公共查找结果、服务状态和经过编辑的接收消息工作表。将凭据和私钥保留在票证之外。出现故障时，暂停受影响的发送作业或使用服务所有者控制下的先前测试的路由。仅恢复属于此集成的已更改记录；保留飞行消息所需的公钥。回滚、密钥轮换、域迁移或出站中继更改后重新测试。仅当产品所有者和邮件管理员可以解释观察到的身份链时才关闭更改。
确认提供商边界
当前页面将共享记录功能限制为 Postmaster 和 Engineer 角色，并列出了 100 个域帐户的上限。其可选的一键式DNS流程是一个单独的授权选择，不需要手动设置。阅读实际的警告期限，而不是发明一个普遍的宽限期。在添加记录的附加密钥之前，需要验证现有密钥。
完成一个虚构的诊断案例
仅虚构的书面案例：ZP-01 假设alerts@shop.example已在一个代理上传递d=shop.example ，但第二个应用程序使用其域关联未确认的代理。没有第二次申请信封或签名结果。应用程序所有者必须验证该关联并仅发送经过批准的事务测试。第一个代理商的结果并不能证明第二个路线或营销资格。在这种情况下，没有执行任何租户、 DNS 、服务器命令或消息。
将传递的消息与执行准备情况分开
RFC 9989第 7.4 节要求发布p=reject域具有有效的DKIM ，并警告间接邮件互操作性。单个对齐的SPF结果本身并不能证明拒绝策略的推出是合理的。与此提供商设置分开审查所有合法路由和策略所有权。