網站寄出的信跑進垃圾信件匣？SPF、DKIM、DMARC 一次看懂

客人在網站填了詢價表單，系統說「已送出」，你卻沒收到通知信。或是你寄報價單過去，對方說一直沒看到，最後在垃圾信件匣找到。

信件被擋，很多時候不是內容的問題，是收信的一方無法確認「這封信真的是你家寄的」。現在大部分信箱都靠三筆設定來判斷：SPF、DKIM、DMARC。

為什麼要證明「信是我寄的」

寄信的時候，寄件人地址可以隨便填。詐騙信就是利用這點，假裝成銀行、物流公司寄信。所以 Gmail、Outlook 這些信箱收到信時，會去查寄件網址的 DNS 設定，看這封信有沒有通過驗證。沒有設定、或設定錯誤，信就容易被當成可疑郵件。

這三筆設定都放在網址的 DNS 裡，網站本身不用改。

SPF：誰可以用我的網址寄信

SPF 是一筆 TXT 紀錄，列出「可以用這個網址寄信的伺服器」。例如公司信箱用 Google Workspace，SPF 就要寫上 Google 的寄件伺服器。

v=spf1 include:_spf.google.com ~all

最常見的錯誤有兩個：

• 一個網址只能有一筆 SPF。用了兩家服務（例如信箱一家、電子報一家），要合併寫在同一筆，不能各加一筆。
• 網站主機忘了加進去。網站表單是從主機寄出的，SPF 沒列主機，表單通知信就過不了。

DKIM：信件上的數位簽章

DKIM 會在每封信加上一個簽章，收信方用你放在 DNS 的公開金鑰檢查，確認信件從寄出到收到都沒有被改過。

DKIM 的金鑰是寄信服務產生的，到 Google Workspace、Microsoft 365 或電子報服務的後台啟用，再把它給的那筆紀錄貼到 DNS。

DMARC：沒通過驗證的信要怎麼處理

DMARC 告訴收信方：SPF、DKIM 都沒通過的信，要放行、放進垃圾信件匣，還是直接拒收，並且可以把每天的驗證結果寄報告給你。

v=DMARC1; p=none; rua=mailto:dmarc@example.com.tw

建議先用 p=none（只收報告、不擋信），觀察一陣子，確定自己所有寄信的管道都通過驗證，再慢慢改成 quarantine（放進垃圾信件匣）或 reject（拒收）。一開始就設最嚴格，可能把自己的正常信件也擋掉。

Gmail 和 Outlook 的寄件規定

這幾年各大信箱都提高了要求：

• Gmail：2024 年 2 月起，寄信到 Gmail 的寄件者都要設定 SPF 或 DKIM。每天寄給 Gmail 超過 5,000 封的大量寄件者，還要同時設好 SPF、DKIM、DMARC，行銷信要提供一鍵取消訂閱，垃圾信檢舉率要低於 0.3%。
• Outlook：Microsoft 從 2025 年 5 月起，對每天寄超過 5,000 封到 Outlook.com、Hotmail、Live 信箱的寄件者，要求 SPF、DKIM、DMARC 都要通過，沒通過的信會先被放進垃圾郵件。

一般公司每天寄不到這麼多信，但三筆都設好，信件被擋的機會就小很多。

網站寄信最常見的 3 個問題

一、網站用主機直接寄信。 很多網站預設用主機內建的方式寄信，寄件網址和主機對不上，很容易被擋。比較穩的做法是讓網站透過公司信箱的 SMTP 寄出。WordPress 網站可以看〈WordPress 寄不出信怎麼辦〉。

二、雲端主機不能直接寄信。 很多雲端主機會擋住寄信用的連接埠，網上不少教學是改用專門的寄信服務，再把那家服務加進 SPF、啟用 DKIM。

三、還在用舊的 Gmail 設定。 以前有些網站或事務機，是用 Gmail 帳號密碼加上「低安全性應用程式」寄信。Google 已經停止支援這種方式，要改用應用程式密碼或 OAuth 登入。

怎麼檢查有沒有設好

最簡單的方法：從網站或公司信箱寄一封信到自己的 Gmail，打開信件右上角的選單，選「顯示原始郵件」，就能看到 SPF、DKIM、DMARC 是不是「PASS」。

也可以用 MXToolbox 這類免費工具查網址的設定，用法在〈網站自我檢查的免費工具〉。

正威可以幫什麼

正威網路行銷是 25 年經驗的基隆網頁設計工作室，也提供台北網頁設計與全台灣的網站服務。網站管家年費包含網址註冊與續約、系統與外掛更新；網站表單收不到信、寄出的信進垃圾信件匣，歡迎免費諮詢，我們可以先幫你查 DNS 的設定。