允许HELO/EHLO验证但禁止子域发送邮件的SPF配置方案咨询

首先，咱们先明确你的核心需求：确保邮件服务器用mail.example.com做HELO/EHLO时能通过验证，同时完全禁止任何以子域（比如mail.example.com、www.example.com、autoconfig.example.com等）为发件人域名的邮件被发送。下面分步骤给你梳理可行的配置方案：

一、先搞定HELO/EHLO验证的核心前提 #

你已经做了最关键的两步：

• 服务器IP的PTR记录指向mail.example.com
• HELO/EHLO响应是mail.example.com
  这已经满足了绝大多数邮件系统的HELO验证要求——反向解析与HELO域名匹配，这是HELO验证的核心标准。很多系统不会额外检查HELO域名的SPF记录，所以即使mail.example.com的SPF是拒绝所有，HELO验证依然能通过。

二、子域SPF配置（彻底禁止子域发件） #

针对所有子域，直接设置拒绝所有发送请求的SPF记录：

• 对于www.example.com：

  www TXT v=spf1 -all
  

• 对于autoconfig.example.com、autodiscover.example.com这类CNAME子域：
  注意CNAME记录的域名不能直接设置TXT记录，所以你需要把这些CNAME对应的目标域名设置SPF为-all；如果这些子域是你自己控制的，也可以把CNAME改成A记录后再加SPF。
• 对于mail.example.com：
  直接设置SPF为拒绝所有：

  mail TXT v=spf1 -all
  

  如前面所说，因为你的PTR和HELO已经匹配，HELO验证不会受影响，同时这个配置会拒绝任何尝试发送user@mail.example.com的邮件。

三、主域SPF保持现有配置 #

你的主域SPF设置没问题：

@ TXT v=spf1 mx ~all

这个配置允许mx记录指向的mail.example.com服务器发送主域example.com的邮件，软拒绝其他IP的发送请求，完全符合你的需求。

四、额外配置DMARC强化防护（可选但推荐） #

为了进一步防止子域被伪造发送，建议在主域添加DMARC记录：

@ TXT v=DMARC1; p=quarantine; sp=reject; adkim=s; aspf=s; rua=mailto:dmarc-report@example.com; ruf=mailto:dmarc-failure@example.com

解释下关键参数：

• p=quarantine：主域未通过SPF/DKIM的邮件会被隔离（你可以根据情况改成p=reject）
• sp=reject：所有子域未通过SPF/DKIM的邮件直接被拒绝
• adkim=s、aspf=s：要求DKIM/SPF严格对齐，确保发件人域名与签名域名完全匹配
• rua、ruf：指定接收DMARC报告和失败报告的邮箱，方便你监控邮件发送情况

这样配置后，即使有漏网之鱼尝试伪造子域邮件，DMARC也会直接拒绝，同时主域的邮件发送不受影响，HELO验证也能正常通过。

最后确认邮件服务器配置 #

别忘了在你的邮件服务器上做个检查：确保所有发送的邮件，发件人域名都是example.com，而不是mail.example.com。这样从源头避免自己的服务器发送子域邮件，再配合SPF和DMARC的配置，就能完全满足你的需求了。

备注：内容来源于stack exchange，提问作者Роман Коптев