AWS SES代发test.gov邮件遭DMARC拒绝，同SPF规则test123.com正常

背景说明 #

我方拥有域名test123.com，客户域名为test.gov：

• test123.com的SPF记录：v=spf1 include:spf.protection.outlook.com -all，通过AWS SES发件时SPF校验通过，返回信息：

  Received-SPF: Pass (protection.outlook.com: domain of amazonses.com designates 54.240.9.12 as permitted sender) receiver=protection.outlook.com; client-ip=54.240.9.12; helo=a9-12.smtp-out.amazonses.com
  

• 我方在AWS SES中申请代发test.gov邮件并获客户批准，但发送时被AWS拒绝，提示：550-5.7.26 domain's DMARC policy（未认证的test.gov邮件不被接受）

两域名的DMARC策略均为拒绝级别：

• test123.com：v=DMARC1; p=reject; rua=mailto:98089075@test123.com; ruf=mailto:98089075@test123.com; sp=reject; fo=1; pct=100
• test.gov：v=DMARC1; p=reject; rua=mailto:catch@test.gov; ruf=mailto:catch@test.gov; sp=reject; fo=1; pct=100

问题解答 #

1. 为何test123.com使用相同SPF规则时AWS SES能通过SPF校验，test.gov却不行？ #

核心是SPF授权范围与DMARC对齐要求：

• test123.com能通过，是因为Outlook的spf.protection.outlook.com包含了AWS SES的发件IP，且发件时的Return-Path域名与From头的test123.com完成了DMARC对齐（比如SES配置中使用了test123.com的子域作为返回路径）；
• test.gov的SPF仅引用了Outlook的SPF，但AWS SES的发件IP不在该范围内，且没有配置对齐所需的域名设置，导致SPF校验直接失败，触发DMARC拒绝。

2. 按理解DMARC只要通过DKIM或SPF任一校验即可，为何仅单邮箱授权（未做域名DKIM授权）时，相同SPF规则在两域名表现不同？ #

DMARC的“通过”要求双重条件：要么SPF校验通过且域名对齐，要么DKIM校验通过且域名对齐：

• 对于test123.com，除了SPF授权，你可能已经配置了域名级的SES对齐（比如返回路径使用test123.com子域），满足DMARC对齐要求；
• 对于test.gov，仅做单邮箱授权，未配置域名级DKIM，也未设置SES使用test.gov的子域作为返回路径：一方面SPF本身未授权SES的IP，另一方面即使SPF偶然通过，也无法满足域名对齐，最终触发DMARC拒绝。

3. spf.protection.outlook.com是否会根据所在域名返回动态值？ #

不会。spf.protection.outlook.com是微软固定的SPF记录，返回的是Exchange Online/Outlook的官方发件IP范围，不会随引用它的域名变化。test123.com能通过校验，是额外的配置（比如Outlook侧允许SES代发）而非该SPF的动态性导致的。

4. 是否因test.gov未在Exchange控制台添加我方为批准发件人导致拒绝？ #

大概率是这个原因：

• 如果test.gov使用Exchange Online，即使SES获得代发授权，Exchange的发件人验证规则或连接器配置会阻止非授权IP发送以test.gov为发件人的邮件；
• 同时，Exchange的DMARC检查会严格执行对齐要求，若未在Exchange控制台添加SES为批准发件人，会直接触发DMARC的拒绝策略。

内容的提问来源于stack exchange，提问作者user1203347