SPF规则下Postfix转发邮件至Gmail被拒的问题排查与解决

1. 问题根源 #

Postfix转发邮件时未修改原发送方的MAIL FROM地址（即some-sender-domain.de），而你的服务器IP不在该域名的SPF记录允许范围内。Gmail对邮件进行SPF校验时，发现发送IP不符合原域名的SPF规则（该域名SPF设为-all硬拒绝），因此判定邮件为可疑并拒收。

2. 为何Gmail判定为我方服务器原创邮件 #

你的Postfix是通过别名直接转发邮件，这种转发方式未修改邮件的MAIL FROM字段，也没有添加任何转发身份验证标识（如SRS重写、DKIM签名）。Gmail校验SPF时，是基于MAIL FROM域名来验证发送IP的合法性——此时邮件从你的IP发出，但原发送方域名的SPF并未授权你的IP，所以Gmail会认为这是你的服务器伪造了原发送方地址，而非合法转发，最终导致SPF硬失败。

3. 解决方法 #

推荐按优先级选择以下方案：

• 启用发件人重写服务（SRS）：这是转发场景下解决SPF问题的标准方案。给Postfix安装postfix-srs工具，配置后转发邮件时会将原MAIL FROM地址重写为以mydomain.de为后缀的地址，此时Gmail会用你的域名SPF记录（v=spf1 mx -all）校验，你的IP作为MX记录对应的服务器IP，会通过SPF校验。同时SRS会保留原发送方信息，用户回复时能正确路由到原发件人。
• 修改转发时的MAIL FROM地址：配置Postfix将转发邮件的MAIL FROM改为你的域名地址（如info@mydomain.de），这样SPF校验会使用你的域名规则，能通过校验。但此方法会丢失原发送方的回复路径，用户回复邮件时会发送到你的info@mydomain.de邮箱，而非原发件人，体验较差。
• 请求原发送方调整SPF记录：让some-sender-domain.de的管理员在其SPF记录中添加你的服务器IP。但此方法依赖对方配合，且如果涉及多个发送方，无法批量解决，可行性较低。

内容的提问来源于stack exchange，提问作者dr0bz