域名邮箱用Google Workspace、发件走Amazon SES，MTA-STS该配置哪种MX记录？

MTA-STS是专门管控入站邮件传输安全的协议，它只约束外部发信MTA投递邮件到你域名时的行为，和你用什么服务发信（比如Amazon SES）完全无关。

结合你的场景，正确的配置逻辑是：

• 你的域名邮箱由Google Workspace管理，所有发给你域名的邮件最终由Google的MX服务器接收，所以MTA-STS记录里必须配置Google Workspace官方的MX地址（比如aspmx.l.google.com、alt1.aspmx.l.google.com等），且要和你域名DNS上实际生效的MX记录完全一致。
• Amazon SES是你用于发送邮件的服务，属于出站邮件环节，MTA-STS不涉及出站邮件的管控，因此不需要把SES的任何服务器地址加到MTA-STS的MX列表里。

额外提醒两点：

• 若MTA-STS的MX列表和DNS中的MX记录不匹配，外部发信MTA会拒绝投递邮件，务必保证两者完全一致。
• 出站邮件的安全性由SPF、DKIM、DMARC协议保障，你需要单独配置SES相关的SPF记录、DKIM签名，这些和MTA-STS是独立的配置体系。

内容的提问来源于stack exchange，提问作者Serhii Polishchuk