从Amazon SES发送邮件至邮件组时SPF验证失败问题排查

当邮件通过HostGator邮件组转发时，Gmail验证SPF时会检查原始smtp.mailfrom域名（即amazonses.com）的SPF规则，而非你自身域名的SPF。因为转发过程中smtp.mailfrom仍保留为SES的地址，而amazonses.com的SPF不可能包含HostGator的IP（11.11.11.11），因此SPF验证失败。

• 强化自定义DKIM签名：你已拥有DKIM验证通过的记录，Gmail等邮箱会优先采信DKIM结果——即便SPF失败，只要DKIM有效，邮件仍能正常接收。确认你的DKIM密钥绑定在自身域名下，而非仅使用SES提供的DKIM。
• 开启ARC认证：联系HostGator开启ARC功能，让服务商在转发邮件时添加ARC头信息，保留原始邮件的SPF、DKIM认证结果。Gmail会验证ARC链中的原始认证记录，而非重新对转发IP执行SPF检查。
• 修改转发的Return-Path：配置HostGator邮件组，让转发时将Return-Path（即smtp.mailfrom）改写为你自身域名的地址。此时Gmail会检查你域名的SPF规则，而你的SPF已包含HostGator的SPF记录，可通过验证。
• 配置SES自定义Return-Path：在SES控制台设置发送邮件时使用自身域名的Return-Path（需先在DNS中配置对应的MX和TXT记录）。这样原始邮件的smtp.mailfrom即为你的域名，转发时即便IP变化，Gmail仍会验证你域名的SPF规则，从而通过检查。

内容的提问来源于stack exchange，提问作者Arivan Bastos