Gmail原始邮件显示SPF通过，但DMARC报告显示SPF失败

问题描述：使用第三方服务通过带自定义域名的Gmail账号发送邮件，收件人邮箱查看原始邮件时SPF显示PASS（IP为209.85.220.41），DKIM、DMARC均为PASS；但每日DMARC报告中，同一IP对应的SPF显示失败。

原始邮件详情：

• 主题：PR Wed Test 04
• SPF: PASS with IP 209.85.220.41
• DKIM: 'PASS' with domain rmtdigitalsolutions.com
• DMARC: 'PASS'

DMARC报告片段：

<source_ip>209.85.220.41</source_ip>
<count>1</count>
<policy_evaluated>
  <disposition>none</disposition>
  <dkim>pass</dkim>
  <spf>fail</spf>
</policy_evaluated>

可能的原因 #

• SPF验证的身份域不匹配：收件人邮箱显示的SPF PASS是针对信封发件人域名（如gmail.com）的验证结果，而DMARC报告中的SPF失败是因为它要求验证的是From头中的自定义域名（rmtdigitalsolutions.com）。如果你的自定义域名SPF记录未包含209.85.220.41这个IP，就会出现这种矛盾。
• DMARC的SPF对齐规则未满足：DMARC要求SPF验证通过的域名（信封发件人）必须与From头域名完全一致，或是其授权子域名。如果第三方服务发件时使用的信封发件人是gmail.com，而From头是你的自定义域名，即使gmail.com的SPF包含该IP，由于域名不对齐，DMARC仍会判定SPF失败。
• SPF记录配置遗漏：你的自定义域名的SPF记录可能仅包含了Gmail的SPF（include:_spf.google.com），但209.85.220.41不在Gmail的SPF范围内，或是该IP属于Gmail特定中继池但你的SPF未正确覆盖。

解决步骤 #

• 更新自定义域名的SPF记录：将209.85.220.41直接添加到rmtdigitalsolutions.com的SPF记录中。例如修改后的记录可以是：

  v=spf1 ip4:209.85.220.41 include:_spf.google.com -all
  

  注意：SPF记录长度不能超过255字符，避免过多嵌套include规则。
• 确保SPF域名对齐：联系第三方服务提供商，设置邮件的信封发件人域名与From头中的自定义域名一致。若无法修改信封发件人，可在自定义域名SPF中包含第三方服务的SPF记录（如有），或确认Gmail的SPF已覆盖该IP且满足对齐要求。
• 验证SPF配置有效性：使用DNS查询工具（如dig命令）检查自定义域名的TXT记录，确认SPF已正确包含目标IP。执行命令：

  dig rmtdigitalsolutions.com TXT
  

  查看返回结果中是否包含ip4:209.85.220.41或对应的包含规则。
• 测试并监控DMARC报告：修改配置后发送测试邮件，等待下一期DMARC报告，确认SPF状态是否变为PASS。

内容的提问来源于stack exchange，提问作者Epaulson2