DMARC设置为p=reject后谷歌日历、表单等应用邮件发送失败如何解决

问题根本原因 #

你遇到的拦截是DMARC对齐校验失败导致的：你已经在SPF中添加了谷歌的SPF记录，但谷歌日历、表单等非Gmail原生应用发出的通知邮件，默认使用谷歌通用域名作为SPF信封返回地址，和你自定义域名的头From地址无法对齐；同时你未配置谷歌DKIM签名，没有其他有效凭证通过DMARC校验，因此触发了p=reject策略被拦截。

问题1：如何配置避免谷歌应用邮件被拦截 #

按以下优先级操作即可解决：

1. 配置谷歌DKIM签名（必做）
   谷歌所有应用邮件只要带上你域名的有效DKIM签名，就能满足DMARC的对齐要求，不需要依赖SPF对齐，操作如下：
   • 登录Google Workspace管理后台，依次进入应用 > Google Workspace > Gmail > 验证电子邮件
   • 选择你的自定义域名，生成DKIM密钥，谷歌会给出对应DKIM记录的主机名（通常为google._domainkey）和TXT值
   • 到域名服务商处添加这条TXT记录，TTL设置为1小时
   • 回到谷歌管理后台点击启动验证，验证通过后开启DKIM签名即可
2. 补充调整应用发件配置（可选，适配特殊场景）
   如果配置DKIM后仍有少量邮件被拦截，可额外调整：
   • 进入谷歌日历设置，将日历邀请的发件人地址设置为你的自定义域名，禁止使用谷歌默认代理域名
   • 进入谷歌表单设置，开启使用自定义域名发送通知邮件的选项
   • 调整期间可临时将DMARC策略改为p=quarantine，观察2~3天聚合报告确认没有失败记录后，再改回p=reject

问题2：配置位置说明 #

需要同时在域名服务商和Google Workspace两个层面配置：

• 域名服务商侧：仅需要新增谷歌生成的DKIM TXT记录，你现有的SPF、DMARC记录无需改动
• Google Workspace侧：必须完成DKIM开启验证，以及对应应用的发件人设置，否则谷歌不会为你的应用邮件签发对应域名的DKIM签名，仍会触发DMARC校验失败

内容的提问来源于stack exchange，提问作者Aditya Raman