如何正确配置FQDN使Sendmail适配PHP mail()并通过SPF验证？

兄弟，我太懂这种明明配置了SPF记录，结果邮件还是频繁卡SPF测试的憋屈感了！结合我帮人排查过的类似问题，给你梳理几个大概率能解决的方向：

• 先揪出Sendmail实际用的发件IP
  很多时候问题就出在这儿：Sendmail可能没用到你VPS的公网IP发件，反而用了内网IP或者其他网卡的IP。你可以直接看失败邮件的头信息，找Received字段里的IP（比如Received: from yourvps ([192.168.1.1])），对比你SPF记录里填的公网IP是不是一致。
  要是不一致，就得给Sendmail绑定正确的公网IP：修改/etc/mail/sendmail.mc，添加DAEMON_OPTIONS(Port=smtp,Addr=你的公网IP, Name=MTA')dnl，然后重新生成配置文件m4 /etc/mail/sendmail.mc > /etc/mail/sendmail.cf`，重启Sendmail服务就行。

• 检查SPF记录的格式和唯一性
  别小看格式错误，这是重灾区！正确的SPF是TXT类型记录，比如v=spf1 ip4:你的公网IP -all（-all表示严格校验，非指定IP发的直接拒绝）；如果想用域名A记录关联，就写v=spf1 a -all。
  另外，一个域名只能有一条SPF TXT记录，多了会直接导致解析失效！你可以用命令dig yourdomain.com txt查看，确保只有一条SPF记录，而且语法没毛病（比如没有多余的空格、符号）。

• 强制Sendmail用你的域名发件
  有些联系表单默认用服务器的主机名（比如localhost）当发件域名，这SPF肯定不通过。你得让Sendmail把发件人伪装成你配置了SPF的域名：
  修改/etc/mail/sendmail.mc，添加这几行：

  MASQUERADE_AS(`yourdomain.com')dnl
  FEATURE(`masquerade_envelope')dnl
  FEATURE(`masquerade_entire_domain')dnl
  

  之后重新生成配置、重启Sendmail，这样发件人（包括邮件头里的Return-Path）都会变成你的域名，SPF检测就能对应到你的记录了。

• 确认Return-Path的域名匹配SPF
  划重点：SPF测试是检查Return-Path对应的域名，不是你表单里填的显示发件人！如果Return-Path是服务器主机名或者其他未配置SPF的域名，就算显示发件人是你的域名也没用。用上面的masquerade配置就能把Return-Path也替换成你的域名，解决这个问题。

• 给DNS一点生效时间
  要是你刚改完SPF记录，别急着测试——DNS全球同步需要时间，TTL一般默认1小时，有的甚至更久。可以隔一段时间用dig命令多查几次，确认SPF记录已经在全网生效了再测试。

内容的提问来源于stack exchange，提问作者armadadrive