為什麼發給客戶的報價單，總是進了對方的垃圾郵件箱？
在香港的商業運作中，電郵依然是處理合約、發送發票與確認訂單的最核心渠道。然而，不少本地中小企業主與業務團隊近期常遇到類似困擾：客戶投訴收不到報價單、重要通知郵件直接被丟進垃圾郵件箱（Spam Folder），甚至被對方的郵件伺服器直接退信（Bounce）。
這背後並非單純因為信件內容或用字問題，而是全球電郵生態在過去兩年間發生了根本性的轉變。各大主要郵件服務商（包括 Google Workspace、Yahoo Mail 及 Microsoft 365）已全面落實嚴格的發件人驗證政策。如果企業的自訂域名未有在 DNS 伺服器中正確設定 SPF、DKIM 與 DMARC 三重身份驗證，外發電郵極容易被各大伺服器標記為「不可信」或「潛在偽冒信件」。
本文將為香港中小企詳細拆解這三大電郵驗證機制的原理、常見配置盲點，以及如何建立一套穩健的電郵防偽與高送達率體系。
—
三大電郵防偽驗證核心：SPF、DKIM、DMARC 究竟是什麼？
要理解電郵為何會被攔截，首先需要明白傳統電子郵件協議（SMTP）在設計之初缺乏嚴謹的身份校驗機制。任何人理論上都可以偽造發件人地址（例如使用 [email protected]）。為了解決這個漏洞，國際互聯網工程任務組（IETF）發展出了三層互補的防禦與驗證標準：
1. SPF（Sender Policy Framework，發件人策略框架）
作用：授權指定的伺服器代表你的域名發送電郵。
SPF 是一條發布在域名 DNS 上的 TXT 記錄，裡面列出所有被允許發送該域名郵件的 IP 地址或第三方服務商（例如自身的 Email Hosting 伺服器、EDM 行銷發信系統或 CRM 平台）。
- 接收端運作方式：當客戶的郵件伺服器收到一封自稱來自
yourcompany.hk的電郵時，會查詢該域名的 SPF 記錄。若發信伺服器的 IP 不在清單內，郵件便會被判定為未授權或可疑。 - 典型 TXT 記錄範例：
v=spf1 include:_spf.kowloon.hk ~all
2. DKIM（DomainKeys Identified Mail，域名密鑰識別郵件）
作用：確保郵件在傳輸過程中未被篡改，並確認發信者確實擁有該域名。
DKIM 採用非對稱加密技術。發件伺服器在寄出電郵時，會利用私鑰（Private Key）對郵件標頭與內容進行數字簽名，並將簽名附加於電郵標頭（DKIM-Signature）。
- 接收端運作方式：收件方伺服器會向發件域名的 DNS 查詢公鑰（Public Key），並對簽名進行解密驗證。若內容在傳輸中途被攔截篡改，簽名校驗便會失敗。
- 對企業的意義：證明郵件內容原汁原味，防止中途人攻擊（Man-in-the-Middle Attack）。
3. DMARC（Domain-based Message Authentication, Reporting, and Conformance）
作用：統一驗證策略，並指示收件伺服器在 SPF/DKIM 失敗時應如何處理。
單有 SPF 和 DKIM 還不夠，因為缺乏統一的處理指令與反饋機制。DMARC 建立在 SPF 與 DKIM 之上，它明確告訴接收方：「如果這封信通過不了 SPF 或 DKIM 驗證，你應該直接放行（none）、隔離進垃圾箱（quarantine），還是直接拒收（reject）？同時，請發送報告給我。」
- DMARC 策略級別：
p=none：僅監控並收集回報，不攔截郵件（適合初期部署測試）。p=quarantine：將未通過驗證的郵件移至垃圾郵件箱。p=reject：直接拒收未授權郵件（最高級別保護，徹底杜絕黑客偽冒你公司發送假發票）。
—
香港中小企在電郵驗證上的 4 大常見失誤
失誤一：擁有多個發信來源，卻只設定了一組 SPF
很多香港公司除了使用常規的企業電郵託管（Business Email Hosting）外，還會使用 Mailchimp 發促銷信、Shopify 發訂單通知、Xero 發電子發票。如果 DNS 的 SPF 記錄只授權了主要電郵主機，其他系統發出的官方通知就會全部被視為「非法發信」而進 Spam，甚至導致主域名信譽受損。
失誤二：SPF 記錄超過 10 次 DNS 查詢上限（Lookup Limit）
根據 RFC 7208 規範，SPF 在解析過程中的 include 與域名查詢次數不可超過 10 次。若企業疊加過多外部發信服務商，會導致 SPF 查詢超限（PermError），令接收方直接放棄驗證，電郵送達率隨即雪崩。
失誤三：DKIM 簽名與發信域名不一致（Alignment Failure）
使用第三方服務發信時，若未在 DNS 設定對應的 CNAME 或 TXT 公鑰，郵件可能會使用第三方系統的默認域名進行簽名。雖然 DKIM 技術上通過，但無法與企業自身的頂級域名對齊（DMARC Alignment 失敗），依然會被 Gmail 或 Outlook 判定為不合格。
失誤四：DMARC 長期停留在 p=none 且無人監控報告
有些企業雖然開啟了 DMARC，但僅設為 p=none，也沒有配置收集 XML 報告的郵箱地址。這樣既無法防止騙徒偽冒公司電郵向客戶發送假匯款帳號（電郵詐騙 BEC），也無法得知自身是否有合法業務信件正被誤判。
—
改善電郵送達率的 4 步落地實施流程
- 盤點所有外發電郵系統：列出全公司所有代表
@yourcompany.hk發信的渠道，包括辦公室電郵、網站伺服器自動信件、會計軟件、CRM 系統及 EDM 行銷工具。 - 整合並精簡 SPF 記錄：將所有合法發信來源整合至單一 TXT 記錄中，確保不超過 10 次 DNS Lookup。確保記錄結尾採用
~all（軟失敗）或-all（硬失敗）。 - 為每個發信系統啟用 DKIM：向各個電郵服務商取得專屬的 DKIM 選擇器（Selector）與公鑰，逐一寫入 DNS 管理後台。
- 漸進式部署 DMARC 策略：
- 第一階段：設定
p=none; rua=mailto:[email protected]，觀察 2–4 週的分析報告，確認所有合法業務郵件均已正確簽名。 - 第二階段：提升至
p=quarantine; pct=50，逐步提高隔離比例。 - 第三階段：最終實現
p=reject，完全封殺任何未經授權的偽冒信件。
- 第一階段：設定
—
總結：電郵基礎設施是企業品牌資產的第一道防線
維持良好的電郵送達率與域名信譽（Domain Reputation），並非單純的 IT 技術瑣事，而是直接關乎企業能否順暢與客戶溝通、成交訂單及保障財務安全的商業基石。選擇具備完善 DNS 管理支援與專業技術架構的企業電郵託管服務，能讓中小企在開展海外與本地業務時，免除郵件遺失與被詐騙偽冒的後顧之憂。
