DNS 三件套 SOP：SPF/DKIM/DMARC 与自有域送达率基线

B 方向·OPC 最佳实践（关闭批十断点）。邮件通道课题（japan-email-channel-basics）确认了「三大 carrier 默认拒无认证邮件」——本篇把 SPF/DKIM/DMARC 的设置 SOP 定型，让邮件腿从 Day 1 就有送达率。

背景与问题

• 通知ハブ的第二腿（LINE→邮件→SMS）里，邮件腿的质量完全取决于域名认证——配错一次，LINE 故障时的 fallback 就是哑的（最坏时序）。

发现

认证三层（2026-09-14，SOP 定型；各服务商 include 值以官网为准）：

• SPF：TXT 记录声明「谁可以替我发信」——自有域+发信服务商的 include（Resend/SendGrid 等各一条）。
• DKIM：服务商発行の CNAME/TXT 署名键——转发场景でも有效な认证层（SPF 単独は転送で破绽する）。
• DMARC：p=none（观察）开始→レポート见て→p=quarantine 渐进——いきなり reject しない。
• 【事实】日本三大 carrier（docomo/au/SoftBank）は無認証メールを默认拒否/迷惑判定（japan-email-channel-basics 记录済み）+Gmail/Yahoo! の 2024 年以降の发信者要件强化（大量送信ドメインに SPF+DKIM 必须化）【常识性动向，阈值待核】。

结论

可行动启发：

1. 上线前 SOP 定型：SPF（1 行 include 列表）→DKIM（服务商 CNAME 3 条）→DMARC（p=none）→MXToolbox/Google Postmaster で认证确认——四步 checklist 写进恢复文档第一批（与监控配置同批入 Git）。
2. 发信域分离：mail.example.jp サブドメイン用于营销/通知，主域信誉与事务邮件分离——主域一旦被判定 spam，全线通知都死。
3. 送达率测试用「三 carrier+Gmail 実测」：种子地址（docomo/au/SoftBank/Gmail 各 1）自测到达——japan-email-channel-basics 的 carrier 行为表与实测互相校准。
4. DMARC レポート月次目視：p=none 期间每月看一次未授权发信源（伪造の早期发见=品牌保护兼セキュリティ），安定后升 quarantine。

待办 / 下次继续

• 发信服务商决定后：include/CNAME 值三件存档（SPF/DKIM/Return-Path）。
  
• 种子测试地址组（4 家）准备+实测记录表。
  

关联

• 通道族：japan-email-channel-basics（carrier 行为）× 本篇（域名认证）× opc-monitoring-basics-solo（邮件腿死活监控）；文档 opc-security-baseline。