凌晨报警：一封营销邮件被 550 拒绝，另一封卡在 4xx 队列反复重试；对方回了“已接收”，邮件仍进垃圾箱。盲目重发只会增加重复投递。定位应从 SMTP状态码 查到 SPF、DKIM、DMARC 结果，再用 Postfix队列日志 确认失败节点。
如果你正在选机器，或者想先把线路和配置跑通再谈长期方案，可以先看看这几家的线路说明和技术参数：dogyun（低价云服务器），先看清带宽线路、流量策略和退款条款，再决定要不要迁。
一、先分清拒收、暂缓与接收成功
4xx 是临时故障，如超时、灰名单或限流，Postfix会保留队列并退避重试；5xx 是永久失败，550 多见地址或策略拒绝，552 表示邮箱已满，554 常指策略拦截。返回 250 只表示服务器接收消息，不等于进入收件箱。
SPF 校验信封发件人 MAIL FROM，也就是 Return-Path；DKIM 签署邮件头和正文；DMARC 检查 SPF 或 DKIM 是否与可见 From 域对齐，再按 p=none、quarantine、reject 决定监测、隔离或拒收。结果必须连读：若 MAIL FROM 属于发信域而 From 属于另一域，SPF即使通过，DMARC仍可能失败。
认证失败与判垃圾箱应分开。前者可在 Authentication-Results、Received 或 DMARC 报告中找到依据；后者常先返回成功，再被信誉、链接或内容规则归档，应查发信域与发送节奏。
二、用队列日志还原真正的失败节点
先收集状态码、原始响应、时间戳、队列编号和收发地址，再运行 postqueue -p 查看队列，并按编号读取日志。deferred 是临时错误，应关注重试时间；bounced、rejected 则沿上游记录找到出错节点。“已连接”不等于投递成功，DATA阶段仍可能被拒。自有主机可用随身服务器汇总队列和退信日志。
修复顺序是：先确认地址有效，再核对 SPF授权与 DNS查询次数、DKIM的 selector、d= 和签名域；随后确认 SPF 或 DKIM 至少一条与 From 对齐，并检查 DMARC 的 p值及报告邮箱。常见坑是塞满 SPF、轮换密钥时误删旧 selector、DNS未生效就清队列重投。5xx修正后生成新邮件，4xx保留原队列重试；sent后仍进垃圾箱，再查接收方信誉报告。
从 SMTP 状态码追到真正的失败环节
SMTP 状态码要结合阶段判断：250只代表对方队列已接收；4xx是临时错误，如 421 限流、450 邮箱忙、451 容量或策略问题；5xx是永久失败，如 550 策略拒绝、551 转发被拒。优先查看 DSN 的 Diagnostic-Code，再用 Postfix 日志确认失败发生在连接、握手还是收件阶段。增强码 5.1.1 多指地址不存在，5.7.1 多指发件策略或验证失败。遇到 452、临时 DNS 错误和连接超时应等待重试，反复投递只会加重限流。
把 DMARC 处置做成可观测、可回滚的闭环
校验的关键是对齐。SPF 检查发信主机是否获授权，常见坑是 MAIL FROM 与显示发件人混用、超过十次 DNS 查询、递归包含，以及用 SPF 验证邮箱是否存在。DKIM 要确认签名有效、selector 未过期、canonicalization 一致；DKIM 签名对齐要求签名域与 RFC5322.From 对齐，SPF 对齐通常要求 MAIL FROM（Return-Path）域与 From 对齐。转发、客户端改写主题或发信平台换域都会破坏对齐，伪造 From 不能解决根因。
DMARC 处置宜渐进：先用 p=none收集 rua/ruf 报告，修复后切到 quarantine，确认第三方代发和列表发送都已配置，再以 pct=100启用 reject。每次变更都记录子域策略、报告地址与回滚条件。Postfix 侧先执行 postqueue -p查看队列，再用 postcat -vq 队列号核对原始内容，并结合 maillog 区分连接失败、收件人拒绝、延迟退信和本地策略拦截。先修复根因，再删除重投队列，避免用 postsuper -d 误删重要邮件。
可执行检查清单：①核对 From、Return-Path 与 DKIM 的 d=；②查询 SPF、DMARC、DKIM selector 和 MX；③验证 relaxed/strict 对齐；④定位 SMTP 阶段、状态码与 DSN；⑤检查队列年龄、延迟原因和重试结果；⑥抽样测试正常收件、转发、批量发送及退信；⑦为 DNS、DMARC 和队列操作设置回滚点。全部通过后再扩量，并持续观察 DMARC 聚合报告。
喜欢 
顶
难过
囧
围观
无聊
