คำตอบสั้น ๆ
ฉันจะตรวจสอบ MX, SPF, DKIM และ DMARC ได้อย่างไร?
รัน dig MX yourdomain +short สำหรับ MX, dig TXT yourdomain +short สำหรับ SPF, dig CNAME selector._domainkey.yourdomain +short สำหรับ DKIM และ dig TXT _dmarc.yourdomain +short สำหรับ DMARC บน Windows nslookup ทำสิ่งเดียวกัน การตั้งค่า Proton Mail เต็มบนโดเมน Postelva ใช้ 6 การค้นหาสำหรับ 8 เรคคอร์ด
การค้นหาแต่ละรายการตรวจสอบเรคคอร์ดใด
| ระเบียน | คำสั่ง dig | คำตอบที่ถูกต้องหน้าตาเป็นอย่างไร |
|---|---|---|
| MX | dig MX example.com +short | 10 mail.protonmail.ch. และ 20 mailsec.protonmail.ch. (Proton Mail) |
| SPF | dig TXT example.com +short | หนึ่งบรรทัดที่ขึ้นต้นด้วย v=spf1 เช่น "v=spf1 include:_spf.protonmail.ch ~all" |
| DKIM | dig CNAME fm1._domainkey.example.com +short | เป้าหมายของผู้ให้บริการ เช่น fm1.example.com.dkim.fmhosted.com. (Fastmail) |
| DMARC | dig TXT _dmarc.example.com +short | หนึ่งบรรทัดที่ขึ้นต้นด้วย v=DMARC1 เช่น "v=DMARC1; p=none; rua=mailto:[email protected]" |
| MTA-STS (ไม่บังคับ) | dig TXT _mta-sts.example.com +short | "v=STSv1; id=..." |
ตรวจสอบล่าสุดเมื่อ ; ข้อมูลเก่ากว่ามีวันที่กำกับของตัวเอง
# dig (macOS, Linux, Windows with BIND tools)
dig MX example.com +short
dig TXT example.com +short
dig CNAME protonmail._domainkey.example.com +short
dig TXT _dmarc.example.com +short
# Ask the authoritative nameserver directly, skipping caches
dig NS example.com +short
dig MX example.com +short @ns1.your-nameserver.example
# nslookup (Windows, macOS, Linux)
nslookup -type=MX example.com
nslookup -type=TXT _dmarc.example.com
# PowerShell
Resolve-DnsName -Type MX example.com
Resolve-DnsName -Type TXT _dmarc.example.comฉันตรวจสอบเรคคอร์ด MX อย่างไร?
รัน dig MX พร้อมโดเมนของคุณและ +short แล้วเทียบลำดับความสำคัญและชื่อโฮสต์กับค่าที่ผู้ให้บริการให้ คำตอบแสดงหนึ่งบรรทัดต่อเรคคอร์ด: ลำดับความสำคัญ ช่องว่าง และโฮสต์ สำหรับ Proton Mail คุณคาดหวัง 10 mail.protonmail.ch. และ 20 mailsec.protonmail.ch.; สำหรับ Fastmail คือ 10 in1-smtp.messagingengine.com. และ 20 in2-smtp.messagingengine.com.; สำหรับ Mailbox.org คือ mxext สี่โฮสต์
มีสองปัญหาที่พบบ่อย เรคคอร์ดของผู้ให้บริการเก่าที่ยังอยู่ในรายการทำให้การส่งไม่แน่นอน จึงต้องลบออก และคำตอบว่างหมายความว่าไม่มี MX ผู้ส่งจะใช้เรคคอร์ดที่อยู่ของโดเมนแทน ตามที่ RFC 5321 อธิบาย ความหมายของแต่ละบรรทัดอยู่ในMX record คืออะไร
ฉันตรวจสอบเรคคอร์ด SPF อย่างไร?
ขอเรคคอร์ด TXT ที่รากของโดเมน และยืนยันว่ามีเพียงหนึ่งบรรทัดที่ขึ้นต้นด้วย v=spf1 รากยังมีเรคคอร์ด TXT อื่น เช่น การพิสูจน์ความเป็นเจ้าของของผู้ให้บริการอีเมลของคุณ จึงต้องอ่านทั้งรายการ สองบรรทัดที่ขึ้นต้นด้วย v=spf1 เป็นข้อผิดพลาด: RFC 7208 ส่งข้อผิดพลาดถาวรเมื่อโดเมนมีเรคคอร์ด SPF มากกว่าหนึ่ง
จากนั้นนับการค้นหา แต่ละ include, a, mx, ptr และ exists รวมถึงตัวปรับ redirect นับเข้าขีดจำกัด 10 และ include ก็นับสิ่งที่ซ้อนอยู่ข้างในด้วย เรคคอร์ดที่เกินขีดจำกัดจะล้มเหลวสำหรับผู้ส่งทุกราย การสร้างเรคคอร์ดอธิบายในรายละเอียดที่วิธีสร้างเรคคอร์ด SPF
ฉันตรวจสอบ DKIM อย่างไรเมื่อไม่รู้ selector?
ใช้ selector ของผู้ให้บริการ: คุณไม่สามารถแสดงรายการ selector จาก DNS ได้ ให้ดึงจากหน้า DKIM ของผู้ให้บริการ DNS ไม่อนุญาตให้แสดงรายการชื่อใต้ _domainkey selector ของ Proton Mail คือ protonmail, protonmail2 และ protonmail3; ของ Fastmail คือ fm1, fm2 และ fm3; ของ Mailbox.org คือ MBO0001 ถึง MBO0004
ชื่อที่ค้นหาคือ selector._domainkey.yourdomain ผู้ให้บริการที่ใช้เรคคอร์ด CNAME เหมือนทั้งสามราย ตอบด้วย CNAME ไปยังโฮสต์ของตนเอง ผู้ให้บริการที่เผยแพร่กุญแจโดยตรงตอบด้วยเรคคอร์ด TXT ที่มี v=DKIM1 และ p= ตามด้วยกุญแจสาธารณะ p= ว่างหมายความว่ากุญแจถูกเพิกถอน การทดสอบที่แข็งแรงที่สุดคือข้อความจริง เพราะเรคคอร์ดที่มีอยู่อาจยังไม่ได้ใช้งาน: ส่งอีเมลไปยังผู้ให้บริการอื่นแล้วอ่าน dkim=pass ในส่วนหัวฉบับเต็ม
ฉันตรวจสอบเรคคอร์ด DMARC อย่างไร?
ขอเรคคอร์ด TXT ที่ _dmarc.yourdomain และยืนยันบรรทัดเดียวที่ขึ้นต้นด้วย v=DMARC1 และมีนโยบาย p= หากไม่มี p ผู้รับถือว่านโยบายเป็น none หากบรรทัดไม่มี rua จะไม่มีรายงานรวมถูกสร้าง ดังนั้นการเปิดตัว DMARC ในขั้นตอนการตรวจสอบจะไม่บอกคุณอะไร เรคคอร์ดรูปแบบเก่าอาจยังมีแท็ก pct ซึ่ง RFC 9989 ลบออก
โดเมนย่อยที่ไม่มีเรคคอร์ดของตนจะอยู่ภายใต้นโยบายของโดเมนหลักผ่านการเดินต้นไม้ DNS ที่มีคำถามไม่เกินแปดข้อ การค้นหาชื่อที่ไม่มีเรคคอร์ดคืนค่าว่าง ซึ่งเหมือนกับไม่มี DMARC
ทำไมการค้นหาของฉันยังแสดงค่าเก่า?
แคชเก็บคำตอบเก่าไว้จนกว่า TTL จะหมด และการไม่มีเรคคอร์ดก็อาจถูกแคชด้วย เวลาที่การเปลี่ยนแปลงจะกระจายไปคือประมาณ TTL เก่าของเรคคอร์ด ณ เวลาที่คุณเปลี่ยน คำแนะนำของผู้ขายระบุการเปลี่ยน MX ปกติ 1 ถึง 4 ชั่วโมง และสูงสุด 24 ถึง 48 ชั่วโมงในกรณีเลวร้ายที่สุด RFC 2308 เพิ่มว่าคำตอบเชิงลบถูกแคชด้วย TTL จาก SOA ของโซน ดังนั้นเรคคอร์ดที่เพิ่งสร้างอาจดูเหมือนไม่มีที่ตัวแก้ไขบางตัว
เพื่อข้ามแคช ให้ถามเนมเซิร์ฟเวอร์ที่มีอำนาจ ค้นหาด้วย dig NS แล้วทำการค้นหาซ้ำด้วย @ และชื่อของมัน ดังที่แสดงในบล็อกโค้ดด้านบน หากเซิร์ฟเวอร์ที่มีอำนาจแสดงค่าใหม่และตัวแก้ไขของคุณไม่แสดง ให้รอ หากทั้งสองไม่แสดง เรคคอร์ดไม่ได้ถูกบันทึกหรือชื่อโฮสต์ผิด ซึ่งส่วนใหญ่เกิดจากตัวแก้ไข DNS เพิ่มโดเมนสองครั้ง
หากอีเมลยังไม่มาถึงหลังจากเรคคอร์ดดูถูกต้อง ให้ไปที่ทำไมอีเมลไม่มาถึงโดเมนแบบกำหนดเอง
เครื่องมือออนไลน์ใดตรวจสอบเรคคอร์ดอีเมลได้บ้าง?
เครื่องมือค้นหา DNS ออนไลน์หรือตัวตรวจสอบการยืนยันตัวตนอีเมลใดก็ตามที่ค้นหา DNS สาธารณะจะให้คำตอบเดียวกับ dig พร้อมการแสดงผลที่เป็นมิตรกว่า ใช้เครื่องมือที่แสดงข้อความเรคคอร์ดดิบ เพื่อให้คุณเทียบกับค่าของผู้ให้บริการทีละตัวอักษรได้ อย่าวางข้อมูลส่วนตัวลงไป: ชื่อโดเมนคือสิ่งเดียวที่ต้องใช้
ตามการนับของ Postelva เมื่อ 12 พฤศจิกายน 2026 การตั้งค่า Proton Mail เต็มใช้ 8 เรคคอร์ด (TXT ยืนยัน 1, MX 2, SPF 1, DKIM 3, DMARC 1) และ 6 การค้นหา เพราะ MX สองรายการใช้การค้นหาเดียวร่วมกัน และเรคคอร์ด TXT สำหรับยืนยันกับ SPF ใช้การค้นหา TXT ที่รากร่วมกัน บันทึกคำสั่งหกคำสั่งไว้ครั้งเดียวและรันซ้ำหลังทุกการเปลี่ยนแปลง เรคคอร์ดเดียวกันถูกเทียบในSPF vs DKIM vs DMARC
การตรวจสอบเรคคอร์ดอีเมล: คำถาม
ทำไม dig แสดงค่า TXT ในเครื่องหมายคำพูด?
เครื่องหมายคำพูดแสดงขอบเขตของสตริง TXT ค่าที่ยาวกว่า 255 ตัวอักษรจะปรากฏเป็นสตริงในเครื่องหมายคำพูดหลายชุด ซึ่งผู้รับจะต่อรวมโดยไม่มีช่องว่าง
dig ทำงานบน Windows หรือไม่?
ได้เฉพาะเมื่อคุณติดตั้งเครื่องมือ BIND Windows มี nslookup มาในตัว และ PowerShell มี Resolve-DnsName ซึ่งอ่านเรคคอร์ดเดียวกัน
ฉันจะเห็นผล SPF, DKIM และ DMARC ของอีเมลจริงได้อย่างไร?
เปิดส่วนหัวฉบับเต็มของข้อความที่ได้รับ เซิร์ฟเวอร์ผู้รับบันทึกผล SPF, DKIM และ DMARC ไว้ในส่วนหัว ปกติเป็น pass หรือ fail
ฉันควรรอนานแค่ไหนก่อนตัดสินว่าเรคคอร์ดผิด?
รอขั้นต่ำเท่ากับ TTL ที่เรคคอร์ดเดิมมี แล้วค้นหาที่เนมเซิร์ฟเวอร์ที่มีอำนาจ หากเซิร์ฟเวอร์นั้นแสดงค่าผิด เรคคอร์ดต้องแก้ไข
ฉันตรวจสอบเรคคอร์ดของโดเมนที่ไม่ใช่ของฉันได้ไหม?
ได้ เรคคอร์ด DNS เปิดเผยต่อสาธารณะ และการค้นหาต้องใช้เพียงชื่อ
สรุป
- MX: dig MX example.com +short; เทียบลำดับความสำคัญและโฮสต์กับผู้ให้บริการของคุณ
- SPF: dig TXT example.com +short; มีหนึ่งบรรทัดที่ขึ้นต้นด้วย v=spf1 พอดี สูงสุด 10 การค้นหา
- DKIM: dig CNAME selector._domainkey.example.com +short โดยใช้ selector จากผู้ให้บริการของคุณ
- DMARC: dig TXT _dmarc.example.com +short; หนึ่งบรรทัดที่ขึ้นต้นด้วย v=DMARC1 พร้อม p= และ rua=
- การตั้งค่า Proton Mail เต็มใช้ 8 เรคคอร์ดและ 6 การค้นหา
- ขอให้เนมเซิร์ฟเวอร์ที่มีอำนาจข้ามแคช การเปลี่ยนแปลงใช้เวลาประมาณ TTL เก่าในการกระจาย
- Postelva โฮสต์เรคคอร์ดใน DNS ฟรี และ .com ราคา US$12.49/ปี ทุกปี
แหล่งที่มา (7)
- RFC 5321, Simple Mail Transfer Protocol, ส่วน 5.1 — RFC Editor (อ่านเมื่อ 2026-11-12)
- RFC 7208, Sender Policy Framework — RFC Editor (อ่านเมื่อ 2026-11-12)
- RFC 6376, DKIM Signatures — RFC Editor (อ่านเมื่อ 2026-11-12)
- RFC 9989, DMARC — RFC Editor (อ่านเมื่อ 2026-11-12)
- RFC 2308, Negative Caching of DNS Queries — RFC Editor (อ่านเมื่อ 2026-11-12)
- การเปลี่ยนแปลงเรคคอร์ด DNS ใช้เวลาเท่าไรในการกระจาย — Suped (อ่านเมื่อ 2026-11-12)
- การป้องกันการปลอมแปลงและโดเมนแบบกำหนดเอง — Proton (อ่านเมื่อ 2026-11-12)