Azure 200刀试用号 微软云配置邮箱服务器
各位老板、IT小哥、被老板临时抓壮丁的行政小姐姐，以及刚在阿里云买了域名、正对着微软365后台发呆、手指悬在鼠标上三分钟没敢点下去的那位——别慌，这篇不是说明书，是‘人话版’邮箱服务器配置指南。没有PPT式术语轰炸，没有‘请参阅官方文档’这种甩锅式结尾，只有你真正需要的：点哪儿、输啥、等多久、错在哪、怎么救。
先泼一盆冷水：微软云配邮箱，真不难；但难在——你以为它简单，结果填错一条TXT记录，三天收不到验证邮件，客服说‘请检查DNS传播’，你打开站长工具一看，全球80%节点显示未生效，剩下20%还飘着个问号……最后发现，是把_domainkey写成了domainkey，少了个下划线。这种事，我们经历过，所以今天，帮你绕开所有坑。
第一步：确认你买的是‘能配邮箱’的服务
不是所有微软365套餐都自带邮箱！比如Microsoft 365 Business Basic有Exchange Online，能配；但Microsoft 365 Apps for business（以前叫Office 365 Business Apps）——抱歉，它只送Word和Excel，不送邮箱服务器。登录admin.microsoft.com，左下角点‘购买服务’，看有没有‘Exchange Online’字样。没有？赶紧升级，别硬刚，不然后面所有操作都是给空气写情书。
第二步：进后台，走‘添加域名’流程
登录管理员中心 → 左侧导航栏点‘设置’→‘域名’→右上角‘添加域名’。输入你的域名，比如yourcompany.com（注意：别带www，也别加http）。点击下一步，系统会自动给你生成四条DNS记录——别急着抄！先往下看。
Azure 200刀试用号 第三步：DNS四大金刚，一个都不能少
微软会要求你加4类记录：MX、TXT（验证用）、TXT（SPF）、CNAME（DKIM）。顺序不能乱，因为前两条是‘开门钥匙’，后两条是‘防伪标签’。我们按实操优先级排：
- MX记录（收信通道）：值为
yourcompany-com.mail.protection.outlook.com（注意中间是短横，不是点！且末尾有.com）。优先级填0。有些DNS服务商（比如腾讯云）默认给你填10，手动改成0，否则邮件可能被拒收。 - TXT验证记录（证明这域名真是你的）：主机名填
@或留空（看DNS面板），值是一长串带引号的字符串，形如"MS=ms12345678"。重点：引号必须保留！很多面板会自动删引号，你要手动加回去。填完等10分钟，回微软后台点‘验证’——如果失败，90%是引号丢了，或主机名填成了www。 - SPF记录（防别人冒充你发信）：主机名
@，值：v=spf1 include:spf.protection.outlook.com -all。注意：只有一个SPF记录！如果你之前有老SPF（比如用过SendGrid），得合并，别新建第二条，DNS不认双SPF。 - DKIM（加密签名，让Gmail不把你当垃圾邮件）：微软会给你两个CNAME记录，比如
selector1._domainkey和selector2._domainkey，指向一串.onmicrosoft.com地址。这里最容易错：主机名必须严格按微软写的填，包括selector1._domainkey里的点和下划线，一个字符都不能改。填错？DKIM永远验不过，Outlook邮箱右下角那个小锁图标永远不会亮。
第四步：DMARC（可选但强烈建议）
微软不强制，但你不配，等于把邮箱大门敞开还挂个‘欢迎钓鱼’的灯笼。在DNS里加一条TXT记录：
主机名：_dmarc
值：v=DMARC1; p=quarantine; rua=mailto:[email protected]; ruf=mailto:[email protected]; fo=1
解释一下：p=quarantine意思是‘可疑邮件先隔离别删’，比p=none（只报告）强，又比p=reject（直接拒收）稳妥。后续真出问题，你还能去隔离箱捞回来。
第五步：等待与验证的玄学时间
DNS传播不是秒到。官方说48小时，实际国内通常2-4小时，但高峰期（比如周一上午）可能拖到8小时。怎么判断是否生效？别刷微软后台！用命令行：nslookup -type=mx yourcompany.com（Windows）或dig mx yourcompany.com（Mac/Linux）。看到返回yourcompany-com.mail.protection.outlook.com，说明MX通了。再查SPF：nslookup -type=txt yourcompany.com，输出里要有v=spf1 include:spf.protection.outlook.com才算过关。
第六步：建用户邮箱，测试发信
域名验证通过后，回到‘用户’→‘活跃用户’→‘添加用户’。姓名、用户名（比如[email protected]）、密码搞定。等两分钟，登录outlook.office.com，用新邮箱+密码登。第一封测试邮件，务必发给Gmail或QQ邮箱——为什么？因为它们对SPF/DKIM最敏感。如果Gmail收件箱显示‘来自yourcompany.com’而非‘via outlook.com’，恭喜，你已通关。
最后，三个血泪教训
- 别在DNS里开‘DNSSEC’：微软365目前不兼容，开了就验证失败，关掉再试。
- Cloudflare用户注意：MX和TXT记录必须关掉‘代理’（橙色云朵变灰色），否则微软收不到验证请求。
- 换过DNS服务商？旧记录没清干净，新记录叠加上去，导致冲突。建议登录原DNS后台，把所有跟邮箱无关的MX/TXT全删了，只留微软要的那几条。
配完不是终点。建议每月登录security.microsoft.com，点‘Email & collaboration’→‘View email security reports’，看看DKIM通过率、SPF失败率。如果某天突然飙升，八成是哪个同事偷偷接了第三方群发工具，没配SPF，顺手把你整个域名拖下水。
写到最后，想说句实在的：邮箱配置不是炫技，是底线。客户发询盘进来，你回复‘邮件已收到’，结果对方说‘没收到’；合作伙伴发合同，你等三天没动静，才发现全进了Gmail垃圾箱……这些事，比加班更伤人。而这一切，往往就差一条没加对的TXT记录。
所以，别嫌啰嗦。把这篇存为网页书签，下次配新域名时，泡杯茶，照着点，一次过。毕竟，技术存在的意义，从来不是制造障碍，而是让沟通，真的发生。
