亚马逊SES的SPF记录失败。

Question

我们已经在Amazon SES上设置了SPF。

当我们使用https://www.dmarcanalyzer.com/进行测试时，

我们得到以下结果：

所以一切似乎都是正确的。

然而，在我们的 DMARC 报告中，我们得到了一个失败。

<record>
    <row>
      <source_ip>209.85.220.69</source_ip>
      <count>1</count>
      <policy_evaluated>
        <disposition>none</disposition>
        <dkim>pass</dkim>
        <spf>fail</spf>
      </policy_evaluated>
    </row>
    <identifiers>
      <header_from>flowcx.com.au</header_from>
    </identifiers>
    <auth_results>
      <dkim>
        <domain>flowcx.com.au</domain>
        <result>pass</result>
        <selector>6jm2ei7phvrqgxrufpn4j6rbk757tr6a</selector>
      </dkim>
      <dkim>
        <domain>amazonses.com</domain>
        <result>pass</result>
        <selector>6gbrjpgwjskckoa6a5zn6fwqkn67xbtw</selector>
      </dkim>
      <spf>
        <domain>mail.flowcx.com.au</domain>
        <result>softfail</result>
      </spf>
    </auth_results>
  </record>

据我所见，这是由于IP地址为209.85.220.69。这不在SES范围内？我知道我们可以将其添加到SPF记录中，但为什么Amazon SES要从此地址发送邮件呢？

- PNC

---

我认为你应该在serverfault.com上提出这个问题。 - einpoklum

Answer 1

简短回答：Amazon并未从209.85.220.69发送邮件，而是谷歌在发送。 背景：如果您查找209.85.220.69的DNS PTR记录，您会发现它实际上是一个谷歌服务器，转发之前由AmazonSES发送的电子邮件。

在这种情况下，AmazonSES的DKIM签名得以保留（没有签名头字段被更改），但是，在转发时，SPF会中断，因为谷歌的服务器不在SPF记录中。

- Reinto

---

谢谢@Reinto，这很有道理！确实已经有一个转发了。 - PNC