一键 DNS 配置：Cloudflare、阿里云解析、腾讯云 DNSPod

连接 DNS 服务商，让 Rovela 自动写入 SPF、DKIM、DMARC 和 MX 记录。含三家服务商的凭据创建说明，以及「冲突不覆盖」同步策略的解释。

配企业邮箱最容易出错的一步，是把四五条 DNS 记录手动抄到域名控制台。DKIM 公钥有几百个字符，少复制一个字母就验证失败；主机记录该填 @ 还是完整域名，每家控制台的写法又不一样。

Rovela 支持连接三家 DNS 服务商：Cloudflare、阿里云解析、腾讯云 DNSPod。连接之后，记录由系统直接写入，不用手动复制。

会写入哪些记录

记录	类型	主机	值
SPF	TXT	`@`	`v=spf1 include:_spf.rovela.dev ~all`
DKIM	TXT	`rovela<随机串>._domainkey`，每个域名不同	你的域名专属公钥
DMARC	TXT	`_dmarc`	`v=DMARC1; p=none;`
MX	MX	`@`	`mx.rovela.dev`，优先级 10

第一步：检测你的 DNS 服务商

在控制台「域名」里添加域名，点「检测 DNS 服务商」。系统会查询域名的 NS 记录，按名称服务器判断托管在哪一家：

*.cloudflare.com → Cloudflare
*.alidns.com、*.hichina.com → 阿里云解析
*.dnspod.net、*.dnsv2.com 到 *.dnsv5.com → DNSPod

如果检测结果和你的认知不符，以 NS 为准。域名在阿里云购买、但 NS 改到了 Cloudflare，记录就要写在 Cloudflare。

第二步：创建一个只管这个域名的凭据

这是唯一需要你动手的一步。原则只有一条：给最小权限，不要用主账号密钥。

Cloudflare：「我的个人资料 → API 令牌 → 创建令牌」，使用「编辑区域 DNS」模板，「区域资源」选「特定区域」→ 你的域名。生成后复制令牌。

阿里云：在 RAM 访问控制里新建一个 RAM 用户，只勾选「OpenAPI 调用访问」，授予 AliyunDNSFullAccess 权限（或者自定义一条只允许操作该域名的策略），然后创建 AccessKey ID 和 AccessKey Secret。

DNSPod：这里有个坑。DNSPod 控制台的「API 密钥」页面有两个标签页，「DNSPod Token」和「腾讯云 API 密钥」是两套不同的认证体系，互不通用。Rovela 使用的是后者：腾讯云 API 3.0 的 SecretId / SecretKey。

DNSPod Token 是账号级的，无法限定到单个域名，一旦泄露，账号下所有域名的解析都会暴露。所以请到腾讯云「访问管理 CAM」新建子用户，只授予这个域名的 DNSPod 权限，再为子用户创建 SecretId/SecretKey。如果你粘贴的是 数字ID,Token 这种格式，那就是拿错了。

凭据提交后会立即加密存储，之后不会再返回或显示。

第三步：绑定区域并同步

连接成功后，选择对应的 DNS 区域，点「同步 DNS」。对每一条计划写入的记录，系统会先读取区域里已有的记录，再决定怎么处理：

不存在：创建
已存在且值相同：跳过，标记为「已存在」
已存在但值不同：不改动，标记为「冲突」，并显示现有的值

冲突时不覆盖，是故意的。最常见的冲突是 MX：你的域名可能还在用阿里或腾讯企业邮箱收信，自动改掉 MX 会让邮件立刻改投别处。这类切换应该由你在迁移完成后手动操作。

SPF 也常常冲突：域名已经有一条 v=spf1 记录时，正确做法是把 include:_spf.rovela.dev 合并进现有那一条，而不是再加一条。一个域名有两条 SPF，两条都会失效。

第四步：验证

记录写入后，大多数情况几分钟内生效。回到域名详情点「验证」，每条记录会显示是否已检测到。也可以自己用 dig 确认：

dig +short MX yourcompany.com
dig +short TXT yourcompany.com
dig +short TXT _dmarc.yourcompany.com

不用一键连接也可以

不想把凭据交给任何第三方，就按控制台显示的记录手动添加，效果完全一样。一键连接只是省掉了复制粘贴，以及抄错的风险。

延伸阅读：域名邮箱 DNS 配置详解、域名验证指南、企业邮箱迁移指南。

免费注册 Rovela，添加域名后就能试用一键配置。