前言：在企业数字化办公场景中，基于微软365（Microsoft 365）搭建自定义域名的企业邮件系统，是实现品牌统一、邮件安全合规、办公协同一体化的核心方案。
本文完全遵循微软官方标准配置规范，适配Cloudflare、阿里云、腾讯云、GoDaddy等所有主流DNS托管环境，提供一套可直接落地、零风险、全流程通用的配置方案，全程无特定域名、无企业专属信息，IT运维人员可直接对照操作，完成企业级邮件系统的从零搭建。
本文所有操作均为微软官方标准流程，仅修改自定义域名相关的DNS配置，完全独立于企业现有业务，操作全程可逆，对现有业务零影响、零残留。
一、部署前必读：前置条件
在开始配置前，请确保已满足以下核心要求，避免后续流程出现验证失败、功能异常等问题：
- 订阅许可要求：已开通微软365商业基础版/商业标准版/企业E3/E5等包含Exchange Online邮件服务的订阅；个人版Outlook.com不支持自定义域名绑定，无法使用本方案。
- 账号权限要求：拥有微软365全局管理员（Global Admin）账号权限，这是域名添加、邮箱创建、Exchange配置的唯一权限要求。
- 域名管理要求：拥有待绑定自定义域名的DNS管理全权限，可自由添加/修改/删除TXT、MX、CNAME等各类DNS记录。
- 网络环境要求：企业办公网络/服务器已放行出站端口587（SMTP）、993（IMAP）、995（POP3），确保终端与微软云邮件服务器通信正常。
二、阶段一：微软365 添加并验证自定义域名
本阶段核心是完成域名所有权验证，这是绑定自定义域名邮件系统的基础。
操作路径
微软365管理中心 → 设置 → 域
官方直达链接：https://admin.microsoft.com/AdminPortal/Home#/domains
分步操作流程
-
使用全局管理员账号登录微软365管理中心，在左侧导航栏依次点击「设置」→「域」，进入域名管理页面。
-
点击页面左上角「+ 添加域」按钮，在弹出的输入框中填写你的企业自定义域名，点击「使用此域」。
-
域名所有权验证方式，选择**「添加TXT记录到域名的DNS提供商」**（全DNS厂商通用，操作最简单、成功率最高）。
-
系统会生成一条专属的TXT验证记录，通用格式如下（
MS=msXXXXXXXX为微软生成的唯一校验值，请勿修改）：记录类型 主机记录/名称 记录内容 TTL设置 TXT @ MS=msXXXXXXXX 自动/5分钟 -
登录你的DNS托管控制台，进入对应域名的DNS管理页面，点击「添加记录」，按上表内容完成配置。 关键配置提醒：若使用Cloudflare DNS，本条记录的代理状态必须选择**「仅DNS」（灰色云朵图标）**，绝对禁止开启橙色「已代理」，否则会直接导致域名验证失败；其他DNS厂商无需此配置，直接保存即可。
-
保存DNS记录后，等待1-5分钟DNS全球生效，返回微软365域名管理页面，点击「验证」。
-
页面提示「验证成功」，即完成域名所有权验证，进入后续DNS配置环节。
三、阶段二：配置邮件系统核心DNS记录
本阶段是邮件收发、身份验证、客户端自动配置的核心，所有邮件相关DNS记录，若使用Cloudflare DNS，必须全部设置为「仅DNS」（灰色云朵），开启橙色代理会直接导致收信失败、Outlook自动配置失效、SMTP认证失败；其他DNS厂商直接按表配置即可。
操作路径
DNS托管控制台 → 对应域名 → DNS记录管理
Cloudflare直达链接：https://dash.cloudflare.com
通用DNS记录配置表
下表为微软官方标准配置，所有内容可直接复制使用，仅需将你的自定义域名替换为实际业务域名，微软初始域名.onmicrosoft.com替换为你的微软365租户初始域名（创建租户时生成的xxx.onmicrosoft.com域名）：
| 记录类型 | 主机记录/名称 | 记录内容 | 优先级 | TTL | 核心作用 |
|---|---|---|---|---|---|
| MX | @ | 你的自定义域名替换后.mail.protection.outlook.com |
0（必须填0） | 自动 | 收信核心路由，所有发送到@你的自定义域名的邮件，都会路由到微软云邮件服务器 |
| TXT | @ | v=spf1 include:spf.protection.outlook.com -all |
- | 自动 | SPF发件人身份验证，防止邮件被标记为垃圾邮件；一个域名仅保留1条SPF记录，旧的SPF记录必须全部删除 |
| CNAME | autodiscover | autodiscover.outlook.com |
- | 自动 | Outlook客户端自动配置，用户输入完整邮箱后，自动填充所有SMTP/IMAP参数，无需手动设置 |
| CNAME | selector1._domainkey | selector1-你的自定义域名替换后._domainkey.微软初始域名.onmicrosoft.com |
- | 自动 | DKIM邮件内容加密，防止域名被伪造发件，提升发件信誉度 |
| CNAME | selector2._domainkey | selector2-你的自定义域名替换后._domainkey.微软初始域名.onmicrosoft.com |
- | 自动 | DKIM备用加密密钥，保障密钥轮换时邮件加密不中断 |
| TXT | _dmarc | v=DMARC1; p=none; sp=none; rua=mailto:dmarc@你的自定义域名 |
- | 自动 | DMARC邮件安全策略，防止域名被伪造发送垃圾邮件；业务稳定后，可将p=none逐步改为p=quarantine/p=reject收紧安全策略 |
DKIM记录补充启用步骤
- 进入Exchange管理中心 → 保护 → DKIM
官方直达链接：https://admin.exchange.microsoft.com/#/dkim - 在域名列表中找到你的自定义域名，点击「启用」
- 页面会生成上述2条CNAME记录的完整内容，若之前配置的内容有差异，复制后替换到DNS记录中，完成DKIM加密配置。
四、阶段三：创建自定义域名后缀的企业邮箱账号
操作路径
微软365管理中心 → 用户 → 活跃用户
官方直达链接：https://admin.microsoft.com/AdminPortal/Home#/users
分步操作流程
- 登录微软365管理中心，在左侧导航栏依次点击「用户」→「活跃用户」。
- 点击「添加用户」，填写用户姓名、显示名称等基础信息。
- 用户名配置：在域名下拉框中选择你已验证的自定义域名，填写用户名前缀，最终生成完整企业邮箱（例：前缀为info，完整邮箱为info@你的自定义域名）。
- 设置用户初始密码，按需勾选「首次登录必须更改密码」，点击「下一步」。
- 许可证分配：必须为用户分配包含Exchange Online服务的许可证（如商业基础版、商业标准版、E3/E5），否则无法创建企业邮箱。
- 点击「下一步」→「完成添加」，等待1-5分钟，Exchange Online会自动为该用户创建邮箱空间。
五、阶段四：开启SMTP认证权限（解决认证失败的核心操作）
绝大多数SMTP发送失败、535身份认证报错，核心原因都是未开启此权限，必须为每个邮箱账号单独配置。
操作路径
Exchange管理中心 → 收件人 → 邮箱
官方直达链接：https://admin.exchange.microsoft.com/#/recipients/mailboxes
分步操作流程
- 登录Exchange管理中心，在左侧导航栏依次点击「收件人」→「邮箱」。
- 在邮箱列表中，找到目标企业邮箱账号，点击用户名打开详情页。
- 在详情页中，切换到「邮件应用」标签，点击「管理电子邮件应用」。
- 在弹出的配置窗口中，勾选「经过身份验证的 SMTP (Authenticated SMTP)」，点击「保存更改」。
- 等待5-10分钟，权限会在微软后台全局同步生效，生效后用户即可正常使用SMTP服务发送邮件。
六、阶段五：通用邮件客户端/服务端配置参数
核心SMTPS发送配置参数（微软官方固定值，全场景通用）
| 配置项 | 官方固定值/通用要求 | 强制说明与注意事项 |
|---|---|---|
| SMTP服务器地址 | smtp.office365.com | 微软云固定官方地址，禁止填写自定义域名 |
| SMTP端口 | 587（官方推荐） | 备选端口465，生产环境优先使用587端口 |
| 加密方式 | STARTTLS | 587端口对应STARTTLS；465端口对应SSL/TLS |
| 用户名 | 完整企业邮箱地址 | 必须填写带域名后缀的完整邮箱，禁止仅填写用户名前缀 |
| 密码 | 邮箱登录密码 / 应用密码 | 开启MFA双重验证的账号，必须使用应用密码，禁止使用普通登录密码 |
| 必选配置 | 我的发送服务器(SMTP)需要身份验证 | 必须勾选，否则100%出现认证失败 |
| 认证方式 | 使用与接收邮件服务器相同的设置 | 全客户端最稳定方案，避免认证信息不一致 |
配套接收邮件通用参数（Outlook自动配置会自动填充）
| 协议 | 服务器固定地址 | 端口 | 加密方式 |
|---|---|---|---|
| IMAP | outlook.office365.com | 993 | SSL/TLS |
| POP3 | outlook.office365.com | 995 | SSL/TLS |
客户端零操作自动配置方案
因已提前配置autodiscover记录，终端用户无需手动填写任何参数，3步即可完成邮箱配置：
- 打开Outlook客户端，点击左上角「文件」→「添加账户」
- 输入完整企业邮箱地址，点击「连接」
- 输入邮箱密码，点击「完成」，Outlook会自动完成所有SMTPS/IMAP配置，直接正常收发邮件。
七、阶段六：MFA双重验证账号 应用密码配置
若企业账号开启了MFA双重验证，普通登录密码无法用于SMTP认证，必须配置专属应用密码，这是MFA账号SMTP发送成功的唯一方案。
操作路径
微软安全中心 → 安全信息
官方直达链接：https://mysignins.microsoft.com/security-info
分步操作流程
- 邮箱用户使用自己的账号登录微软安全中心，点击「添加方法」。
- 下拉选择「应用密码」，点击「添加」。
- 输入应用名称（如Outlook客户端、SMTP业务服务），点击「下一步」。
- 复制系统生成的16位应用密码，在配置SMTP时，用此密码代替普通登录密码即可。
八、阶段七：全流程测试与常见故障排查
1. 核心功能测试
- 收发连通性测试：使用配置好的企业邮箱，向内部邮箱、外部公共邮箱（如Gmail、QQ邮箱、163邮箱）发送测试邮件，确认收发正常，无垃圾邮件拦截。
- DNS合规性测试：访问https://mxtoolbox.com/ ，输入你的自定义域名，检查MX、SPF、DKIM、DMARC记录全部生效、配置合规无报错。
- SMTP服务测试：在业务服务器/客户端上使用SMTP参数发送测试邮件，确认无认证报错、无发送失败。
2. 常见问题通用排查方案
| 报错/异常现象 | 核心根源 | 通用解决方案 |
|---|---|---|
| 535 5.7.139 身份验证失败 | 未开启SMTP认证权限 / MFA账号使用普通密码 / 用户名未填写完整邮箱 | 开启「经过身份验证的SMTP」权限 / 更换为应用密码 / 填写完整带域名的邮箱地址 |
| 收不到外部邮件 | MX记录配置错误 / Cloudflare开启了橙色代理 / MX优先级非0 | 修正MX记录内容 / 改为「仅DNS」灰色云朵 / MX优先级设置为0 |
| 发出的邮件进入对方垃圾箱 | SPF/DKIM/DMARC配置错误 / 域名存在多条SPF记录 | 修正DNS记录配置 / 仅保留1条SPF记录 |
| SMTP连接超时 | 企业防火墙/内网代理拦截了587/465出站端口 | 放行对应端口的出站流量，更换网络环境测试 |
| TLS握手失败 | 服务器/终端系统时间不同步 / 系统根证书过期 | 同步NTP系统时间，确保时间误差小于5分钟 / 更新系统根证书 |
| Outlook无法自动配置 | autodiscover记录配置错误 / Cloudflare开启了橙色代理 | 修正CNAME记录 / 改为「仅DNS」灰色云朵 |
九、附录：官方直达链接汇总
| 功能模块 | 微软官方直达链接 |
|---|---|
| 微软365域名管理 | https://admin.microsoft.com/AdminPortal/Home#/domains |
| Exchange管理中心 | https://admin.exchange.microsoft.com/ |
| Exchange DKIM配置 | https://admin.exchange.microsoft.com/#/dkim |
| 微软365用户管理 | https://admin.microsoft.com/AdminPortal/Home#/users |
| 微软安全中心（应用密码配置） | https://mysignins.microsoft.com/security-info |
| DNS合规性检测工具 | https://mxtoolbox.com/ |
写在最后
本文所有配置流程均严格遵循微软官方最佳实践，适配所有主流DNS托管环境，中小企业IT运维人员可直接对照完成自定义域名企业邮件系统的全流程搭建。
配置完成后，企业员工即可使用带自有品牌域名的企业邮箱，实现品牌统一、邮件安全加密、合规防伪造的办公需求；所有配置均为微软云原生方案，无需额外部署服务器、无需额外运维成本，开箱即用。