企业邮箱出问题，绝大多数不是系统被攻破，而是密码被猜中、域名被冒用、邮件发错人。这三件事都有对应的开关，配了就有效，没配就一直敞着。
多数的安全事件，源头是密码被猜中、域名被冒用、邮件发错人这三件事。它们都不需要高深技术，但都需要有人把开关配上。
有人伪造你公司的域名给客户发「收款账户变更」通知，客户看到发件人是 @你的公司，很容易上当。
后果客户把钱打到别人账户，追不回；公司声誉受损，还要挨个解释。
怎么防配齐 SPF、DKIM、DMARC 三条记录，让冒名发信在收件方就被判为伪造。
员工在多个网站用同一个密码，其中一个网站泄露，密码就被拿去试你的企业邮箱。
后果盗号者用你的邮箱给客户发垃圾邮件或钓鱼链接，域名信誉被拉低，全公司发信都受影响。
怎么防强制密码强度与定期更换，开启短信二次验证和异地登录提醒。
admin、公司名拼音、123456 这类密码，用工具几秒钟就能试出来。
后果后台被登入，账号被批量创建、邮件被转发走，往往几天后才发现。
怎么防自定义密码长度与组合规则，弱密码账号强制改密。
报价单、工资表、客户名单，收件人填错一个字母就发出去了。
后果商业信息外泄，价格体系被同行知道，严重的直接丢单。
怎么防对外岗位开启邮件审核，发现发错用撤回，域内误发由管理员删除。
伪装成「发票」「订单」「账号异常」的邮件带附件或链接，点开就中招。
后果终端被植入木马，账号密码被窃取，进而影响整个内网。
怎么防开启反垃圾与邮件安全浏览，陌生发件人来信加标识提醒。
员工离职前把邮箱里的客户往来、报价记录转发到个人邮箱，公司事后才知道。
后果客户资源流失，交接时无据可查，甚至出现客户被提前挖走。
怎么防限制外发、邮件备份、离职走账号交接流程而不是直接删除。
上面六种情况，没有一种是靠「买了个安全的邮箱」自动解决的，都要在后台把对应开关配起来。下面是我们建议的配置顺序。
从邮件进门的边界，到登录的人是不是本人，到内容留不留得住，最后到出事能不能查清——四层各自解决不同的问题。
邮件进来之前先过一遍
确认登录的人真的是本人
邮件内容与历史留得住、拿得回
出了事能查清是谁、什么时候
四层是叠加关系，不是选项。只做边界层能挡掉大部分垃圾邮件，但挡不住密码被猜中；只做账号层能防被盗，但挡不住域名被冒用。
这一节是给管理员看的。不需要记，开通时我们按这个清单逐项配，配完给你一份记录。
| 设置项 | 具体怎么做 | 谁来做 | 建议时间 |
|---|---|---|---|
| 域名三件套 | MX 指向网易，再配 SPF、DKIM、DMARC 三条 TXT 记录，DMARC 建议先设观察模式再收紧 | 服务商代办 | 开通当天 |
| 密码策略 | 长度不少于 8 位、含大小写与符号、90 天更换，弱密码账号强制改密 | 管理员设置 | 开通当天 |
| 二次验证与异地提醒 | 对财务、管理层、对外业务岗开启短信验证；全员开启异地登录提醒 | 管理员 + 员工 | 第一周 |
| 客户端授权码 | 手机与电脑客户端统一用授权码登录，主密码只在网页端使用 | 管理员指导 | 第一周 |
| 分级管理员 | 总部与分公司各设管理员，只给本职需要的权限，避免一个账号管全公司 | 管理员设置 | 第一周 |
| 对外岗位邮件审核 | 报价、合同、承诺类邮件先审后发，只对相关岗位开启，不影响其他部门 | 管理员设置 | 第二周 |
| 归档与备份 | 关键岗位做账号镜像备份；有审计或取证要求的启用归档 | 管理员设置 | 第二周 |
| 离职交接流程 | 账号停用而非删除，邮件转交接手人，外发权限同步收回 | 双方约定 | 长期执行 |
表格里前五项我们代办，后三项需要你们配合确认岗位与流程。全部做完通常两到三周，不是开通当天就能全配好的。
分清楚这三件事，比堆一堆安全术语更有用。每条都标了依据来源，可以自行核对。
EAL3+ 是信息安全产品评估保障等级的第三级增强级，评估覆盖安全功能、开发过程、交付与运行管理。网易企业邮箱是业内唯一获得 EAL3+ 国家安全认证的企业邮箱服务商——这是可以查证的资质陈述，不是形容词。
依据：网易企业邮箱公开发布的资质说明。证书编号与评估机构以官方页面公示为准。
DMARC 是用于识别伪造发件人域名的协议。网易是 DMARC 在中国的官方合作伙伴，企业邮箱支持 DMARC 防伪造设置，配合 SPF 与 DKIM 使用，能拦下冒用公司域名发出的钓鱼邮件。
依据：网易企业邮箱官方安全页公开说明。具体拦截效果与策略参数以官方当年说明为准。
采用矩阵式分布的服务器架构与离散分布式加密存储，配合骨干网节点的冗余配置，单点故障不影响整体服务。邮件在传输环节走 SSL 加密通道。
依据：厂商公开的技术架构说明。可用性指标属厂商承诺范围，我们不作额外承诺。
安全配置不是一次性动作。开通时我们配好基线，之后你们新增系统要发信、换 DNS 服务商、员工批量入职，都需要回来调整记录和权限。这部分由我们跟进，人工服务 7×12 小时。
服务边界：原厂平台能力由网易提供，配置、排查、培训与续期提醒由我们承担。
十条里中八条以上，说明你们的安全基线是完整的；中五条以下，基本等于把门虚掩着。这一页可以直接截图发给负责 IT 的同事对一遍。
异地登录提醒很多人开了，但提醒发到管理员邮箱之后没人看，等于没开。建议指定一个人负责看提醒，或者把提醒同时发到负责人手机上。
第 10 条更少人能做到——出问题了不知道查哪里。实际上登录日志、收发日志在管理后台都能查，只是没人教过管理员在哪里点。这一项我们会在培训时专门演示一遍。
立刻停用被盗账号、吊销客户端授权码、重置密码，先把入口堵住，不让损失继续扩大。
调登录日志看登录 IP 与时间，查收发日志看有没有异常转发规则、有没有给外部发信。
导出相关日志与邮件记录。涉及资金或客户纠纷的，归档里的原始邮件可作为凭据。
确认是密码泄露、钓鱼中招还是设备被控，把对应环节补上，再恢复账号使用。
这套流程不需要管理员背下来。开通时我们会把处置步骤和联系方式一起给到对接人，真出事的时候照着做就行。
