症状：Salesforce 测试邮件发不出，或自动化执行后收件箱里没有邮件。
最快解法：先盘点组织实际使用的发件域名及验证状态；若自有域名未验证，为它配置有效 DKIM 密钥或已验证的授权邮件域名，再重测流程。受控收件只能确认邮件是否抵达、内容是否可读，不能代替发件域名验证。

这篇适合要测试自家 Salesforce 流程的管理员、开发者和 QA；若问题是收件人地址填错，或第三方服务的规则拒绝一次性地址，应先按对应问题排查。最后更新于 2026 年 10 月 24 日；政策与操作路径核对自 Salesforce 官方帮助和发布说明，具体适用范围仍以目标组织后台为准。

发件域名验证与用户邮箱验证：先分清两道检查

Salesforce 对使用自有域名发送邮件设置了域名验证要求。它与用户邮箱地址验证不是一回事：用户点过验证链接，不代表其地址所属的发件域名也已验证；反过来，域名验证完成，也不一定能代替用户地址验证。部分组织设置或邮件类型可能适用不同规则，不能把所有邮件路径一概而论。(Salesforce 官方域名验证要求)

Salesforce 官方列出的验证方式是有效 DKIM 密钥，或在 Setup 中已验证的授权邮件域名。SPF 和 DMARC 不能替代这项域名验证；它们可能参与邮件认证或投递判断，但不是这里要求的二选一验证方式。官方还列有特定集成、营销产品、试用组织以及 Salesforce 自有域名等例外，遇到例外应核对具体邮件路径与目标组织当前规则，而不是推断整个组织都不用验证。(Salesforce 官方域名验证说明)

⚠️ 如果“发件人地址已验证”但邮件仍不见了，不要立刻把问题归咎于收件箱。先判断自动化是否触发，再核对发件域名，最后查 Salesforce 的发送与投递记录。

管理员与 DNS 负责人：从真实发件地址找到验证责任

管理员先建立一份当前组织的发件域名清单，而不是只检查用户档案里最常见的邮箱。Setup 中搜索 User Email Domains，点击 List Domains，查看活动用户邮箱地址和返回地址使用的域名及其验证状态。然后把组织范围发件地址、Email-to-Case 路由地址、Experience Cloud 站点发件地址等加入清单，再用邮件日志补查系统生成邮件使用的域名。(Salesforce 官方域名识别步骤)

逐个检查完整域名，特别注意子域名。Salesforce 官方说明，发信所用的每个域名和子域名都需要分别验证；例如，主域名有记录，不足以证明实际使用的子域名也满足要求。最终应核对清单中的每个 From 地址对应什么域名、由哪个组织使用、目前验证状态如何。(Salesforce 官方域名验证注意事项)

DNS 负责人根据域名管理权和现有配置选择方案：

  • 团队能维护 DNS，且希望建立 DKIM 签名：优先评估有效 DKIM 密钥。创建、发布 DNS 记录并在组织后台确认密钥处于有效状态；不要把“已创建密钥”直接当作“已激活”。
  • 无法配置 DKIM：评估授权邮件域名。按照 Salesforce 的官方步骤，在 Setup 添加域名、取得验证信息、由域名所有者发布 TXT 记录，再回到组织中确认验证。
  • DNS 由其他团队或托管方管理：把目标域名、所选验证方式和 Salesforce 生成的记录信息交给 DNS 负责人；记录由谁发布、由哪个组织验证，避免只在工单里写“加过 TXT”。

授权邮件域名的 DNS 变更可能需要传播时间。Salesforce 文档说明，DNS 变更传播最长可能需要 72 小时；未通过验证时，应先核对 TXT 记录的名称、内容和传播情况，再重试验证，而不是反复重建记录。按界面当前说明和官方操作文档逐项核对，避免照搬其他组织的记录格式。(Salesforce 官方授权邮件域名配置步骤)

沙盒与生产组织：不能假设配置自动共用

Salesforce 明确说明，沙盒也需要满足发件域名验证要求。生产组织已通过验证，不等于沙盒可以直接发信；沙盒维护者要在测试组织自身检查 DKIM 或授权邮件域名状态，并确认 From 地址实际使用的域名。

如果生产环境使用 DKIM，不要假定可以把密钥直接复制到沙盒；出于签名安全考虑，DKIM 密钥不能复制到沙盒。可按官方支持的方式在沙盒单独设置 DKIM，或评估导入已验证的授权邮件域名。若考虑使用替代发件地址设置，先确认目标组织是否已启用、对哪些邮件路径适用；不要为了让测试通过而放宽生产保护。

开发者与 QA：区分未触发、发送失败和未抵达

建议按以下检查清单逐项留证。它适用于获授权的自家组织测试；不要用它批量注册或操作第三方平台。

  • [ ] 确认流程触发：检查 Apex、Flow、提醒或其他自动化的入口条件、执行记录和错误信息。没有触发记录时，先修流程条件，而不是先改 DNS。
  • [ ] 确认实际发件人：在相关自动化配置或测试用例中核对 From 地址，并把地址映射到用户、组织范围地址或系统生成地址。
  • [ ] 对照域名清单：确认这个地址的域名及子域名已在目标组织通过 DKIM 或授权邮件域名验证；个人邮箱验证状态单独记录。
  • [ ] 确认发送权限和组织设置：检查组织是否允许该类邮件发送，以及当前组织是否启用了适用于该情况的替代发件地址选项。不同组织的 rollout 或例外状态可能不同，不能从生产环境推断沙盒。
  • [ ] 查邮件日志：按发送时间、发件人和收件人缩小范围，检查 Mail Event、错误代码及相关记录。Salesforce 发布说明提示，域名未授权时可能出现 550 5.7.1 Delivery not authorized, message discarded；这是定位线索，不是所有发送失败的唯一错误。(Salesforce 发布说明中的邮件错误信息)
  • [ ] 配置修复后复测：重新运行自家产品中的同一条测试流程，分别记录触发结果、日志状态和收件箱证据。不要只记“还是没收到”，否则无法区分流程未发出与下游收件问题。

邮件日志中的 R 表示接收阶段，D 表示投递，T 表示暂时失败，P 表示永久失败。P 说明邮件无法投递，但成因不只域名验证；要结合具体错误代码和对应的发件域名判断。反之，日志没有出现预期记录，也不能单凭这一点断定 DNS 验证失败：要回到自动化是否实际执行、邮件是否进入记录范围等环节继续排查。(Salesforce 官方邮件日志格式说明)

申请日志时，时间范围也会影响排查。Salesforce 官方说明，邮件日志只能申请最近 30 天内的数据；单次申请最长覆盖 7 天，最多包含 500,000 条记录，同时最多有 3 个待处理申请。日志可能缺行或重复，因此它适合排查，不应当作完整审计账本。(Salesforce 官方邮件日志申请限制)

常见问题：邮箱已验证之后还要查什么？

Salesforce sandbox 邮件不发送时，第一步查什么？
先在沙盒后台检查 From 地址对应的域名及其 DKIM 或授权邮件域名状态，再查自动化是否触发。生产组织的验证状态不能证明沙盒已配置；日志中的永久失败也应结合错误信息判断，不能直接归因于域名。处理前确认测试路径确实使用沙盒的配置。

用户邮箱地址已经验证，为什么仍可能发送失败？
因为用户地址验证和域名验证是两项检查。若自有发件域名或正在使用的子域名未验证，邮件可能仍无法发送；组织范围发件地址和系统生成邮件也应加入盘点。若域名已验证，再检查自动化执行、发送权限、具体邮件类型和日志错误，而不是反复验证同一个用户地址。

发件域名应该用 DKIM，还是授权邮件域名？
两种方式都可满足域名验证要求，选择取决于团队能否管理 DNS、是否已有 DKIM 配置，以及是否需要在沙盒使用对应设置。Salesforce 推荐 DKIM；不能采用 DKIM 时，可按官方文档配置授权邮件域名。两者都需按文档更新 DNS，SPF 或 DMARC 不能顶替。

邮件日志怎样显示域名验证导致的失败？
将发送记录与 From 域名、错误代码和 Mail Event 一起查看。550 5.7.1 Delivery not authorized, message discarded 是未授权发送的明确排查线索；P 仅表示永久失败，并不单独说明原因。若日志缺记录，也要确认自动化是否触发，并考虑日志可能缺行。

验收与收件：日志证据不等于收件证据

完成发件配置后，用专门的测试收件地址验证自家流程。先确认 Salesforce 已接受并尝试发送，再检查受控收件箱里是否有对应邮件、主题和正文是否符合预期。收件成功证明的是这次测试邮件抵达并可读取；它不证明所有地址、发件域名或未来投递都可靠，也不能替代 Salesforce 后台的域名验证证据。

把证据分开保存，后续复测才容易比较：

  • 域名证据：目标组织中的 DKIM 或授权邮件域名状态，以及对应的发件域名。
  • 流程证据：Apex、Flow 或其他自动化确实触发，且所用 From 地址符合预期。
  • 收件证据：测试收件地址收到邮件，内容与当前测试场景匹配。
现象 优先核对 不能据此直接下的结论
自动化没有执行记录 触发条件、执行路径与错误 不能判定为发件域名未验证
日志显示未授权发送的错误 From 地址对应域名、验证状态、目标组织 不能推断所有邮件类型都适用同一规则
日志显示 P 完整错误信息、收件地址及发送路径 不能仅凭永久失败断定域名验证问题
日志显示投递，但测试收件箱无邮件 收件地址、收件侧过滤与内容匹配情况 不能把未看到邮件等同于 Salesforce 未发送
测试收件箱收到邮件 本次邮件及本次测试流程 不能证明发件域名验证配置正确或长期投递稳定

如果测试目标只是临时注册、试用或验证一封邮件，可把独立收件地址纳入 QA 验收，减少测试邮件进入工作主邮箱的干扰。选择地址时，也可参照临时邮箱、转发别名与真实邮箱的适用场景；若测试账号需要长期找回、持续收信或保存重要通知，应使用团队持续控制的邮箱方案。

Tempsender 提供免注册、即开即用的临时收件方式，可作为检查测试邮件是否抵达、内容是否可读的一种选择；它不会修复 Salesforce 发件配置，也不能证明发件域名已认证。若当前只需给自家测试流程准备一个隔离收件地址，可从 Tempsender 临时收件箱开始；需要长期找回的账号则不应依赖短期地址。

常见问题

Salesforce sandbox 邮件不发送时，应该先核对哪里？

先在沙盒自身检查实际 From 地址对应的域名及 DKIM 或授权邮件域名状态；生产组织已经验证，不代表该设置自动适用于沙盒。随后确认自动化是否触发、组织是否允许发送，并查邮件日志。不要先放宽生产组织的保护设置，也不要仅凭测试收件箱没有邮件就判断域名验证失败。

用户邮箱地址已经验证，为什么 Salesforce 仍可能不发邮件？

用户邮箱地址验证和发件域名验证是不同检查。即使个人地址已验证，如果组织通过 Salesforce 发信所用的自有域名或子域名没有满足域名验证要求，发送仍可能失败；组织范围发件地址等非用户地址也要单独盘点。还需确认自动化确实触发，并按目标组织当前策略判断是否适用例外。

Salesforce 发件域名应选 DKIM 还是授权邮件域名？

两种方式都可用于域名验证，具体选项取决于 DNS 管理能力和现有邮件签名配置。Salesforce 推荐 DKIM；如果团队无法配置 DKIM，可评估授权邮件域名。两种方式都涉及 DNS 记录，授权邮件域名还可按官方支持的流程复制到沙盒。不要用 SPF 或 DMARC 代替这项验证。

如何从 Salesforce 邮件日志判断失败是否与未验证域名有关？

先按发送时间、收件人和发件人定位邮件记录，再查看 Mail Event、错误代码及邮件状态。官方资料列出的“550 5.7.1 Delivery not authorized, message discarded”是与未授权发送相关的线索，但单条错误不能代表所有故障。若日志没有记录，也要考虑日志可能缺行，并回头确认流程是否触发。

需要一个临时收件地址？

创建随机地址，复制后在同一页等待来信；重要账号请改用长期地址。

打开临时收件箱