阿里邮箱免费版：让第三方客户端登进去

先要有的解析记录

名字	类型	值
`@`	MX ×3	`mx1.qiye.aliyun.com`(5)、`mx2`(10)、`mx3`(15)
`@`	TXT	`v=spf1 include:spf.qiye.aliyun.com -all`
`mail` / `smtp` / `imap` / `pop3`	CNAME	指向对应的 `qiye.aliyun.com` 主机

客户端地址：IMAP imap.qiye.aliyun.com:993（SSL）、 SMTP smtp.qiye.aliyun.com:465（SSL）、POP3 pop.qiye.aliyun.com:995（SSL）。

第一项，访问策略。管理后台的「访问策略」页面里，看有没有一条黑名单策略叫「禁止使用三方客户端」，生效对象是「所有用户」。我们踩的就是这个—— 它开着的时候，任何第三方客户端都进不来，而服务器给出的报错是「认证失败」，把人稳稳地引向密码那条岔路。

第二项，客户端服务开关。「客户端」一栏里的 POP3 / IMAP / SMTP 三个开关，确认都是「允许」。默认一般是开的，但如果被关过，症状完全一样。

第三项，「强制启用安全密码」。如果它是开启状态，客户端就必须用「安全密码」那一栏里生成过的专用密码，主密码会被拒。顺便看一眼那张表里有没有记录—— 空着说明从来没生成过。

第四项，才是密码本身。前三项都没问题，再去重置密码。注意别勾「要求下次登录修改密码」，否则客户端在改密前仍然连不上。

知识点｜认证失败 ≠ 密码错
认证失败只说明「这个组合没通过」。可能是密码、策略、IP 限制。先查服务端策略，再怀疑凭据——改密码是成本最高、也最容易白改的那一步。

不用真发一封邮件：直接连对方收信服务器的 25 端口，走完 EHLO 之后只用 RCPT TO 问一句收件人是否存在，然后断开。

EHLO mail.example.com
MAIL FROM:<>          # 空发件人，可以跳过 SPF 校验
RCPT TO:<你的地址>     # 250 = 存在；554 = 不存在
QUIT

关键是加一个对照：同域下编一个不存在的地址再问一次。如果它回 554，而你的地址回 250，这才叫验证通过；两个都回 250，说明这台服务器什么都收。

上面那段 RCPT 验证，我们写成了一个可以直接跑的小脚本： tools/mail-check.ps1。它会自动查 MX、问一次真实地址、再用一个随机地址做对照，最后给出明确结论（有效 / 无效 / 无法判定）。

阿里邮箱免费版不提供 DKIM 记录。收信不受影响，但用这个域名主动发信到 Gmail 这类严格的服务时，进垃圾箱的概率会高一些。要治它只能升级付费版或换服务商。