TXT记录用于域名所有权验证和邮件安全防护：前者需精准添加平台提供的唯一字符串（主机名填@或指定前缀，值原样粘贴），属一次性验证；后者需长期部署SPF（v=spf1开头，仅一条）、DKIM（selector._domainkey主机名，含完整Base64公钥）和DMARC（_dmarc主机名，p策略定义）三类标准记录。
用TXT记录做域名所有权验证和安全防护，关键在分清两类用途：一类是临时性验证，证明“这域名归你管”；另一类是长期性配置，防止邮件被伪造。两者都写TXT，但写法、位置、有效期完全不同，混用就会失败。
域名所有权验证：精准复制，一步到位
这是第三方平台（如Microsoft 365、SSL证书商、CDN服务商）确认你控制该域名的方式。它不涉及安全策略，只是一次性“敲门验证”：
- 主机名严格按提示填：多数情况填 @（代表 example.com），若提示 _acme-challenge 或 dnsverify，就照写，不能省略下划线，也不能加 .com 后缀
- 记录值必须原样粘贴：比如 MS=ms123456789 或 dx9abcefgh3i9jkl6jtjwd7pxddt5c7a，不加引号、不换行、不删空格、不手动改任何字符
- 只留一条，避免干扰：同一验证任务只需一条记录；若之前添加过但未生效，先删除旧的再新建，否则平台可能读到错误值
邮件安全防护：SPF、DKIM、DMARC三者缺一不可
这类TXT记录不是临时的，而是长期生效的防伪机制，每条都有固定语法，错一个符号就可能让整条失效：
- SPF记录声明发信权限：以 v=spf1 开头，例如 v=spf1 include:spf.protection.outlook.com ~all；一个域名只能有一条SPF记录，多条会冲突
- DKIM记录存放公钥：主机名通常是 selector._domainkey（如 google._domainkey.example.com），记录值是完整Base64公钥，不能断行、不能截断
- DMARC记录定义处理策略：主机名固定为 _dmarc，记录值类似 v=DMARC1; p=quarantine; rua=mailto:admin@example.com；其中 p=none 仅报告，p=quarantine 或 p=reject 才真正拦截伪造邮件
验证是否生效：别等后台自动通过
DNS传播有延迟，但你可以主动查，避免白等：
- 在终端运行 dig example.com txt（macOS/Linux）或 nslookup -type=txt example.com（Windows），看返回结果里有没有你刚加的那条值
- 用在线工具如 dnschecker.org 查全球多地DNS缓存，确认是否已同步——部分地区快、部分地区慢，不代表没生效
- 邮件类记录建议用专用检测工具（如 MXToolbox 的 SPF/DKIM/DMARC 检查器），比泛用TXT查询更准
操作后的小提醒
所有权验证用的TXT记录，在平台显示“已验证”后可以删除；而SPF、DKIM、DMARC这三条必须长期保留，且每次修改都要确保语法正确、无多余空格、无隐藏字符。TTL建议设为3600秒（1小时），兼顾更新速度与稳定性。
