后端系统做久了难免会遇到“需要主动发邮件”的场景。订单通知、登录验证码、服务器告警、定时报表这些邮件量不大但要求稳定送达。早期我是拿个人邮箱的 SMTP 授权码去凑合的结果发验证码稍微密集一点邮箱的 SMTP 权限就被风控冻结恢复流程折腾得人没了脾气。后来我也试过几个免费第三方发信服务要么免费额度小得可怜要么对接文档写得模棱两可。绕了一圈之后我把方案固定在 Oracle 免费邮件传送服务上实际用了大半年效果符合预期。这篇文章就把从选型到生产配置的完整过程写下来给想要搭建 SMTP 发信服务的人一个参考。先泼一盆冷水这个服务不是让你注册一个邮箱然后登录网页去收发邮件的它本质上是邮件投递服务。你需要有一个能控制 DNS 的域名先把发件人地址验证通过再把 SMTP 客户端指向 Oracle 的服务器。它可以长期免费使用但配额和用途都有边界。如果你只是给自己的小项目找一个稳定的发信通道它确实比自建邮局和大多数免费 SMTP 方案省心得多。1. 为什么最后选了 Oracle 免费邮件传送服务而不是自建或第三方1.1 自建邮局看起来很美但隐性成本藏得很深很多人一想到发信服务第一反应就是自己搭 Postfix。我承认这套方案在满足折腾欲方面无与伦比可真上了生产邮件服务器就变成了一套需要持续维护的基础设施。你要有独立的公网 IP必须把 IP 反向解析PTR配好否则很多收件方直接丢进垃圾箱你还要配置 SPF、DKIM、DMARC 这一整套 DNS 记录稍微漏一个对方邮局就会对你这台服务器产生怀疑邮件退信队列也得你自己监控一旦队列积压你还要半夜爬起来看日志。我不想把成本都摊在字面上说就讲一个最直观的例子我见过一个朋友自建 Postfix配置阶段就花了两天上线后又连续处理了两周的退信问题。域名有 DKIM但没有按对方要求加上 SPF 的 include 记录结果送到 Gmail 的邮件有一半进了垃圾箱。最后他还是切到了云端邮件投递服务。对于中小团队和个人开发者来说自建邮局和学习、维护这些协议的成本远远高于那点所谓的“掌控感”。所以我后来的思路很直接能用托管的邮件投递服务就不自建。而 Oracle 免费邮件传送服务就是这一思路下的落地产物。Oracle 负责底层 IP 池、投递队列、退信处理和整体信誉维护你只需要把 Sender 验证和 DNS 记录配好剩下的事情交给它。1.2 个人邮箱和免费第三方 SMTP 各有什么坑先说说个人邮箱 SMTP。QQ 邮箱、网易邮箱的 SMTP 授权码本身是给个人日常外发邮件用的拿来当系统的发信通道触发的往往是风控策略。我早期踩过的坑是某个业务模块在一个小时内连续发送了几十封验证码结果邮箱账号直接进入异常状态SMTP 服务被暂停需要人脸验证才能恢复。这对系统来说是不可接受的。而且个人邮箱还涉及一个实际问题发件人地址是随便一个 123456789qq.com收件方一看就很容易判定为垃圾邮件。再看免费第三方发信服务。典型的比如 SendGrid、Mailgun也有免费层但要么有每日发送量上限且很低要么要求你注册后还要单独做域名验证并且免费层的 IP 信誉池是共享的一旦同池有人发垃圾邮件你的正常邮件也会被连带拉低评分。更麻烦的是这类服务的免费政策经常调整你可能用着用着某天就收到邮件告诉你免费额度和功能变了。Oracle 免费邮件传送服务的定位就不同了。它的免费层是随 OCI 账户长期存在的不需要单独开通付费套餐。你只要在控制台里把发件人验证、DKIM 配好就能获得一个稳定的 SMTP 发信入口。对告警通知、验证码、订单确认这类低频系统邮件来说这个方案在免费、稳定和配置成本之间达到了比较好的平衡。1.3 免费层的真实应用场景说点实在的Oracle 这套免费邮件服务适合什么场景我总结了一下验证码和身份认证邮件比如注册、登录、找回密码。监控系统告警比如 CPU 飙升、磁盘占用、接口失败率超过阈值。业务通知比如订单状态变化、发货通知、预约提醒。博客或内容平台的邮件订阅、评论回复通知。不适合什么场景不适合做大规模营销群发。考虑到免费配额和共享信誉池你拿它去发几万封促销邮件大概率会被限流也可能影响后续正常业务的投递。我建议还是把营销邮件交给专门的三方营销平台系统通知才用这个免费服务。2. 搭建前必须搞清的账号、区域与配额边界2.1 注册 OCI 账号需要准备什么材料Oracle 免费邮件传送服务跑在 Oracle Cloud Infrastructure 上所以第一步是注册 OCI 账号。注册入口在 Oracle Cloud 官网流程大致是找一个平时用的邮箱地址这个邮箱要能正常收信。设置登录密码完成基本信息填写。验证邮箱Oracle 会发一封确认邮件点击链接即可。验证手机号用短信验证码确认身份。绑定一张可用于国际结算的银行卡这一步主要用于身份验证和账号防滥用。关于银行卡很多人一开始会很担心填了卡是不是就要扣费了实际上只要你选的是免费账户不主动升级付费、不额外购买云资源就不会产生账单。我自己的账户绑定后账单记录里一直是清零状态。这一步更像是为了让平台确认“你是一个真实用户而不是来跑垃圾邮件的机器人”。如果你准备把这套服务用在公司项目里建议提前确认公司是否有专用的注册邮箱、联系电话以及合规的结算材料。用个人邮箱注册后后续如果需要交接会比较麻烦。2.2 区域选择和 SMTP 端点对应关系登录 OCI 控制台后会让你选择区域。每个区域的邮件投递服务都提供独立的 SMTP 端点你在客户端里填的服务器地址会和这个区域一一对应。常见的端点是这样区域SMTP 端点美国西部菲尼克斯smtp.email.us-phoenix-1.oraclecloud.com美国东部阿什本smtp.email.us-ashburn-1.oraclecloud.com欧洲中部法兰克福smtp.email.eu-frankfurt-1.oraclecloud.com亚太东京smtp.email.ap-tokyo-1.oraclecloud.com亚太悉尼smtp.email.ap-sydney-1.oraclecloud.com实际控制台里显示的域名可能略有差别以页面上给出的为准。选区域时我主要看三点业务服务器的位置是否就近、该区域的邮件服务可用性、以及是否和你已有的 OCI 资源在同一个租户内。对大多数人来说就近选一个区域就行SMTP 延迟不太会成为瓶颈。有一点要注意地区一旦选定控制台里看到的区域能力边界就固定了。虽然这不会抹掉你在其他区域创建的资源但如果你的资源和邮件服务在不同区域跨区域连接会多一跳虽然不影响功能但我建议尽量放到同一区域。2.3 免费配额到底有多少超了会怎样免费配额是大家最关心的问题。Oracle 的官方口径和不同账号的实际显示会有差别主流的说法是免费层每个月能发送几千封邮件。具体数字受账户实名验证程度、使用时间等因素影响最准确的还是看控制台“邮件投递”概览页上的配额提示。配额有几个特点要提前理解它是按租户维度统计的不是按单个发件人地址统计。每天发送量可能也有单日上限也就是说不能把 3000 封集中在一天发完。一旦超过配额SMTP 服务会进入限流状态控制台里会提示“发送受限”。从我实际测试的情况看低频告警和验证码邮件一个月用掉一两百封已经很多了所以配额基本不会成为瓶颈。真正要防的是业务代码 bug 导致短信或邮件接口被循环调用这种情况再多配额都不够用。我在后面会专门讲这个监控问题。3. 配置 Sender 和 DKIM不做好这两件事后面全白搭3.1 创建发件人并点击验证链接的完整路径进入 OCI 控制台后在左侧菜单找到“开发者服务”下的“邮件投递”入口。不同语言版本可能显示为 Email Delivery多层级菜单里的位置也可能有调整但关键词很好认。在邮件投递页面左侧有一栏叫“发件人”点进去后点击“创建发件人”。填写你要用来发信的地址例如 noticeyourdomain.com。点击创建。这时候系统会给这个邮箱地址发一封验证邮件。打开邮箱找到标题类似“Verify your sender email address”的邮件点击里面的验证链接。页面显示 Verified 之后这个地址才有资格作为 From 地址对外发送。这一步看着简单实际上翻车率很高。我见过有人没有去点邮箱验证链接就急着去配置 SMTP 客户端结果每次发送都收到“发件人地址被拒绝”的错误。这不是 Oracle 的问题而是你跳过了发件人授权的必经环节。3.2 为什么要做 DKIM以及完整配置方法DKIM 的作用是给邮件做数字签名。收件方邮局收到邮件后会通过 DNS 查询来验证签名是否有效。如果有效说明这封邮件确实来自你的域名而且内容没有被中途篡改。如果没有 DKIM你的邮件很难通过 Gmail、Outlook 这些主流邮局的信誉判断。前期我偷懒没配 DKIM结果发出去的邮件十封里有七八封进了垃圾箱补上之后基本都正常进收件箱。这个体验给我留下的印象很深所以后来每配置一个新域名我都先把 DKIM 弄好。在“邮件投递”菜单下找到“DKIM”点击“创建 DKIM”。输入你要使用的主域名或者单独的子域比如 yourdomain.com。创建后系统会生成一条 CNAME 记录。到你的 DNS 服务商后台按提示把主机名指向目标值。等待 DNS 生效Oracle 控制台里的状态会从 Pending 变为 Active。生效时间取决于 DNS 服务商的 TTL一般从几分钟到几小时不等。我建议用专用于邮件发送的子域比如 mail.yourdomain.com这样即使以后换了发送方地址信誉也不会互相牵连。除了 DKIMSPF 记录也可以顺手加上。在 DNS 的 TXT 记录里格式一般是 vspf1 include:你的邮件服务商 ~all具体 include 值以 Oracle 控制台提示或官方文档给出的信息为准。SPF 和 DKIM 同时生效才能把送达率拉到一个理想的状态。3.3 发件地址命名别把鸡蛋放一个篮子里我建议你根据业务用途创建不同的发件人地址而不是所有邮件都从一个地址出去。比如noticeyourdomain.com系统通知、订单状态。alertyourdomain.com告警邮件。noreplyyourdomain.com不需要回复的正式通知。这样做有两个好处。第一如果某个业务的发件行为被下游邮局标记了其他业务的邮件还能正常发送第二控制台统计发送量时你可以根据发件人地址快速定位是哪条业务链路在消耗配额。域名层面也是同理。如果你只有一个主域名也建议为邮件服务单独划一个子域比如 mail.yourdomain.com 或者 send.yourdomain.com。这样一来新建域名时 DNS 记录的配置可以独立维护后续如果你想换到其他邮件服务商也不会影响主域名其他业务。4. 生成 SMTP 凭据位置、保存方式和常见混淆点4.1 SMTP 凭据藏在 IAM 用户设置里很多人第一次找 SMTP 凭据会直接去“邮件投递”菜单里翻翻半天也找不到。实际上SMTP 凭据并不属于邮件投递服务的配置项它挂在 IAM 用户设置下面。准确路径是右上角头像 - 用户设置 - 左侧菜单里的“SMTP 凭据” - 点击“创建/生成 SMTP 凭据”。给凭据起一个可辨识的名字例如 smtp-notice-bot然后点击创建。系统会返回一组凭据包括用户名和一长串密码。这里要提醒一句创建时弹出来的密码是整个生命周期里唯一一次完整展示。你刷新页面、关闭弹窗之后再回到控制台只能看到“生成新密码”的选项看不到旧密码了。4.2 保存凭据的唯一机会所以创建之后的第一个动作就是立刻把密码复制到你的密码管理器或公司的密钥管理系统里。我见过不只一个人点击关闭之后第二天一脸茫然地来问“刚才那个密码还能再看到吗”答案是不能只能重新生成。把这条原则延伸到代码层面就是不要硬编码。就算你的代码仓库是私有的随着人员流动仓库访问权限会变化。最稳妥的方式是放到环境变量、配置中心或者云上的密钥管理服务里。在 CI/CD 流水线里引用时也要注意不要让构建日志打印完整的 SMTP 密码。4.3 SMTP 凭据和 API 密钥的区别这是一个非常容易混淆的坑我在这上面浪费过不少时间。OCI 有两类完全不同的认证方式API 密钥用于调用 OCI 的 REST API通常是一对密钥文件配置到 SDK 里使用。SMTP 凭据专门给邮件服务的 SMTP 登录认证使用表现形式就是用户名和密码。你在配置邮件客户端时填的一定是 SMTP 凭据里的用户名和密码而不是下载 API 密钥文件。如果你把 API 密钥的 PEM 文件路径填到某软件的“用户名”里连第一步 TLS 认证都过不去。还有一个细节SMTP 凭据的用户名一般是一长串随机生成的字符串它不是你的邮箱地址更不是登录 OCI 控制台的邮箱。有些人下意识地填自己的邮箱作为用户名结果一直报认证失败。我第一次也这样做了后来发现正确做法是把控制台生成的 SMTP 用户名整个复制进去前后不要多带空格。4.4 子用户权限不足时的处理如果你不是用主用户操作而是新建了一个 IAM 子用户来管理邮件服务那么很可能遇到一个问题子用户能看到菜单但点击创建 SMTP 凭据时系统提示权限不足。这种情况需要为子用户所在的组添加策略。在 IAM 策略里找到“创建策略”添加邮件投递服务的使用权限。具体策略语句可以通过控制台里的“策略模板”找到也可以参考 Oracle 官方文档。重点是子用户至少要有邮件投递服务和 SMTP 凭据相关的权限否则后面的流程走不下去。我自己的习惯是生产环境绝不用主用户的凭据而是专门建一个用于发信的子用户把权限收缩到最小范围。这样即使子用户凭据泄露也能快速隔离不至于把整个租户的权限暴露出去。5. 用 swaks 和 Python 把第一封邮件发出去5.1 swaks 为什么是排查 SMTP 的神器工具方面我推荐 swaks。它是 SMTP 调试工具里的瑞士军刀支持 TLS、认证、附件、自定义邮件头而且会把和服务器交互的每一步都打印出来。这种透明日志对排查“到底卡在哪一环”非常有用。安装也简单。Debian 系直接用 apt install swaksRHEL 系用 yum 或 dnf 也能找到。如果你不想装额外工具用 telnet 手敲 SMTP 协议也可以但要自己做 BASE64 编码、TLS 协商、邮件格式组装效率低不少。5.2 完整 swaks 命令和核心日志解读假设我选择的区域是美国西部发件人地址是 noticeyourdomain.com收件人是 adminexample.net那么命令大概长这样swaks --to adminexample.net \ --from noticeyourdomain.com \ --server smtp.email.us-phoenix-1.oraclecloud.com \ --port 587 \ --tls \ --auth-user SMTP用户名 \ --auth-password SMTP密码 \ --header Subject: Oracle SMTP Test \ --body Hello, this is a test mail from Oracle Email Delivery.这段命令里几个关键点--port 587 配合 --tls表示使用 STARTTLS 加密这是最推荐的组合。--auth-user 和 --auth-password填 SMTP 凭据里的用户名和密码。--from 必须是验证成功的发件人地址填错会直接收到 554 报错。如果一切顺利日志里会按顺序出现连接建立、TLS 握手完成、AUTH 命令通过、MAIL FROM 响应 250、RCPT TO 响应 250最后邮件发送完成。如果失败最常见的报错是535 5.7.8认证失败SMTP 用户名或密码不对。检查一下复制时是否带进了空格。553/554 From address rejected发件人地址没有验证通过或者你用了未经授权的地址。550 5.7.1收件方拒绝通常和 SPF/DKIM 或内容评分有关。5.3 用 Python smtplib 集成到业务代码swaks 验证通过后就可以接入业务代码了。Python 标准库里的 smtplib 足够应对大部分需求不需要额外依赖。示例import smtplib from email.mime.text import MIMEText from email.header import Header SMTP_HOST smtp.email.us-phoenix-1.oraclecloud.com SMTP_PORT 587 SMTP_USER SMTP用户名 SMTP_PASS SMTP密码 FROM_ADDR noticeyourdomain.com TO_ADDR adminexample.net msg MIMEText(服务降级通知API 超时次数已超过阈值。, plain, utf-8) msg[From] FROM_ADDR msg[To] TO_ADDR msg[Subject] Header(告警API 超时, utf-8) with smtplib.SMTP(SMTP_HOST, SMTP_PORT, timeout30) as client: client.starttls() client.login(SMTP_USER, SMTP_PASS) client.send_message(msg) print(邮件已发送)这里要注意send_message 会解析收件人和发件人不需要再单独传参数。如果走 465 端口用 smtplib.SMTP_SSL(host, 465)配合 SSL 上下文不需要调用 starttls。timeout 一定要设置。不加超时最坏情况下你的任务进程会卡在一个连不上服务器的连接上影响整个队列消费。5.4 常见退件错误定位表收到退件时先不要慌大部分问题都能按下面的表格对号入座报错阶段典型信息常见原因认证环节535 / 530SMTP 用户名或密码错误发件校验554 From address rejectedSender 未验证或地址未授权收件方域名550 Domain not found收件地址拼写错误或域名不存在收件方策略550 5.7.1 spam blockedSPF/DKIM 缺失或内容被判定为垃圾顺便说一句不是所有退件都来自 Oracle。如果收件方邮局认为你的邮件像垃圾邮件它会在收件端直接打回这跟 Oracle 的投递链路无关。遇到这类问题优先检查 DNS 记录和邮件正文质量。6. 生产环境落地时的端口、配额、垃圾箱与队列6.1 端口怎么选587 优先465 次之25 慎用Oracle 邮件投递服务提供 25、587、465 三个端口。但我个人的推荐排序是587 STARTTLS 第一465 SSL 第二25 最后。原因很简单25 端口是传统 SMTP 端口但在很多云网络环境里出站 25 被运营商直接屏蔽。如果你用 25 端口测试半天连不上很可能不是 Oracle 的问题而是你的服务器所在网络禁止了这个端口。相比之下587 作为邮件提交端口在安全策略上更宽容也兼容绝大多数客户端。465 是隐式 TLS 端口如果你的客户端不支持 STARTTLS 协商或者你希望一建立连接就进入加密状态可以考虑它。两者在投递效果上没有本质区别选哪个更多取决于你现有代码库的支持情况。6.2 邮件进垃圾箱时的排查顺序如果收件人告诉你邮件在垃圾箱里先不要怀疑是 Oracle 服务有问题按这个顺序排查检查 DKIM 是否已经生效可以在邮件原文里看 Authentication-Results 头。检查 SPF 是否配置正确特别是 include 值有没有复制完整。检查邮件正文是否有过多“营销味”词汇比如“点击领取”“限时折扣”。如果是新域名前两周发送量不要太大先建立基础声誉。我的经验是大多数进垃圾箱的案例都是因为 DKIM 没配好或新域名冷启动阶段就猛发。只要 DNS 记录齐全发送频率控制住进垃圾箱的概率会降到很低。6.3 配额告警和一次“20 倍邮件事故”配额监控这件事我建议从第一天就做不用等到快要超限才注意。控制台的邮件投递概览页会显示发送统计和配额信息每隔几天看一眼做到心里有数。我之前就吃过亏。某个业务模块的订单重试逻辑写得不严谨用户下单失败后自动重试时每次都触发发送邮件结果一个小时内发出了平时二十倍的邮件量。等发现时免费配额几乎被耗掉一半SMTP 也收到了限流提示。最后排查到问题后修复了重试逻辑又等了配额周期刷新才恢复正常。所以我的建议是给系统的发信接口加上业务层的限流和去重逻辑。同一个手机号或订单号一分钟内最多发一封验证码这是保护配额和生产稳定性的底线。6.4 把发信任务从请求链路里拆出去最后聊一个架构层面的建议。不要在主业务请求里同步发邮件。原因是SMTP 调用本质上是一次跨网络操作涉及 DNS 解析、TCP 连接、TLS 协商、连接复用等环节如果邮件服务偶发延迟用户的请求就会一直被阻塞体验很差。更合理的方式是引入一个轻量级队列。比如用 Redis 的列表或者消息队列把邮件发送任务丢进去后台 worker 慢慢消费。这样即使 Oracle 邮件服务短暂抖动任务也可以自动重试不会阻塞主流程。我在生产环境里做的就是这种模式。发信 worker 单独部署失败邮件进入一个“待重试”队列超过三次仍失败的直接丢弃并记录日志。这样做以后我再也不用担心邮件服务抖动把整个业务拖垮了。最后分享一个小技巧如果你只是自己维护一个小项目建议把 SMTP 凭据放到环境变量或配置中心里千万别写进仓库。另外每个月底瞄一眼控制台的发送统计基本就能安心用到下个月。这套 Oracle 免费邮件传送服务搭建一次之后后续运维成本真的可以低到忽略不计。