企业邮箱的日常管理清单：权限、双因素与离职交接

交接那天，接手的同事拿到一张写着六个账号的纸，其中三个已经停用，两个的密码没人说得清，剩下那个是三年前离职的销售留下的，还挂着对外报价的自动转发。管理员想查谁改过转发规则，后台只保留近七天的日志。昆山买企业邮箱开通时大家盯的是空间和价格，真正拖出问题的往往是开通之后没人认领的那些日常动作：谁有管理员权限、双因素是不是全员开着、异常登录有没有人看、离职按什么顺序处理。下面把企业邮箱管理规范拆成六块，按可照抄的粒度写，每一块都给出判断标准。

本文要点

• 超级管理员只留一到两个，日常收发与后台管理用不同账号
• 双因素覆盖全员，异常转发与异地登录要单独设告警
• 离职当天禁登录、留转发，许可回收放到归档之后

管理员角色分级

后台权限不该一人一把总钥匙。常见情形是开通时把超级管理员给了行政，后来人事、IT 各要一个，半年后谁都能改域名解析和全局转发规则，出事回溯不到具体人。企业邮箱管理规范里，权限分级要先定角色，再定每个角色能做什么、不能做什么。

建议按三层划分：超级管理员只负责域名、认证记录、全局安全策略与许可购买，日常不用来收发信；账号管理员负责开户、停用、重置密码与邮件组维护；只读审计员只能查登录日志与操作记录，不能改任何配置。判断标准很明确：任何一个日常操作，都不需要动用超级管理员账号。

超级管理员账号本身要单独设强密码与双因素，注册邮箱别用某个人的私人邮箱，改成 admin@企业域名 这类可交接的地址。遇到过的一类情况是，超级管理员绑定的是已离职员工的个人邮箱，找回密码的验证码发到一个没人登录的收件箱里，域名记录想改都改不了。角色清单定完之后，可以对照 服务与解决方案 里的账号与权限条目核一遍归属。

双因素与登录限制

企业邮箱安全设置里，双因素的优先级高于密码复杂度。密码再长也可能被钓鱼页骗走，动态口令多一道门槛，成本却不高。全员开启是底线，管理员与对外高频账号要额外加限制：只允许可信 IP 段登录管理后台、关闭 POP3 与基础认证的旧协议、给不支持 OAuth2 的客户端单独发应用专用密码。

判断标准可以按账号类型分档。普通账号要求 TOTP 动态口令或短信验证码二选一，并保留一组备用验证码；管理员账号禁掉短信验证码，改用 TOTP 或硬件密钥，因为短信存在补卡风险；共享邮箱不配登录能力，只由成员通过自己的账号代收发。登录失败次数也要设阈值，常见做法是 5 次失败锁 15 分钟，同时记一条告警。

• 全员开启双因素，回收未开启账号的登录权限
• 管理员后台限定可信 IP 段，异地登录直接拒绝并告警
• 关闭 POP3、IMAP 基础认证，改用 OAuth2 或应用专用密码
• 备用验证码按账号封存，交接时随账号一起移交
• 每季度导出一次「双因素未开启」名单，逐个催办

异地登录告警要发给可交接的公共邮箱，而不是某个管理员的私人信箱。把告警收件人写进台账，比配好规则却没人看更关键。昆山买企业邮箱的后台大多支持按账号类型分档设策略，配置前先看清哪些开关是全局生效、哪些只作用于单个账号，避免改一处牵动全员。

审计与异常告警

日志留存周期是很多企业邮箱安全设置的盲区。默认保留 7 天，等到发现账号被拿来群发垃圾邮件，能查的窗口早就关了。建议把登录日志与操作日志分别留 180 天，字段至少包含时间、账号、来源 IP、客户端类型、动作、成功与否。存储成本不高，回溯时省下的时间很值钱。

告警规则不用多，盯住四类就够：非工作时间的管理后台登录、同一账号短时间多地登录、新增或改动自动转发规则、批量下载或批量删除邮件。其中自动转发格外容易被忽略——把一封报价悄悄转到外部域，前台和当事人短期内都察觉不到，往往要等客户问起才发现。

告警要有人认领。规则配得再细，收件邮箱是个无人看的别名，等于没配。建议给每条规则写明处置人和处置时限，并在季度核对时抽查一次告警记录有没有被处理。

入职与离职流程

账号开通容易做成一件「顺手办」的事，结果就是命名混乱、权限随手给。入职流程建议固定成一张工单：账号名规则（如 姓名全拼@域名）、所属部门与邮件组、初始容量、双因素是否当场开启、是否需要别名、审批人。判断标准是新人入职当天能用统一格式的地址收发信，且不需要管理员再补一次配置。

邮箱账号离职处理才是这套流程里容易漏信的一环。顺序不能反：当天禁用登录并结束所有活动会话，但保留邮箱继续收信；把来信转发给接手人，同时设一条写明新联系人的自动回复，保留 30 天；再把历史邮件归档导出、核对条数；确认归档可读之后才释放许可并删除账号。见过的一类情况是人事一离职就删账号，客户按旧地址发来的订单确认直接退信，等发现时订单已经转去别家。

1. 当天禁用登录、结束全部会话，保留收信能力
2. 设置转发到接手人，并开启带新联系人的自动回复
3. 归档导出全部邮件与通讯录，记录条数与校验值
4. 转发与自动回复保留 30 天，期间观察有无遗漏来信
5. 确认归档可读后释放许可，删除账号并登记处理人

自动回复文本里别写具体离职原因，只写「该地址已停止使用，请联系 XX」和生效日期。对外沟通的措辞统一由部门定，避免各写各的。整套流程可以落到 行业动态栏目 里同簇文章对照查看。

公共邮箱与别名

info@、sales@、service@ 这类地址不要建成某个人的普通账号。更稳的做法是邮件组或共享邮箱：成员用自己的账号登录，代收代发，权限随成员增减，人走了改一次成员列表就行。判断标准很简单——任何一个对外地址，都能说出至少两名在岗成员，且没有绑定私人手机号作为找回方式。

别名和邮件组不是一回事。别名只是同一个收件箱的另一个名字，进来的信落到同一处；邮件组会把一封来信分发给多个成员，还能设谁可以代发。把 sales@ 做成别名挂在前任主管账号下，是常见的错误之一，人一走整条线就断。另外要慎用 catch-all（全收）规则，它看似省事，却会把拼错的地址、垃圾邮件一起收进来，后续清理成本不小。

• 对外地址一律用邮件组或共享邮箱，不建个人账号
• 每个公共地址登记在岗成员名单与负责人
• 别名只用于同一收件箱的拼写变体，不承载对外业务
• 慎开 catch-all，确需开启时配好过滤与定期清理
• 找回方式统一用可交接的管理员邮箱，不绑私人手机

别名清单每季度过一遍，把已经没人用的拼写变体删掉。留着不用的别名，等于留着一批没人看的入口。

定期核对清单

把上面五块收成一张季度清单，比出问题再补救省事。核对不需要专门工具，管理员后台导出几份表格、和人事名单对一次就能做完。关键是留痕：每次核对写明日期、执行人、发现项与处理结果，下次能看出哪些问题反复出现。

年度再做一次全量：重审所有管理员、清理长期不登录的账号、复核别名与邮件组成员、确认归档备份能打开。昆山买企业邮箱涉及多个平台账号时，把域名注册商、证书与服务许可的到期日一并纳入这张表，避免邮箱能收信、域名却过期。企业邮箱管理规范不是写一份文档存档就完事，靠的是这张清单每季度真的被跑一遍。需要模板可以走 免费咨询 索取一份可照抄的字段表。

小结

六块合起来是一件事：把「谁的账号、谁能改、出事查得到、人走了信不丢」这四句话落到可执行的条目上。昆山买企业邮箱之后的长期管理，难点不在功能，而在没人认领的角落——一个没开的双因素、一条指向外部域的转发、一个删得太早的离职账号。明天就能做的一件事，是导出管理员角色列表，数一下超级管理员有几个，多出来的先回收。相关配置说明可到 行业动态栏目 继续查阅。本文为行业经验与技术分享，不构成效果承诺；具体交付范围、周期与资费以书面方案为准。