diff --git a/deploy/systemd/smail.service b/deploy/systemd/smail.service
index ee5af50..6c1ea25 100644
--- a/deploy/systemd/smail.service
+++ b/deploy/systemd/smail.service
@@ -33,7 +33,7 @@ RuntimeDirectoryMode=0750
 # 目录由 smail 进程拥有，允许主服务创建受保护的本机控制套接字。
 
 NoNewPrivileges=true
-AmbientCapabilities=CAP_NET_BIND_SERVICE
+AmbientCapabilities=CAP_NET_BIND_SERVICE CAP_DAC_OVERRIDE CAP_DAC_READ_SEARCH
 # 主进程需要读取 smail 用户权限保护的配置和数据目录，同时保留插件隔离能力。
 CapabilityBoundingSet=CAP_NET_BIND_SERVICE CAP_SYS_CHROOT CAP_SETUID CAP_SETGID CAP_CHOWN CAP_SYS_ADMIN CAP_DAC_OVERRIDE CAP_DAC_READ_SEARCH
 PrivateTmp=true