SPF, DKIM và DMARC là ba cơ chế xác thực giúp máy chủ nhận thư như Gmail, Outlook hay Yahoo xác minh email gửi từ tên miền của bạn là hợp lệ, không bị mạo danh. Thiếu một trong ba bản ghi này, email doanh nghiệp gửi đi rất dễ rơi vào thư mục spam hoặc bị từ chối thẳng dù nội dung hoàn toàn bình thường. SPF (Sender Policy Framework) là bản ghi DNS dạng TXT liệt kê những máy chủ được phép gửi thư thay mặt tên miền của bạn, còn DKIM và DMARC bổ sung thêm lớp chữ ký số và chính sách xử lý để hoàn thiện bộ ba xác thực.
SPF xác định ai được phép gửi email thay tên miền của bạn?
SPF hoạt động bằng cách công bố công khai trên DNS danh sách địa chỉ IP hoặc máy chủ được phép gửi email nhân danh tên miền. Khi một máy chủ nhận thư nhận được email, nó sẽ tra cứu bản ghi SPF của tên miền gửi và so sánh với địa chỉ IP thực tế đang gửi. Nếu IP gửi không nằm trong danh sách được khai báo, email có nguy cơ bị gắn cờ nghi ngờ hoặc đưa thẳng vào spam. Với doanh nghiệp dùng nhiều dịch vụ gửi thư như hệ thống email nội bộ, phần mềm CRM hay công cụ gửi email hàng loạt, bản ghi SPF cần liệt kê đầy đủ tất cả nguồn gửi; thiếu một nguồn thì thư gửi từ nguồn đó sẽ bị đánh giá thấp về độ tin cậy.
DKIM ký số từng email như thế nào?
DKIM (DomainKeys Identified Mail) gắn một chữ ký mã hóa vào phần header của mỗi email trước khi gửi đi, dựa trên cặp khóa công khai và khóa riêng tư được thiết lập riêng cho tên miền. Máy chủ nhận sẽ dùng khóa công khai công bố trên DNS để giải mã và đối chiếu chữ ký, từ đó xác nhận nội dung email không bị thay đổi trong quá trình truyền tải và đúng là được gửi từ hệ thống của tên miền đó. Khác với SPF chỉ kiểm tra nguồn gửi, DKIM đảm bảo tính toàn vẹn của nội dung, nên rất hữu ích khi email đi qua nhiều máy chủ trung gian trước khi đến hộp thư người nhận.
DMARC quyết định điều gì khi SPF hoặc DKIM thất bại?
DMARC (Domain-based Message Authentication, Reporting and Conformance) đóng vai trò lớp chính sách nằm trên cả SPF và DKIM, quy định máy chủ nhận nên xử lý ra sao khi một email không vượt qua được một trong hai kiểm tra trên. Bản ghi DMARC cho phép doanh nghiệp chọn mức xử lý gồm giám sát, đưa vào spam hoặc từ chối hẳn, đồng thời nhận báo cáo định kỳ về những địa chỉ đang cố gửi email giả mạo tên miền. Nhiều doanh nghiệp bỏ qua DMARC vì nghĩ có SPF và DKIM là đủ, nhưng thiếu DMARC đồng nghĩa với việc không kiểm soát được hành vi của máy chủ nhận khi có sự cố xác thực, cũng không có cơ chế cảnh báo khi tên miền bị lợi dụng để gửi thư lừa đảo khách hàng hay đối tác.
So sánh nhanh SPF DKIM DMARC
| Tiêu chí | SPF | DKIM | DMARC |
|---|---|---|---|
| Chức năng chính | Xác định máy chủ được phép gửi thư | Ký số để chứng minh nội dung không bị thay đổi | Quy định cách xử lý khi SPF hoặc DKIM thất bại |
| Vị trí khai báo | Bản ghi TXT trên DNS tên miền | Bản ghi TXT chứa khóa công khai trên DNS | Bản ghi TXT tại _dmarc.tenmien |
| Đối tượng kiểm tra | Địa chỉ IP máy chủ gửi | Chữ ký số trong header email | Kết quả của cả SPF và DKIM |
| Hạn chế nếu dùng riêng lẻ | Không phát hiện được nội dung bị chỉnh sửa | Không kiểm soát được nguồn IP gửi | Không có báo cáo minh bạch nếu thiếu SPF, DKIM |
Vì sao thiếu một trong ba khiến email doanh nghiệp vào spam?
Các nhà cung cấp hộp thư lớn hiện chấm điểm độ tin cậy của tên miền gửi dựa trên việc có đủ SPF, DKIM, DMARC hay không, đặc biệt từ khi Gmail và Yahoo siết chặt yêu cầu xác thực với người gửi số lượng lớn. Khi tên miền chỉ có SPF mà thiếu DKIM, email vẫn có thể bị nghi ngờ nếu đi qua máy chủ trung gian làm thay đổi phần header trên đường truyền. Khi có SPF và DKIM nhưng thiếu DMARC, doanh nghiệp mất khả năng khai báo rõ ràng cách xử lý sự cố xác thực, đồng thời không biết được có ai đang giả mạo tên miền để gửi thư lừa đảo khách hàng hay đối tác của mình.
Cấu hình SPF, DKIM, DMARC cho tên miền doanh nghiệp như thế nào?
Việc khai báo ba bản ghi này thực hiện trực tiếp trên bảng điều khiển quản lý DNS của tên miền, theo trình tự sau để tránh xung đột hoặc gián đoạn luồng gửi thư đang hoạt động.
- Liệt kê toàn bộ hệ thống đang gửi email nhân danh tên miền, gồm máy chủ email chính, phần mềm CRM, công cụ gửi email marketing nếu có.
- Tạo bản ghi TXT SPF tại tên miền gốc, khai báo đầy đủ các nguồn gửi đã liệt kê ở bước trên.
- Bật tính năng DKIM trên hệ thống email đang sử dụng, sau đó thêm bản ghi TXT chứa khóa công khai được hệ thống cung cấp vào DNS.
- Khai báo bản ghi DMARC tại _dmarc.tenmien, bắt đầu ở chế độ giám sát để theo dõi trước khi chuyển sang chế độ nghiêm ngặt hơn.
- Theo dõi báo cáo DMARC định kỳ để phát hiện nguồn gửi bất thường hoặc dấu hiệu giả mạo tên miền.
Những lỗi khai báo DNS thường gặp là gì?
- Khai báo hai bản ghi SPF riêng biệt cho cùng một tên miền, khiến hệ thống nhận thư không xác định được bản ghi nào là đúng.
- Quên cập nhật SPF khi đổi hoặc thêm dịch vụ gửi email mới, dẫn đến thư từ nguồn mới bị đánh giá thấp.
- Bật DMARC ở chế độ từ chối ngay từ đầu trong khi SPF hoặc DKIM chưa phủ hết các nguồn gửi hợp lệ.
- Sao chép bản ghi DKIM từ tài liệu mẫu mà không thay bằng khóa công khai thực tế do hệ thống email cấp riêng cho tên miền.
Nếu bạn chưa chắc bản ghi DNS hiện tại của tên miền đã đủ điều kiện xác thực hay chưa, đội kỹ thuật của WEBSEO có thể kiểm tra và cấu hình lại giúp bạn, chỉ cần liên hệ hotline 0988227905 để được hỗ trợ trực tiếp.
Câu hỏi thường gặp
Doanh nghiệp có bắt buộc phải cấu hình cả ba bản ghi SPF, DKIM và DMARC không?
Không có quy định bắt buộc mang tính pháp lý, nhưng các nhà cung cấp hộp thư lớn như Gmail, Outlook đều ưu tiên và đôi khi yêu cầu đủ cả ba với người gửi số lượng lớn. Thiếu một trong ba khiến tỷ lệ email vào hộp thư chính giảm rõ rệt.
Cấu hình SPF, DKIM, DMARC có làm chậm việc gửi email không?
Không. Đây là các bản ghi DNS được tra cứu ở phía máy chủ nhận trong quá trình xác thực, không ảnh hưởng đến tốc độ gửi thư từ phía doanh nghiệp.
Nếu doanh nghiệp dùng nhiều dịch vụ gửi email khác nhau thì sao?
Cần liệt kê đầy đủ tất cả các nguồn gửi hợp lệ vào bản ghi SPF và bật DKIM riêng cho từng dịch vụ nếu dịch vụ đó hỗ trợ, tránh trường hợp một nguồn gửi bị bỏ sót khỏi danh sách xác thực.
DMARC ở chế độ reject có rủi ro gì không?
Nếu SPF hoặc DKIM chưa được khai báo đầy đủ cho tất cả nguồn gửi hợp lệ, chế độ reject có thể khiến email chính chủ bị từ chối. Nên bắt đầu ở chế độ giám sát, theo dõi báo cáo một thời gian rồi mới chuyển sang quarantine hoặc reject.
