SPF, DKIM, DMARC: cấu hình để email doanh nghiệp không vào thư rác
Nội dung chính
Email gửi từ tên miền của bạn (ví dụ lienhe@tenmien.vn) có thể bị đưa vào thư rác hoặc bị từ chối nếu tên miền chưa được xác thực. Từ năm 2024, Gmail và Yahoo yêu cầu người gửi xác thực email chặt chẽ hơn, đặc biệt với người gửi số lượng lớn. Ba bản ghi DNS sau là nền tảng.
SPF: ai được phép gửi thay tên miền
SPF là bản ghi TXT liệt kê các máy chủ được gửi email cho tên miền. Ví dụ với Google Workspace:
tenmien.vn. TXT "v=spf1 include:_spf.google.com ~all"Nếu bạn gửi email từ nhiều dịch vụ (Google Workspace, phần mềm email marketing, website), gộp tất cả vào một bản ghi:
"v=spf1 include:_spf.google.com include:dichvu-email.example ~all"Lỗi thường gặp:
- Có hai bản ghi SPF cho cùng tên miền — khiến SPF bị coi là lỗi. Chỉ được có một bản ghi bắt đầu bằng
v=spf1. - Vượt quá 10 lượt tra cứu DNS do quá nhiều
include. Gỡ những dịch vụ không còn dùng. - Quên thêm dịch vụ gửi email từ website (form liên hệ, thông báo đơn hàng).
DKIM: chữ ký số cho từng email
DKIM gắn chữ ký vào mỗi email; máy nhận dùng khóa công khai trong DNS để kiểm tra email không bị sửa và đúng là từ tên miền của bạn. Khóa được tạo trong trang quản trị dịch vụ email (Google Workspace, Microsoft 365...), sau đó bạn thêm bản ghi TXT tại tên do dịch vụ chỉ định, ví dụ google._domainkey.tenmien.vn, rồi bấm bật xác thực.
Mỗi dịch vụ gửi email nên có DKIM riêng với selector riêng.
DMARC: chính sách khi xác thực thất bại
DMARC cho máy nhận biết phải làm gì với email không qua SPF/DKIM khớp tên miền, và gửi báo cáo về cho bạn. Bắt đầu ở chế độ theo dõi:
_dmarc.tenmien.vn. TXT "v=DMARC1; p=none; rua=mailto:dmarc@tenmien.vn"Lộ trình an toàn:
p=nonetrong vài tuần, đọc báo cáo để tìm mọi nguồn gửi hợp lệ còn thiếu SPF/DKIM.- Khi các nguồn hợp lệ đều đạt, chuyển
p=quarantine(đưa vào thư rác). - Cuối cùng
p=rejectđể chặn email giả mạo tên miền của bạn.
Báo cáo DMARC dạng XML khá khó đọc; có các dịch vụ miễn phí và trả phí giúp tổng hợp.
Kiểm tra sau khi cấu hình
- Gửi một email đến Gmail, mở "Hiển thị bản gốc" (Show original): ba dòng SPF, DKIM, DMARC nên ghi PASS.
- Thay đổi DNS có thể cần thời gian để lan truyền, thường từ vài phút đến vài giờ tùy TTL.
Email từ website
Form liên hệ và thông báo đơn hàng cũng là email. Thay vì gửi trực tiếp từ máy chủ website (dễ bị chặn), nên gửi qua SMTP của dịch vụ email doanh nghiệp hoặc một dịch vụ gửi email giao dịch, và thêm dịch vụ đó vào SPF/DKIM.
Gặp khó khi cấu hình? Đăng câu hỏi kèm nội dung bản ghi DNS (có thể che tên miền). Nếu cần Webzone thiết lập trọn gói, xem dịch vụ tên miền, hosting, email và SSL.