SPF, DKIM, DMARC: xác thực email doanh nghiệp đúng cách
Nội dung chính
Email gửi từ tên miền của bạn (ví dụ lienhe@tenmien.vn) có thể bị đưa vào thư rác hoặc bị từ chối nếu tên miền chưa được xác thực. SPF, DKIM và DMARC giúp máy nhận kiểm tra nguồn gửi nhưng không bảo đảm thư vào inbox; uy tín nguồn gửi, nội dung và bộ lọc nhận vẫn ảnh hưởng. Luôn đối chiếu yêu cầu hiện hành của dịch vụ gửi và nhận.
SPF: ai được phép gửi thay tên miền
SPF là bản ghi TXT liệt kê các máy chủ được gửi email cho tên miền. Ví dụ với Google Workspace:
tenmien.vn. TXT "v=spf1 include:_spf.google.com ~all"Nếu bạn gửi email từ nhiều dịch vụ (Google Workspace, phần mềm email marketing, website), gộp tất cả vào một bản ghi:
"v=spf1 include:_spf.google.com include:dichvu-email.example ~all"Lỗi thường gặp:
- Có hai bản ghi SPF cho cùng tên miền — khiến SPF bị coi là lỗi. Chỉ được có một bản ghi bắt đầu bằng
v=spf1. - Vượt quá 10 lượt tra cứu DNS do quá nhiều
include. Gỡ những dịch vụ không còn dùng. - Quên thêm dịch vụ gửi email từ website (form liên hệ, thông báo đơn hàng).
DKIM: chữ ký số cho từng email
DKIM gắn chữ ký vào mỗi email; máy nhận dùng khóa công khai trong DNS để kiểm tra email không bị sửa và đúng là từ tên miền của bạn. Khóa được tạo trong trang quản trị dịch vụ email (Google Workspace, Microsoft 365...), sau đó bạn thêm bản ghi TXT tại tên do dịch vụ chỉ định, ví dụ google._domainkey.tenmien.vn, rồi bấm bật xác thực.
Mỗi dịch vụ gửi email nên có DKIM riêng với selector riêng.
DMARC: chính sách khi xác thực thất bại
DMARC kiểm sự khớp tên miền (alignment) giữa địa chỉ From hiển thị và tên miền đã xác thực qua SPF hoặc DKIM. Chỉ cần ít nhất một cơ chế đạt và khớp theo chính sách để DMARC đạt. Bản ghi cũng công bố cách xử lý mong muốn khi thất bại và địa chỉ nhận báo cáo. Bắt đầu ở chế độ theo dõi:
_dmarc.tenmien.vn. TXT "v=DMARC1; p=none; rua=mailto:dmarc@tenmien.vn"Lộ trình an toàn:
p=nonetrong vài tuần, đọc báo cáo để tìm mọi nguồn gửi hợp lệ còn thiếu SPF/DKIM.- Khi các nguồn hợp lệ đều đạt, chuyển
p=quarantine(đưa vào thư rác). - Cuối cùng
p=rejectđể chặn email giả mạo tên miền của bạn.
Báo cáo DMARC dạng XML khá khó đọc; có các dịch vụ miễn phí và trả phí giúp tổng hợp.
Kiểm tra sau khi cấu hình
- Gửi một email đến Gmail, mở "Hiển thị bản gốc" (Show original): ba dòng SPF, DKIM, DMARC nên ghi PASS.
- Thay đổi DNS có thể cần thời gian để lan truyền, thường từ vài phút đến vài giờ tùy TTL.
Email từ website
Form liên hệ và thông báo đơn hàng cũng là email. Thay vì gửi trực tiếp từ máy chủ website (dễ bị chặn), nên gửi qua SMTP của dịch vụ email doanh nghiệp hoặc một dịch vụ gửi email giao dịch, và thêm dịch vụ đó vào SPF/DKIM.
Gặp khó khi cấu hình? Đăng câu hỏi kèm nội dung bản ghi DNS (có thể che tên miền). Nếu cần Webzone thiết lập trọn gói, xem dịch vụ tên miền, hosting, email và SSL.
Nếu biểu mẫu báo thành công nhưng không có thư, hãy kiểm cả bản ghi tiếp nhận và nhật ký gửi theo quy trình xử lý form không nhận email, thay vì chỉ sửa DNS.