Hướng dẫn chi tiết cách đọc và phân tích báo cáo DMARC aggregate để giám sát email tên miền, phát hiện giả mạo, cải thiện deliverability. Kèm bảng giải thích trường XML, ví dụ thực tế và công cụ hỗ trợ.
DMARC là một giao thức xác thực email giúp bảo vệ tên miền khỏi bị giả mạo. Tuy nhiên, việc cấu hình DMARC thôi chưa đủ — bạn cần thường xuyên xem báo cáo DMARC aggregate (RUA) để hiểu ai đang gửi email nhân danh tên miền, từ đó phát hiện nguồn gửi trái phép, đánh giá hiệu quả chính sách, và điều chỉnh deliverability. Bài viết này hướng dẫn bạn cách đọc và phân tích báo cáo DMARC aggregate một cách dễ hiểu, có ví dụ thực tế, bảng tóm tắt và số liệu cụ thể.
DMARC aggregate (RUA) là gì và nó chứa những thông tin gì?
Báo cáo DMARC aggregate, thường gọi là RUA (Aggregate Report), là file XML được gửi hàng ngày từ các nhà cung cấp dịch vụ email (ISP) như Google, Yahoo, Microsoft, tới địa chỉ email bạn khai báo trong bản ghi DMARC (rua=mailto:...). Báo cáo này tổng hợp tất cả các email mà ISP nhận được có nguồn gốc từ tên miền của bạn — bao gồm cả email hợp pháp lẫn email giả mạo — và cho biết kết quả xác thực SPF, DKIM, DMARC của từng email.
Thông tin trong báo cáo được tổ chức theo từng khối XML, gồm các trường chính:
- report_metadata: thông tin về báo cáo (ID, ngày gửi, tổ chức gửi – ví dụ google.com).
- policy_published: chính sách DMARC bạn đang áp dụng (p=none, p=quarantine hay p=reject).
- record: từng bản ghi chi tiết cho mỗi IP nguồn, gồm: số lượng email, kết quả SPF (pass/fail), DKIM (pass/fail), DMARC (pass/fail), và các thông tin về định danh (Header From, Envelope From).
Ví dụ: Một báo cáo từ Google cho tên miền example.com có thể chứa 10.000 email, trong đó 8.000 email đến từ IP của máy chủ gửi chính thức (pass DMARC), 1.000 email từ dịch vụ email marketing bên thứ ba (pass SPF nhưng không pass DKIM), và 1.000 email từ IP lạ (fail SPF và DKIM). Số liệu này giúp bạn nắm rõ bức tranh toàn cảnh.
Hiểu cấu trúc báo cáo DMARC aggregate qua các trường chính
Để đọc được báo cáo, bạn cần làm quen với các trường XML chính trong mỗi record. Dưới đây là bảng giải thích các trường quan trọng nhất:
| Trường XML | Ý nghĩa | Giá trị ví dụ |
|---|---|---|
source_ip | Địa chỉ IP nguồn gửi email | 203.0.113.5 |
count | Số lượng email từ IP đó trong kỳ báo cáo | 1500 |
disposition | Hành động DMARC áp dụng: none (cho phép), quarantine (đưa vào thư rác), reject (từ chối) | none |
dkim_auth_results | Kết quả xác thực DKIM – domain và selector pass/fail | pass (s=selector1, d=example.com) |
spf_auth_results | Kết quả xác thực SPF – domain pass/fail | fail (domain=example.com) |
identities | Địa chỉ Header From và Envelope From | [email protected] |
reason | Lý do fail nếu có (SPF hoặc DKIM không hợp lệ) | spf: from domain not in SPF record |
Hãy chú ý đến trường disposition: nếu bạn dùng chính sách p=reject, các email fail DMARC sẽ bị từ chối và không xuất hiện trong hộp thư đến. Báo cáo sẽ ghi nhận disposition=reject cho những email đó.
Phân tích số liệu: xác định nguồn gửi hợp lệ và bất thường
Đọc báo cáo DMARC thực chất là so sánh IP nguồn với danh sách IP mà bạn ủy quyền. Đầu tiên, hãy liệt kê các IP của máy chủ gửi chính thức (ví dụ: mail server nội bộ, ESP như SendGrid, Mailchimp). Sau đó, xem báo cáo có IP nào lạ xuất hiện với số lượng lớn không.
Ví dụ cụ thể: Tên miền mycompany.vn có bản ghi SPF bao gồm IP 192.0.2.10 (mail server chính) và include:_spf.sendgrid.net. Báo cáo từ Google cho thấy:
- IP 192.0.2.10 gửi 5.000 email, tất cả SPF pass và DKIM pass → hợp lệ.
- IP 198.51.100.20 (không có trong SPF) gửi 200 email, SPF fail, DKIM fail → đây có thể là giả mạo hoặc server gửi không được cấu hình đúng.
- IP 103.21.244.50 (thuộc SendGrid) gửi 3.000 email, SPF pass (do include) nhưng DKIM fail vì thiếu chữ ký DKIM cho tên miền của bạn → cần cấu hình DKIM trên SendGrid ngay.
Từ phân tích trên, bạn biết rằng cần thêm IP 198.51.100.20 vào SPF nếu đó là server hợp lệ, hoặc chặn nếu là tấn công. Đồng thời yêu cầu SendGrid bật DKIM signing.
Đọc báo cáo tổng hợp: đánh giá tỷ lệ pass DMARC
Mỗi báo cáo thường có tổng số email và tỷ lệ pass/fail. Hãy tính tỷ lệ % DMARC pass = (tổng số email pass DMARC) / (tổng số email ghi nhận) * 100. Lý tưởng nhất là tỷ lệ này trên 95% nếu bạn đã cấu hình đúng. Nếu thấp hơn, cần điều tra nguyên nhân.
Ví dụ: Báo cáo từ Yahoo cho thấy 100.000 email, trong đó 80.000 pass (80%), 10.000 quarantine (10%), 10.000 reject (10%). Tỷ lệ pass thấp có thể do nhiều email giả mạo hoặc do thiếu cấu hình DKIM/SPF cho các dịch vụ gửi hợp pháp. Bạn nên xem bảng phân bố theo IP để biết IP nào gây lỗi nhiều nhất.
Một mẹo: Khi mới bật DMARC ở chính sách p=none, hãy theo dõi báo cáo ít nhất 2 tuần để xác định tất cả nguồn gửi hợp lệ, rồi mới chuyển sang p=quarantine hoặc p=reject.
Sử dụng công cụ phân tích báo cáo DMARC
Đọc file XML thủ công rất khó khăn vì hàng nghìn dòng. Thay vào đó, bạn nên dùng các công cụ phân tích DMARC miễn phí hoặc trả phí, như:
- URIports: cung cấp bảng điều khiển trực quan, phân loại IP theo nguồn, hiển thị biểu đồ và cho phép xuất báo cáo. Hỗ trợ phân tích chi tiết từng IP.
- DMARC Analyzer: có phiên bản miễn phí giới hạn, hiển thị tổng quan và cảnh báo khi phát hiện bất thường.
- MXToolbox DMARC: kiểm tra bản ghi DMARC và xem báo cáo tổng hợp trực tuyến.
- Valimail: công cụ mạnh dành cho doanh nghiệp, tự động nhận diện nguồn gửi và đề xuất cập nhật SPF.
Các công cụ này giúp bạn không cần đọc XML thô; chúng tổng hợp dữ liệu thành bảng biểu, biểu đồ tròn, và cảnh báo khi có IP lạ. Nhưng để hiểu sâu, bạn vẫn cần nắm các trường cơ bản nêu trên.
Hành động sau khi đọc báo cáo: điều chỉnh SPF, DKIM, DMARC
Khi phát hiện IP lạ hoặc tỷ lệ fail cao, bạn cần thực hiện các bước sau:
- Xác minh nguồn gửi lạ: Kiểm tra IP đó có phải của đối tác, dịch vụ mới, hay bị giả mạo. Bạn có thể tra cứu IP trên các cơ sở dữ liệu như AbuseIPDB.
- Cập nhật SPF: Nếu IP là hợp lệ, thêm IP hoặc include vào bản ghi SPF. Ví dụ:
v=spf1 ip4:198.51.100.20 include:_spf.partner.com ~all. - Cấu hình DKIM: Nếu dịch vụ gửi chưa có DKIM, yêu cầu họ kích hoạt và thêm bản ghi DKIM public key vào DNS.
- Nâng cấp chính sách DMARC: Khi tỷ lệ pass ổn định trên 95% trong ít nhất 1 tuần, chuyển từ p=none lên p=quarantine, sau đó p=reject.
- Giám sát thường xuyên: Đặt lịch xem báo cáo hàng tuần hoặc thiết lập cảnh báo qua email khi có bất thường.
Ví dụ: Sau khi phân tích, bạn thêm IP 198.51.100.20 vào SPF và kích hoạt DKIM cho dịch vụ email marketing. Kỳ báo cáo sau, tỷ lệ pass DMARC tăng từ 80% lên 98% – đó là kết quả tích cực.
Lưu ý khi đọc báo cáo từ nhiều ISP khác nhau
Mỗi ISP gửi báo cáo theo định dạng riêng và có thể có độ trễ khác nhau. Google và Yahoo thường gửi báo cáo trong vòng 24 giờ, trong khi Microsoft có thể mất 1-2 ngày. Do đó, hãy đảm bảo bạn khai báo địa chỉ email nhận báo cáo (rua) chịu được lượng lớn email, và nên dùng một hộp thư riêng để dễ quản lý.
Ngoài ra, có ISP không gửi báo cáo nếu số lượng email từ tên miền của bạn quá ít. Vì vậy, nếu bạn mới bắt đầu, hãy gửi một ít email thử nghiệm đến các tài khoản Gmail, Yahoo, Outlook để có dữ liệu báo cáo.
Một vấn đề thường gặp: báo cáo hiển thị số lượng email rất lớn (hàng trăm nghìn) từ một IP lạ – đó có thể là tấn công DDoS hoặc spam. Khi đó, bạn cần hành động ngay, chẳng hạn thêm IP đó vào blacklist và liên hệ với ISP để yêu cầu chặn.
Báo cáo DMARC aggregate và forensic khác nhau thế nào?
Báo cáo aggregate (RUA) tổng hợp số liệu thống kê theo ngày, trong khi báo cáo forensic (RUF) gửi từng email fail chi tiết, chứa nội dung mẫu. RUF thường bị giới hạn vì lý do riêng tư.
Tôi có cần xem báo cáo hàng ngày không?
Không cần hàng ngày, nhưng nên xem ít nhất mỗi tuần một lần khi mới cấu hình DMARC. Khi ổn định, có thể giảm xuống mỗi tháng.
Làm sao biết IP nào là của tôi?
So sánh IP trong báo cáo với danh sách IP của máy chủ gửi, dịch vụ email marketing, và các bên thứ ba bạn ủy quyền trong SPF.
Báo cáo từ Google và Yahoo khác nhau không?
Nội dung cơ bản giống nhau, nhưng tên trường XML có thể khác đôi chút. Ví dụ Google dùng policy_evaluated, Yahoo dùng disposition.
Tại sao báo cáo có IP lạ mà không phải tấn công?
IP lạ có thể là máy chủ chuyển tiếp (forwarder) hợp pháp, hoặc dịch vụ gửi thử nghiệm. Cần kiểm tra thêm logs và liên hệ với bên quản trị.
Nếu không có báo cáo thì có vấn đề gì không?
Có thể do bạn chưa gửi email đến các ISP đó, hoặc ISP không hỗ trợ DMARC. Hãy gửi thử vài email đến tài khoản Gmail, Yahoo, Outlook để kích hoạt báo cáo.
Bài viết liên quan
- DMARC là gì? Hướng dẫn thiết lập DMARC cho email doanh nghiệp
- Hướng dẫn xác thực email SPF, DKIM, DMARC toàn tập
- SPF là gì? Cách tạo bản ghi SPF đúng cho email tên miền
- DKIM là gì? Hướng dẫn cấu hình DKIM cho email
Lưu ý: Bài viết chỉ mang tính tham khảo, tổng hợp kiến thức chung. Mỗi hệ thống, hạ tầng và nhu cầu doanh nghiệp có đặc thù riêng, nên trước khi triển khai thực tế bạn nên tham vấn ý kiến từ kỹ sư hoặc chuyên gia để có giải pháp chính xác và phù hợp nhất.