DKIM gắn chữ ký số vào email để chứng minh nội dung không bị sửa và thư đến từ tên miền của bạn. Hướng dẫn cơ chế, selector, khóa và cách cấu hình DKIM đúng.
DKIM bổ sung một chữ ký số vào mỗi email gửi đi, giúp máy chủ nhận xác minh thư thật sự đến từ tên miền của bạn và nội dung không bị chỉnh sửa trên đường truyền. Đây là lớp xác thực đi cùng SPF và là điều kiện để DMARC bảo vệ tên miền.
DKIM là gì
DKIM là viết tắt của DomainKeys Identified Mail. Cơ chế dựa trên một cặp khóa mã hóa. Máy chủ gửi ký vào tiêu đề email bằng khóa riêng được giữ kín, còn máy chủ nhận lấy khóa công khai công bố trên DNS để kiểm tra chữ ký. Nếu chữ ký khớp, email được xác nhận toàn vẹn. DKIM là một trong ba lớp ở bài xác thực email SPF, DKIM, DMARC toàn tập.
Vì sao DKIM quan trọng
SPF chỉ kiểm tra địa chỉ IP của máy chủ gửi, nên khi email được chuyển tiếp qua nhiều chặng, kết quả SPF có thể bị phá vỡ. DKIM khắc phục điểm này: chữ ký gắn theo nội dung thư, đi cùng email tới đích dù qua bao nhiêu chặng trung gian. Nhờ vậy DKIM cho độ tin cậy cao hơn trong nhiều tình huống thực tế.
DKIM cũng là một trong hai cách để email vượt DMARC. Một thư đạt DKIM căn khớp sẽ qua DMARC ngay cả khi SPF trượt do chuyển tiếp. Vì vậy bật DKIM cho mọi nguồn gửi là cách giúp email vào inbox ổn định và là điều kiện để siết chính sách bảo vệ tên miền.
Chữ ký số và khóa công khai hoạt động ra sao
Khi gửi, hệ thống tạo một chuỗi chữ ký từ nội dung và một số trường tiêu đề, rồi mã hóa bằng khóa riêng. Chữ ký này được chèn vào tiêu đề DKIM-Signature. Bên nhận giải mã bằng khóa công khai trên DNS và so lại. Nếu nội dung bị sửa giữa đường, chữ ký không còn khớp và DKIM trượt.
Selector và bản ghi DKIM
Khóa công khai được công bố tại bản ghi TXT theo định dạng selector._domainkey.tenmien.com. Selector là một nhãn cho phép một tên miền dùng nhiều khóa song song, ví dụ cho các dịch vụ gửi khác nhau hoặc để xoay vòng khóa. Một bản ghi mẫu:
mail2026._domainkey.tenmien.com TXT "v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQ..."
Trường p chứa khóa công khai. Khi đổi khóa, bạn tạo selector mới và công bố song song trước khi ngừng selector cũ.
Độ dài khóa nên dùng
Khóa DKIM thường ở mức 1024 hoặc 2048 bit. Khóa 2048 bit cho mức bảo mật cao hơn và được khuyến nghị cho hệ thống mới. Một số nhà cung cấp DNS giới hạn độ dài chuỗi TXT nên khóa 2048 bit có thể cần tách thành nhiều phần, điều này là bình thường và không ảnh hưởng kết quả.
Các bước cấu hình DKIM
- Tạo cặp khóa DKIM trên hệ thống email, chọn một selector dễ nhận biết.
- Công bố khóa công khai bằng bản ghi TXT tại
selector._domainkeycủa tên miền. - Bật ký DKIM trên máy chủ gửi để mọi thư đi đều có chữ ký.
- Gửi email thử và kiểm tra trạng thái DKIM ở bên nhận.
Nếu doanh nghiệp dùng thêm công cụ marketing hay hệ thống thông báo, hãy bật DKIM cho từng nguồn để mọi thư đều đạt, tránh trượt khi áp chính sách DMARC.
Xoay vòng khóa DKIM định kỳ
Khóa DKIM nên được thay mới theo chu kỳ để giảm rủi ro nếu khóa riêng bị lộ. Nhờ cơ chế selector, việc xoay vòng diễn ra mượt mà mà không gián đoạn việc gửi. Quy trình gồm: tạo cặp khóa mới với selector mới, công bố khóa công khai mới lên DNS, chuyển hệ thống sang ký bằng selector mới, rồi giữ selector cũ thêm một thời gian trước khi gỡ bỏ.
Khoảng cách giữa các lần xoay vòng tùy chính sách bảo mật của doanh nghiệp, thường vài tháng tới một năm. Điểm cần lưu ý là không xóa selector cũ quá sớm khi vẫn còn thư đang được ký bằng nó, tránh làm các thư đó trượt kiểm tra.
DKIM khi dùng nhiều dịch vụ gửi
Doanh nghiệp thường gửi email từ nhiều nguồn: hộp thư nhân viên, công cụ marketing, hệ thống xuất hóa đơn hay phần mềm chăm sóc khách hàng. Mỗi nguồn cần được bật DKIM riêng và công bố selector tương ứng. Nếu bỏ sót một nguồn, thư từ nguồn đó sẽ thiếu chữ ký và có thể trượt khi áp chính sách DMARC.
Cách quản lý gọn là lập danh sách mọi nguồn gửi, kiểm tra từng nguồn đã bật DKIM chưa, rồi soát lại định kỳ mỗi khi thêm công cụ mới. Việc này tránh tình trạng một dịch vụ mới vô tình làm hỏng tỷ lệ vào inbox của cả tên miền.
Cách kiểm tra DKIM
Gửi một email tới hộp Gmail, mở phần hiển thị nội dung gốc và xem dòng DKIM có ở trạng thái PASS kèm tên miền ký đúng. Bạn cũng có thể dùng công cụ soát DKIM để xác nhận khóa công khai đã công bố và chữ ký hợp lệ.
DKIM ảnh hưởng tới khả năng vào inbox thế nào
Ngoài vai trò chống giả mạo, DKIM còn góp phần xây dựng danh tiếng cho tên miền gửi. Khi một tên miền liên tục gửi thư có chữ ký DKIM hợp lệ và được người nhận tương tác tích cực, các nhà cung cấp dần tin tưởng và ưu tiên đưa thư vào inbox. Ngược lại, thư thiếu chữ ký dễ bị xem xét kỹ hơn.
Danh tiếng này gắn với tên miền chứ không chỉ với địa chỉ IP, nên kể cả khi đổi hạ tầng gửi, uy tín tích lũy qua DKIM vẫn được giữ phần nào. Đây là lý do nên ký DKIM đều đặn cho mọi thư và duy trì cấu hình ổn định thay vì thay đổi liên tục. Doanh nghiệp gửi lượng lớn có thể xem thêm về quá trình tạo dựng danh tiếng trong bài cấu hình deliverability cho SMTP volume lớn.
Lỗi thường gặp với DKIM
- Sao chép thiếu ký tự khi dán khóa công khai vào bản ghi TXT, khiến chữ ký không kiểm được.
- Bật ký DKIM nhưng quên công bố khóa công khai, dẫn tới DKIM trượt.
- Quên bật DKIM cho một nguồn gửi phụ, làm thư từ nguồn đó trượt căn khớp DMARC.
- Đổi khóa nhưng xóa selector cũ quá sớm khi thư đang ký bằng selector đó.
MailPRO cấu hình DKIM sẵn
Email doanh nghiệp theo tên miền riêng của MailPRO tạo sẵn khóa DKIM và hướng dẫn công bố selector trên DNS. Mọi thư gửi đi được ký tự động, giúp doanh nghiệp đạt xác thực mà không phải thao tác mã hóa thủ công. Khi cần thay khóa định kỳ, đội kỹ thuật hỗ trợ tạo selector mới và chuyển đổi mượt mà, không làm gián đoạn việc gửi thư hằng ngày.
Câu hỏi thường gặp
DKIM khác SPF ở điểm nào?
SPF kiểm tra máy chủ gửi có được phép hay không, còn DKIM dùng chữ ký số để chứng minh nội dung toàn vẹn và đến từ tên miền. Hai lớp bổ trợ nhau và cùng cung cấp dữ liệu cho DMARC.
Một tên miền có thể có nhiều khóa DKIM không?
Có. Nhờ selector, một tên miền dùng được nhiều khóa song song cho các dịch vụ khác nhau hoặc để xoay vòng khóa định kỳ mà không gián đoạn.
Nên dùng khóa DKIM 1024 hay 2048 bit?
Nên dùng 2048 bit cho hệ thống mới vì mức bảo mật cao hơn. Nếu nhà cung cấp DNS giới hạn độ dài chuỗi, khóa có thể được tách thành nhiều phần và vẫn hoạt động bình thường.
DKIM trượt thì email có bị chặn không?
Tùy chính sách DMARC. Nếu email vẫn đạt SPF căn khớp thì có thể qua. Tuy nhiên nên sửa DKIM sớm vì để cả hai lớp đạt sẽ giúp thư vào inbox ổn định hơn.
Có cần khóa DKIM riêng cho mỗi tên miền không?
Nên có. Mỗi tên miền gửi thư cần khóa DKIM và selector riêng, công bố trên DNS của chính tên miền đó. Dùng chung khóa giữa các tên miền làm giảm khả năng kiểm soát và không được khuyến nghị.
Khóa DKIM bị lộ thì xử lý thế nào?
Tạo ngay cặp khóa mới với selector mới, công bố khóa công khai mới và chuyển hệ thống sang ký bằng selector mới, sau đó gỡ selector cũ. Nhờ cơ chế selector, việc thay khóa diễn ra mà không gián đoạn gửi thư.