DMARC là gì? Cách thiết lập DMARC cho email doanh nghiệp

DMARC là lớp xác thực email nằm trên SPF và DKIM. Nó quy định máy chủ nhận phải làm gì khi một email không vượt qua kiểm tra, đồng thời gửi báo cáo giúp bạn nắm được ai đang dùng tên miền để gửi thư. Đây là thành phần giúp chống giả mạo tên miền và là yêu cầu thực tế của các nhà cung cấp lớn.

DMARC là gì

DMARC là viết tắt của Domain-based Message Authentication, Reporting and Conformance. Cơ chế hoạt động gồm ba phần: yêu cầu email phải đạt SPF hoặc DKIM và căn khớp với tên miền hiển thị, áp một chính sách xử lý nếu không đạt, và gửi báo cáo định kỳ về cho chủ tên miền. Bài tổng quan xác thực email SPF, DKIM, DMARC toàn tập mô tả cách ba lớp phối hợp.

Vì sao doanh nghiệp cần DMARC

SPF và DKIM cho biết một email có hợp lệ hay không, nhưng tự chúng không quy định máy chủ nhận phải làm gì khi thư không đạt, cũng không báo cho bạn biết ai đang gửi thư dưới danh nghĩa tên miền. DMARC lấp đúng hai khoảng trống đó: áp chính sách xử lý và gửi báo cáo.

Nhờ vậy, DMARC giúp doanh nghiệp đạt hai mục tiêu cùng lúc. Thứ nhất là chống mạo danh thương hiệu, khi kẻ xấu khó dùng tên miền của bạn để gửi thư lừa đảo tới khách hàng. Thứ hai là cải thiện khả năng vào inbox, vì tên miền có chính sách rõ ràng được nhà cung cấp tin tưởng hơn. Đây cũng là lý do DMARC trở thành yêu cầu thực tế với người gửi số lượng lớn.

Căn khớp tên miền hoạt động thế nào

Điểm cốt lõi của DMARC là khái niệm căn khớp. Một email có thể vượt SPF hoặc DKIM nhưng vẫn trượt DMARC nếu tên miền được kiểm tra không trùng với tên miền ở dòng From mà người nhận thấy. Nhờ ràng buộc này, kẻ tấn công khó mạo danh địa chỉ hiển thị của bạn dù chúng có hạ tầng gửi riêng.

Ý nghĩa các tham số trong bản ghi DMARC

Bản ghi DMARC là một bản ghi TXT đặt tại _dmarc.tenmien.com. Bảng dưới giải thích các tham số hay dùng:

Ví dụ bản ghi DMARC

Một bản ghi giám sát khi mới bắt đầu:

_dmarc.tenmien.com TXT "v=DMARC1; p=none; rua=mailto:[email protected]; adkim=r; aspf=r"

Khi số liệu đã ổn, siết lên mức bảo vệ:

_dmarc.tenmien.com TXT "v=DMARC1; p=reject; rua=mailto:[email protected]; adkim=s; aspf=s; pct=100"

Lộ trình thiết lập an toàn

Không nên đặt chính sách chặn ngay từ đầu. Lộ trình được khuyến nghị gồm ba bước:

1. Bắt đầu với p=none để chỉ giám sát và thu thập báo cáo, không ảnh hưởng việc gửi.
2. Sau khi mọi nguồn gửi hợp lệ đều đạt SPF hoặc DKIM, chuyển lên p=quarantine để thư giả mạo vào spam.
3. Khi yên tâm, nâng lên p=reject để từ chối thẳng thư mạo danh tên miền.

Trước khi siết chính sách, hãy chắc rằng bản ghi SPF và khóa DKIM đã chuẩn cho tất cả nguồn gửi.

Hai chế độ căn khớp: lỏng và chặt

DMARC cho phép chọn mức căn khớp cho SPF và DKIM qua tham số aspf và adkim. Chế độ lỏng, ký hiệu r, chấp nhận tên miền con khớp với tên miền gốc. Chế độ chặt, ký hiệu s, yêu cầu khớp chính xác từng ký tự.

Doanh nghiệp dùng nhiều tên miền con hoặc dịch vụ gửi qua tên miền con nên bắt đầu với chế độ lỏng để tránh trượt căn khớp ngoài ý muốn. Khi đã rà soát và mọi nguồn gửi đều dùng đúng tên miền, có thể chuyển sang chế độ chặt để siết bảo vệ tối đa. Việc chọn sai mức căn khớp là một trong các nguyên nhân phổ biến khiến thư hợp lệ bị xử lý nhầm.

Đọc báo cáo DMARC

Báo cáo tổng hợp gửi tới địa chỉ rua ở dạng tệp XML, liệt kê các IP đã gửi dưới danh nghĩa tên miền cùng kết quả SPF và DKIM. Vì XML khó đọc thủ công, nhiều doanh nghiệp dùng công cụ phân tích để chuyển thành biểu đồ. Qua báo cáo, bạn phát hiện sớm nguồn gửi quên bật xác thực hoặc dấu hiệu bị mạo danh.

Công cụ hỗ trợ theo dõi DMARC

Báo cáo tổng hợp gửi về dưới dạng tệp XML thô, khó đọc trực tiếp khi số lượng lớn. Nhiều doanh nghiệp dùng dịch vụ phân tích DMARC để gom các báo cáo, chuyển thành bảng và biểu đồ trực quan. Qua đó bạn thấy nhanh nguồn gửi nào đạt, nguồn nào trượt và xu hướng theo thời gian.

Khi mới triển khai, việc theo dõi đều đặn giúp phát hiện sớm nguồn gửi quên bật xác thực hoặc dấu hiệu bị mạo danh. Sau khi chính sách đã ở mức bảo vệ và số liệu ổn định, bạn có thể giảm tần suất kiểm tra nhưng vẫn nên rà soát định kỳ, đặc biệt mỗi khi thêm công cụ gửi mới vào hệ thống.

Lỗi thường gặp với DMARC

• Nhảy thẳng lên p=reject khi chưa đọc báo cáo, làm chặn nhầm thư hợp lệ của công ty.
• Quên một nguồn gửi phụ như công cụ marketing, khiến thư từ nguồn đó bị xử lý theo chính sách.
• Khai báo rua trỏ về hộp thư không ai mở, bỏ lỡ cảnh báo cấu hình sai.
• Đặt căn khớp chặt khi hạ tầng dùng tên miền con khác, gây trượt căn khớp ngoài ý muốn.

Lợi ích khi đạt mức reject

Đích đến của lộ trình DMARC là chính sách p=reject. Khi đạt mức này, mọi thư mạo danh tên miền của bạn sẽ bị từ chối ngay tại máy chủ nhận, thay vì chỉ vào hộp spam. Đây là lớp bảo vệ thương hiệu mạnh, đặc biệt với doanh nghiệp thường gửi hóa đơn, thông báo tài chính hoặc thư chăm sóc khách hàng.

Để đến reject một cách an toàn, cần kiên nhẫn qua giai đoạn giám sát, sửa từng nguồn gửi chưa đạt và theo dõi báo cáo cho đến khi số liệu ổn định. Quá trình này tuy mất thời gian nhưng đổi lại mức bảo vệ cao và danh tiếng tên miền vững. Doanh nghiệp gửi qua hạ tầng riêng có thể tham khảo thêm bài cấu hình deliverability cho SMTP volume lớn.

MailPRO cấu hình DMARC sẵn

Với email doanh nghiệp theo tên miền riêng của MailPRO, DMARC được thiết lập sẵn cùng SPF và DKIM, kèm hướng dẫn trỏ bản ghi và nâng chính sách theo lộ trình. Doanh nghiệp đạt mức bảo vệ chống giả mạo mà không cần tự thao tác kỹ thuật phức tạp.

Bài viết liên quan

• Hướng dẫn xác thực email SPF, DKIM, DMARC toàn tập
• Yêu cầu mới của Google và Yahoo cho người gửi email
• Tên miền và IP bị blacklist email: cách kiểm tra và gỡ