SPF, DKIM, DMARC là bộ ba xác thực giúp email doanh nghiệp vào inbox và chống giả mạo tên miền. Hướng dẫn từ A-Z kèm ví dụ bản ghi DNS thật và checklist triển khai.
Mỗi ngày có hàng triệu email doanh nghiệp bị đẩy vào hộp thư rác hoặc bị từ chối, phần lớn vì tên miền chưa được xác thực đúng. Bộ ba SPF, DKIM và DMARC là tiêu chuẩn giúp nhà cung cấp hộp thư biết email thật sự đến từ bạn, qua đó vào inbox ổn định và chặn kẻ giả mạo thương hiệu. Bài viết này giải thích toàn bộ cơ chế, kèm ví dụ bản ghi DNS thật và checklist triển khai cho email doanh nghiệp.
Xác thực email là gì và vì sao doanh nghiệp cần quan tâm
Xác thực email là cách chứng minh một email được gửi hợp lệ từ tên miền của bạn, không phải do kẻ thứ ba mạo danh. Khi thiếu xác thực, email của công ty dễ bị đánh dấu spam, còn tên miền lại có thể bị lợi dụng để gửi thư lừa đảo dưới danh nghĩa của bạn.
Có ba lớp bảo vệ phối hợp với nhau:
- SPF kiểm tra máy chủ nào được phép gửi email cho tên miền.
- DKIM gắn chữ ký số để chứng minh nội dung không bị sửa trên đường truyền.
- DMARC quy định cách xử lý email không vượt qua SPF/DKIM và gửi báo cáo về cho bạn.
Triển khai đủ ba lớp là nền tảng để email vào inbox và là yêu cầu thực tế từ các nhà cung cấp lớn. Bạn có thể xem thêm hướng dẫn kỹ thuật chuyên sâu trong bài cấu hình deliverability cho hệ thống gửi volume lớn.
SPF: xác thực máy chủ được phép gửi
SPF (Sender Policy Framework) là một bản ghi TXT khai báo những máy chủ và dịch vụ được phép gửi email thay mặt tên miền. Khi máy chủ nhận kiểm tra, nó so địa chỉ IP gửi với danh sách trong bản ghi SPF.
Ví dụ một bản ghi SPF cho tên miền dùng email theo tên miền riêng:
v=spf1 include:_spf.mailpro.vn ip4:203.0.113.10 ~all
Trong đó include ủy quyền cho hạ tầng nhà cung cấp, ip4 cho phép một IP cụ thể, và ~all (softfail) đánh dấu nghi ngờ với phần còn lại. Mỗi tên miền chỉ nên có một bản ghi SPF và tránh vượt quá 10 lượt tra cứu DNS. Chi tiết cách viết và kiểm tra xem bài SPF là gì và cách tạo bản ghi SPF đúng.
DKIM: chữ ký số cho từng email
DKIM (DomainKeys Identified Mail) thêm một chữ ký mã hóa vào tiêu đề email. Máy chủ gửi ký bằng khóa riêng, còn máy chủ nhận lấy khóa công khai từ DNS để kiểm tra. Nếu nội dung bị chỉnh sửa giữa đường, chữ ký sẽ không khớp.
Khóa công khai được công bố tại bản ghi dạng:
selector1._domainkey.tenmien.com TXT "v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQ..."
Phần selector cho phép một tên miền dùng nhiều khóa song song và xoay vòng khóa định kỳ. Nắm rõ cách lấy và gắn khóa trong bài DKIM là gì và hướng dẫn cấu hình DKIM.
DMARC: chính sách và báo cáo
DMARC (Domain-based Message Authentication, Reporting and Conformance) là lớp trên cùng. Nó yêu cầu email phải khớp SPF hoặc DKIM với chính tên miền hiển thị, rồi quy định cách xử lý thư không đạt và gửi báo cáo định kỳ.
Một bản ghi DMARC cơ bản:
_dmarc.tenmien.com TXT "v=DMARC1; p=quarantine; rua=mailto:[email protected]; adkim=s; aspf=s; pct=100"
Tham số p là chính sách: none (chỉ giám sát), quarantine (đưa vào spam) hoặc reject (từ chối). Nên bắt đầu ở p=none để thu thập báo cáo, sau đó siết dần lên reject. Lộ trình chi tiết nằm trong bài DMARC là gì và cách thiết lập DMARC.
Ba lớp phối hợp với nhau thế nào
SPF, DKIM và DMARC không thay thế nhau mà bổ trợ cho nhau. Bảng sau tóm tắt vai trò từng lớp:
| Lớp | Cơ chế | Chống được gì | Bản ghi DNS |
|---|---|---|---|
| SPF | Danh sách IP/máy chủ được phép gửi | Máy chủ lạ mạo danh tên miền | TXT trên tên miền gốc |
| DKIM | Chữ ký số trên tiêu đề thư | Sửa nội dung trên đường truyền | TXT tại selector._domainkey |
| DMARC | Chính sách xử lý + báo cáo | Giả mạo địa chỉ hiển thị, gom số liệu | TXT tại _dmarc |
Khi đủ ba lớp, nhà cung cấp hộp thư có cơ sở vững để tin tưởng email của bạn, nhờ đó tỷ lệ vào inbox tăng rõ và rủi ro bị mạo danh giảm mạnh.
Yêu cầu mới của Google và Yahoo
Từ năm 2024, Google và Yahoo siết quy định với người gửi số lượng lớn: bắt buộc có SPF và DKIM, thiết lập DMARC ở mức tối thiểu, dùng kết nối bảo mật và giữ tỷ lệ báo cáo spam ở ngưỡng thấp. Doanh nghiệp gửi thông báo, hóa đơn hay email marketing cần tuân thủ để tránh bị chặn. Phân tích đầy đủ trong bài yêu cầu mới của Google và Yahoo cho người gửi email.
Cách kiểm tra tên miền đã xác thực đủ chưa
Bạn có thể tự kiểm tra nhanh:
- Tra bản ghi TXT của tên miền và
_dmarc.tenmien.comđể chắc SPF, DMARC đã tồn tại. - Gửi một email thử tới hộp thư Gmail, mở "Hiển thị nội dung gốc" và xem ba dòng
SPF,DKIM,DMARCcó ở trạng thái PASS. - Dùng công cụ kiểm tra điểm gửi để soát thêm cấu hình và nội dung.
Nếu email vẫn vào spam dù đã xác thực, hãy soát thêm danh tiếng IP và tên miền trong bài tên miền và IP bị blacklist: cách kiểm tra và gỡ.
Checklist triển khai cho doanh nghiệp
- Liệt kê mọi nguồn gửi email: hộp thư nhân viên, hệ thống gửi thông báo, công cụ marketing.
- Tạo một bản ghi SPF gộp đủ các nguồn hợp lệ, kết thúc bằng
~all. - Bật DKIM cho từng nguồn và công bố khóa công khai theo selector.
- Tạo DMARC ở
p=none, khai báo địa chỉ nhận báo cáorua. - Theo dõi báo cáo 2-4 tuần, sửa các nguồn chưa đạt.
- Nâng chính sách lên
quarantinerồirejectkhi số liệu ổn định.
Những lỗi thường gặp khi cấu hình xác thực email
Phần lớn sự cố không nằm ở việc thiếu bản ghi mà ở những lỗi nhỏ trong cấu hình. Dưới đây là các lỗi hay gặp khiến email vẫn vào spam dù tưởng đã làm đúng:
- Tạo nhiều bản ghi SPF trên cùng một tên miền. Quy chuẩn chỉ cho phép một bản ghi, nếu có hai trở lên thì SPF mất hiệu lực hoàn toàn.
- Vượt quá 10 lượt tra cứu DNS trong SPF do gộp quá nhiều
include, dẫn tới lỗi permerror và kết quả kiểm tra bị bỏ qua. - Quên bật DKIM cho một nguồn gửi phụ như công cụ marketing hay hệ thống xuất hóa đơn, khiến thư từ nguồn đó trượt DMARC.
- Nâng thẳng chính sách lên
p=rejectkhi chưa đọc báo cáo, làm chặn nhầm email hợp lệ của chính công ty. - Khai báo địa chỉ
ruatrỏ về hộp thư không ai theo dõi, bỏ lỡ cảnh báo về nguồn gửi cấu hình sai. - Để hệ thống cũ vẫn gửi bằng tên miền nhưng không cập nhật bản ghi, gây lệch giữa địa chỉ hiển thị và tên miền dùng để ký.
Rà soát định kỳ các điểm trên giúp duy trì tỷ lệ vào inbox ổn định theo thời gian, đặc biệt khi doanh nghiệp thêm công cụ gửi mới.
MailPRO cấu hình sẵn xác thực email
Với dịch vụ email doanh nghiệp theo tên miền riêng của MailPRO, SPF, DKIM và DMARC được thiết lập sẵn ngay khi khởi tạo, kèm hướng dẫn trỏ bản ghi DNS. Nhờ đó doanh nghiệp đạt chuẩn của Google và Yahoo mà không cần tự xử lý phần kỹ thuật phức tạp. Nếu đang phân vân giữa các nền tảng, tham khảo bài so sánh giải pháp email cho doanh nghiệp.
Câu hỏi thường gặp
Chỉ cần SPF là đủ cho email doanh nghiệp chưa?
Chưa. SPF chỉ kiểm tra máy chủ gửi. Cần thêm DKIM để bảo vệ nội dung và DMARC để có chính sách xử lý cùng báo cáo. Ba lớp phối hợp mới đạt chuẩn người gửi hiện nay.
Thiết lập SPF, DKIM, DMARC mất bao lâu có hiệu lực?
Bản ghi DNS thường cập nhật trong vài phút đến vài giờ tùy thời gian TTL. Riêng DMARC nên chạy ở mức giám sát vài tuần trước khi siết chính sách để tránh chặn nhầm thư hợp lệ.
DMARC để p=reject có làm mất email quan trọng không?
Nếu bạn đã rà soát báo cáo và mọi nguồn gửi đều đạt SPF hoặc DKIM thì reject chỉ chặn thư giả mạo. Rủi ro mất thư hợp lệ đến từ việc siết chính sách quá sớm khi chưa kiểm tra đủ.
Doanh nghiệp nhỏ có cần xác thực email không?
Có. Quy mô nhỏ vẫn bị nhà cung cấp lọc và vẫn có thể bị mạo danh tên miền. Xác thực giúp email vào inbox và bảo vệ uy tín thương hiệu, không phụ thuộc số lượng gửi.
Email theo tên miền riêng có tự động có SPF, DKIM, DMARC không?
Tùy nhà cung cấp. Một số dịch vụ cấu hình sẵn và hướng dẫn trỏ DNS, một số để bạn tự làm. Nên chọn nơi hỗ trợ thiết lập đủ ba lớp để tiết kiệm công sức kỹ thuật.