SPF, DKIM, DMARC là gì và cấu hình thế nào để chống giả mạo email? Hướng dẫn dễ hiểu giúp email doanh nghiệp chống mạo danh và vào thẳng hộp thư đến.
Bạn có chắc email gửi từ tên miền công ty mình không bị kẻ khác giả mạo? Mỗi ngày, hàng nghìn doanh nghiệp bị mạo danh để lừa khách hàng chuyển tiền, mà chủ doanh nghiệp không hề hay biết. Ba bản ghi SPF, DKIM, DMARC chính là lớp khóa bảo vệ tên miền email của bạn — và phần lớn công ty Việt vẫn chưa cấu hình đầy đủ.
Bài viết này giải thích SPF, DKIM, DMARC là gì bằng ngôn ngữ dễ hiểu, vì sao chúng quan trọng, và cách cấu hình để email của bạn vừa chống giả mạo vừa vào thẳng hộp thư đến của người nhận.
Vì sao email dễ bị giả mạo?
Giao thức gửi email (SMTP) ra đời từ thời Internet còn sơ khai, khi chưa ai nghĩ đến chuyện lừa đảo. Điểm yếu cố hữu của nó: bất kỳ ai cũng có thể đặt địa chỉ người gửi tùy ý. Nghĩa là kẻ xấu hoàn toàn có thể gửi một email tự xưng đến từ [email protected] trong khi thực chất gửi từ máy chủ của chúng.
Đây là cách các vụ lừa đảo BEC (Business Email Compromise) hoạt động: giả mạo email sếp yêu cầu kế toán chuyển tiền gấp, giả mạo email nhà cung cấp đổi số tài khoản nhận thanh toán. SPF, DKIM, DMARC sinh ra để vá chính lỗ hổng này — giúp máy chủ nhận xác minh email có thật sự đến từ tên miền nó tự xưng hay không.
SPF là gì?
SPF (Sender Policy Framework) là một bản ghi DNS liệt kê những máy chủ được phép gửi email thay mặt tên miền của bạn. Hãy hình dung nó như một danh sách khách mời: chỉ những máy chủ có tên trong danh sách mới được công nhận là gửi hợp lệ.
Khi một email đến, máy chủ nhận kiểm tra: email này gửi từ IP nào? IP đó có nằm trong bản ghi SPF của tên miền người gửi không? Nếu không, email bị nghi ngờ là giả mạo. SPF là lớp phòng thủ đầu tiên, đơn giản nhưng hiệu quả để ngăn người lạ mượn danh tên miền của bạn.
DKIM là gì?
DKIM (DomainKeys Identified Mail) đi xa hơn SPF: nó gắn một chữ ký số vào mỗi email gửi đi. Chữ ký này được tạo bằng một khóa bí mật chỉ máy chủ gửi của bạn có, và máy chủ nhận dùng khóa công khai (công bố trong DNS) để xác minh.
Hai điều DKIM đảm bảo: thứ nhất, email thật sự đến từ tên miền nó tự xưng; thứ hai, nội dung email không bị sửa đổi trên đường truyền. Nếu ai đó chặn và chỉnh sửa email giữa chừng, chữ ký sẽ không khớp và email bị đánh dấu đáng ngờ. DKIM giống như con dấu niêm phong: vừa xác nhận người gửi, vừa bảo chứng nội dung nguyên vẹn.
DMARC là gì?
DMARC (Domain-based Message Authentication, Reporting and Conformance) là lớp trên cùng, kết nối SPF và DKIM lại và quyết định cách xử lý khi email không vượt qua kiểm tra.
Với DMARC, bạn quy định chính sách: nếu một email tự xưng từ tên miền của bạn nhưng trượt cả SPF lẫn DKIM thì làm gì — cho qua (none), đưa vào spam (quarantine), hay từ chối thẳng (reject). Quan trọng không kém, DMARC gửi báo cáo định kỳ cho bạn biết ai đang gửi email nhân danh tên miền của mình — kể cả những kẻ đang giả mạo. Nhờ đó bạn nắm được toàn cảnh và siết dần chính sách.
Ba bản ghi phối hợp thế nào?
| Bản ghi | Vai trò | Câu hỏi nó trả lời |
|---|---|---|
| SPF | Danh sách máy chủ được phép gửi | Email này gửi từ máy chủ hợp lệ chứ? |
| DKIM | Chữ ký số xác thực | Email có đúng từ tên miền và còn nguyên vẹn không? |
| DMARC | Chính sách xử lý + báo cáo | Nếu email đáng ngờ thì làm gì, và ai đang mạo danh tôi? |
Cả ba bổ sung cho nhau. SPF và DKIM trả lời câu hỏi xác thực, còn DMARC quyết định hành động và cho bạn tầm nhìn. Thiếu một trong ba, lớp bảo vệ vẫn còn lỗ hổng.
Cấu hình SPF, DKIM, DMARC như thế nào?
Về bản chất, cả ba đều là các bản ghi thêm vào DNS của tên miền. Quy trình rút gọn như sau:
- SPF: thêm một bản ghi TXT khai báo các máy chủ gửi mail hợp lệ (thường nhà cung cấp email cung cấp sẵn giá trị này).
- DKIM: nhà cung cấp tạo cặp khóa, bạn thêm khóa công khai vào DNS dưới dạng bản ghi TXT, máy chủ gửi tự ký mỗi email.
- DMARC: thêm một bản ghi TXT tại _dmarc.tencongty.vn, khai báo chính sách và địa chỉ email nhận báo cáo.
Nghe có vẻ kỹ thuật, nhưng thực tế một nhà cung cấp dịch vụ email doanh nghiệp uy tín sẽ cung cấp sẵn toàn bộ giá trị và hướng dẫn bạn dán vào DNS chỉ trong vài phút. Bạn không cần tự tính toán gì phức tạp. Nếu chưa rõ về nền tảng, bài email hosting là gì giúp bạn hiểu hệ thống đứng sau.
Mẹo triển khai an toàn
Một sai lầm thường gặp là bật ngay DMARC ở chế độ reject khi chưa kiểm tra kỹ. Nếu SPF/DKIM cấu hình thiếu, email hợp lệ của chính bạn cũng bị từ chối. Cách an toàn là đi từng bước: bắt đầu DMARC ở mức none để thu thập báo cáo, kiểm tra xem mọi nguồn gửi hợp lệ đã được xác thực chưa, rồi mới siết dần lên quarantine và cuối cùng là reject.
Đây cũng là lý do nên có nhà cung cấp hỗ trợ kỹ thuật đồng hành: họ đọc báo cáo DMARC giúp bạn và biết khi nào an toàn để nâng cấp chính sách.
Câu hỏi thường gặp
Không cấu hình SPF, DKIM, DMARC thì sao?
Email của bạn dễ bị giả mạo, và quan trọng hơn, thư bạn gửi đi dễ rơi vào spam vì các nhà cung cấp lớn (Gmail, Outlook) ngày càng yêu cầu xác thực. Thiếu ba bản ghi này, tỷ lệ email vào được inbox của bạn sẽ giảm rõ rệt.
Tôi tự cấu hình được không hay cần kỹ thuật?
Nếu quen với DNS, bạn có thể tự làm theo giá trị nhà cung cấp đưa. Nhưng để cấu hình đúng và an toàn — nhất là phần DMARC — nên có nhà cung cấp email hỗ trợ, tránh chặn nhầm email hợp lệ của chính mình.
Cấu hình rồi có cần theo dõi tiếp không?
Có. Báo cáo DMARC nên được xem định kỳ để phát hiện nguồn gửi mới hoặc dấu hiệu bị mạo danh. Đây là việc liên tục chứ không phải cài một lần là xong.
SPF, DKIM, DMARC có giúp chặn spam đến không?
Ba bản ghi này chủ yếu bảo vệ email gửi đi khỏi bị giả mạo và giúp vào inbox. Việc chặn spam đến là chức năng của bộ lọc cấp máy chủ — bạn có thể đọc thêm trong bài các cách chặn spam email hiệu quả.
SPF, DKIM, DMARC không phải là thuật ngữ kỹ thuật xa lạ chỉ dành cho dân IT — chúng là lớp bảo vệ thiết yếu cho uy tín email của mọi doanh nghiệp. Cấu hình đúng ba bản ghi này, bạn vừa ngăn kẻ xấu mạo danh thương hiệu, vừa đảm bảo email của mình được tin tưởng và đến đúng hộp thư khách hàng. Trong thời mà một email giả mạo có thể gây thiệt hại hàng trăm triệu, đây là khoản đầu tư bảo mật đáng giá nhất mà gần như không tốn kém gì.