SPF, DKIM và DMARC là nền tảng xác thực email. Ba bản ghi được công bố cho tên miền và trả lời câu hỏi của máy chủ nhận: thư có thực sự đến từ người nó tuyên bố không? Thiết lập đúng tạo tín hiệu tin cậy; thiếu hoặc sai khiến cả thư hợp lệ bị nghi ngờ.
Chủ đề nghe khó vì đầy chữ viết tắt và DNS, nhưng mỗi bản ghi chỉ làm một việc. Khi hiểu từng việc, cả hệ thống trở nên rõ ràng. Hướng dẫn này giải thích cách chúng phối hợp trước khi bạn tăng gửi.
Vì sao cần xác thực
Email ra đời khi hệ thống còn tin cậy và dễ giả địa chỉ gửi, dẫn đến spam và lừa đảo. Xác thực thêm các phép kiểm tra để xác nhận tên miền From và tính toàn vẹn của thư. Nhà cung cấp dùng mạnh các tín hiệu này để quyết định hộp thư đến hay spam.
SPF: ai được phép gửi
SPF, Sender Policy Framework, là danh sách máy chủ được tên miền cho phép gửi thay mặt. Khi nhận thư, máy chủ so sánh nguồn gửi với danh sách công bố. Có trong danh sách thì SPF đạt; không có là tín hiệu cảnh báo.
Hãy hình dung như danh sách khách. Lỗi thường gặp là quên thêm dịch vụ thực sự dùng, khiến thư hợp lệ của bạn thất bại. Máy chủ của nền tảng tiếp thị hoặc liên hệ phải nằm trong SPF.
DKIM: chứng minh thư không bị sửa
DKIM, DomainKeys Identified Mail, thêm chữ ký mật mã vào thư. Tên miền giữ khóa riêng và công bố khóa công khai trong DNS. Máy chủ nhận dùng khóa công khai để xác minh thư gắn với tên miền và không bị thay đổi trên đường.
Nếu SPF là danh sách khách, DKIM là niêm phong chống sửa. Hầu hết dịch vụ email tạo khóa và đưa chính xác giá trị cần công bố, nên thường chỉ cần dán bản ghi vào DNS.
| Bản ghi | Kiểm tra gì | Ví dụ |
|---|---|---|
| SPF | Máy chủ gửi có được phép không | Danh sách khách |
| DKIM | Thư có bị giả hoặc sửa không | Niêm phong chống sửa |
| DMARC | Làm gì khi lỗi và báo cáo | Nội quy và sổ theo dõi |
DMARC: chính sách kết nối tất cả
SPF và DKIM thực hiện kiểm tra nhưng không tự nói máy chủ nhận phải làm gì khi lỗi hoặc báo cho bạn khi có người giả tên miền. DMARC lấp cả hai khoảng trống bằng chính sách cho phép theo dõi, cách ly hoặc từ chối thư không đạt kiểm tra phù hợp.
DMARC còn gửi báo cáo về ai đang gửi bằng tên miền, gồm cả kẻ mạo danh. Thường nên bắt đầu ở chế độ theo dõi, xem dữ liệu, sửa nguồn hợp lệ rồi siết dần đến reject khi đã tự tin.
Bắt đầu DMARC nhẹ nhàng
Đừng chuyển thẳng sang reject. Bắt đầu bằng theo dõi để xem báo cáo và phát hiện thư hợp lệ có thể bị chặn; siết từng bước khi dữ liệu sạch.
Cách cả ba phối hợp
Máy chủ nhận dùng SPF kiểm tra dịch vụ được phép, DKIM kiểm tra chữ ký và tính toàn vẹn, rồi dùng DMARC quyết định xử lý kết quả và ghi báo cáo. Khi cả ba phù hợp, thư mang tín hiệu hợp lệ mạnh hơn.
Xác thực không bù được hành vi gửi xấu. Vì vậy khởi động và tránh hành vi gây khóa vẫn quan trọng: xác thực mở cửa, hành vi tốt giữ bạn được chào đón.
Danh sách thiết lập
- 1Công bố SPF gồm mọi dịch vụ gửi thay mặt
- 2Bật DKIM qua nhà cung cấp và công bố khóa công khai
- 3Thêm DMARC ở chế độ theo dõi để nhận báo cáo
- 4Xem báo cáo và sửa thư hợp lệ bị lỗi
- 5Chuyển dần từ theo dõi sang quarantine rồi reject
- 6Kiểm tra lại khi thêm công cụ gửi mới
Dành cho tên miền riêng, không phải hộp thư miễn phí
SPF, DKIM và DMARC áp dụng cho tên miền bạn kiểm soát. Hộp thư miễn phí do nhà cung cấp xác thực; khi gửi từ tên miền riêng, các bản ghi là trách nhiệm của bạn.