SPF, DKIM, DMARC là ba lớp bảo vệ cho email tên miền — như danh sách người được ủy quyền gửi thư, con dấu niêm phong chống giả, và nội quy + báo cáo cho bên nhận. Hiểu và cách kiểm tra cho người mới.
Khi mới bắt đầu với email doanh nghiệp, gần như chắc chắn bạn sẽ gặp ba cụm chữ viết tắt khó nhớ: SPF, DKIM và DMARC. Nghe phức tạp vậy thôi, chứ đây là ba "người gác cổng" giúp bạn chống giả mạo email và giữ cho thư của bạn không bị đẩy vào hòm thư rác (spam). Vậy rốt cuộc SPF DKIM DMARC là gì, và người mới có cần quan tâm không? Bài này sẽ giải thích thật đơn giản, dễ hiểu. Nếu bạn còn chưa rõ email theo tên miền là gì, nên đọc trước bài email theo tên miền là gì cho nắm gốc đã nhé.
SPF, DKIM, DMARC là gì?
Nói gọn, SPF DKIM DMARC đều là cơ chế xác thực email — giống một hàng rào kiểm tra để các nhà cung cấp bên nhận (như Gmail, Yahoo) soi xem email này có thật sự gửi từ tên miền của bạn không, hay là thư mạo danh của kẻ xấu. Ba cơ chế này nằm ở vài bản ghi nhỏ trong phần quản lý tên miền, và cùng lo hai việc lớn: chặn kẻ giả mạo mượn tên bạn để gửi thư bậy, và giúp email thật của bạn vào đúng hộp thư đến thay vì rơi vào thư rác.
Cứ hình dung việc gửi công văn của một công ty cho dễ. Để giấy tờ không bị làm giả, công ty đặt ra ba lớp bảo vệ: một danh sách nhân viên được phép cầm thư đi gửi, một con dấu niêm phong riêng không ai làm giả được, và một tờ hướng dẫn đưa cho bưu điện để họ biết cách xử lý khi gặp thư đáng ngờ. SPF, DKIM và DMARC đóng đúng ba vai đó cho email của bạn. Điều cần nhớ: mỗi cơ chế một nhiệm vụ, ba cái ghép lại thành một bộ hoàn chỉnh.
SPF — Danh sách server được phép gửi thư thay bạn
SPF (Sender Policy Framework) là một bản ghi liệt kê những máy chủ, dịch vụ mà bạn cho phép gửi email gắn tên miền của mình. Khi có một lá thư tự xưng là gửi từ @congty.com bay tới, máy bên nhận sẽ lấy danh sách này ra đối chiếu: người gửi này có tên trong danh sách không? Nếu là một địa chỉ lạ, không nằm trong danh sách, lá thư đó sẽ bị coi là đáng ngờ và bị xử lý.
Giống hệt một danh sách bưu tá được công ty cho phép: chỉ ai có tên trong sổ mới được mang thư đi giao dưới danh nghĩa công ty. Người lạ tự nhận là người của công ty nhưng tra sổ không thấy tên thì bên nhận có quyền từ chối. Nói gọn: SPF khai báo server nào được phép gửi thay cho tên miền của bạn.
DKIM — Chữ ký số chống sửa lén nội dung
DKIM (DomainKeys Identified Mail) thì gắn vào cuối mỗi email một chữ ký số — giống như đóng một con dấu sáp niêm phong lên thư. Con dấu này khẳng định hai điều: email đúng là gửi từ tên miền của bạn, và toàn bộ nội dung chưa bị chỉnh sửa trên đường đi. Nếu có ai đó chặn thư và sửa nội dung, con dấu sẽ không còn khớp, và bên nhận nhìn là biết ngay thư này đã bị can thiệp.
Đây đúng là con dấu niêm phong chống làm giả: kẻ lừa đảo có thể sao chép tên công ty của bạn, nhưng không thể làm giả con dấu, và cũng không thể tháo thư ra sửa rồi dán lại dấu y như cũ. Điều cần nhớ: DKIM là chữ ký số, và mỗi nhà cung cấp lưu nó dưới một tên riêng gọi là selector.
DMARC — Chính sách xử lý và báo cáo khi thư bị nghi ngờ
SPF và DKIM chỉ làm việc phát hiện thư giả mạo, nhưng xử lý thư đó thế nào thì hai cái này không quyết. Đó là lúc DMARC (Domain-based Message Authentication, Reporting & Conformance) vào cuộc. DMARC là một bản ghi nói rõ với bên nhận: nếu một lá thư xưng danh tên miền của tôi mà không qua được SPF hoặc DKIM thì hãy xử lý như sau. Có 3 mức thường dùng:
- Chỉ theo dõi (none): Vẫn cho thư đi qua, nhưng ghi lại để bạn xem. Mức này dùng lúc đầu để làm quen, tránh chặn nhầm thư thật của chính mình.
- Đưa vào cách ly (quarantine): Chuyển lá thư đáng ngờ đó vào hộp thư rác (spam).
- Từ chối (reject): Chặn thẳng, không nhận, để thư lừa đảo không đến được tay người dùng.
DMARC còn có thêm một điểm hay: nó gửi cho bạn các báo cáo, cho biết ai đang mượn tên miền của bạn để gửi thư. Nói gọn, DMARC là tờ nội quy kèm báo cáo đưa cho bên nhận: thư nào không có tên trong danh sách, không có dấu niêm phong thật thì loại bỏ hoặc đưa vào thư rác, rồi báo lại cho bạn biết ai vừa mạo danh.
SPF, DKIM, DMARC phối hợp với nhau thế nào?
Ba cơ chế này bổ trợ cho nhau, thiếu một cái là hở sườn ngay:
- SPF hỏi: Người gửi thư này có được tôi cho phép không?
- DKIM kiểm: Thư này đúng là của tôi và có bị sửa không?
- DMARC quyết: Nếu hai cái trên không đạt thì xử lý ra sao, và báo cáo cho ai?
Thử nghĩ xem, có SPF và DKIM mà thiếu DMARC thì giống như bảo vệ kiểm tra giấy tờ rất kỹ nhưng không ai ra lệnh phải xử lý người đáng ngờ thế nào. Vì vậy nên dùng đủ cả ba. Điều cần nhớ: SPF kiểm người gửi, DKIM kiểm nội dung, DMARC ra quyết định cuối.
Cài ba cơ chế này thì bạn được lợi gì?
- Chống mạo danh: Nếu không cài ba lớp bảo vệ này, kẻ xấu có thể gắn đuôi
@congty.comđể gửi email lừa tiền đối tác hay khách hàng của bạn — và bạn thì tự nhiên mang tiếng oan. - Email vào hộp thư đến, tránh thư rác: Các nhà cung cấp email tin tưởng những tên miền cài đủ xác thực, nhờ vậy thư của bạn dễ vào hộp thư đến, ít khi bị đẩy vào thư rác (điều này ảnh hưởng trực tiếp khi bạn gửi email doanh nghiệp tới tận tay khách hàng đó nhé).
- Bắt buộc phải có, không có là bị chặn: Từ 2024, Gmail và Yahoo yêu cầu bắt buộc bất kỳ ai gửi email hàng loạt đều phải có đủ SPF, DKIM và DMARC — thiếu một cái là có thể bị chặn.
Cách cài SPF, DKIM, DMARC và kiểm tra
Nói gọn thì việc cần làm khá đơn giản: Bạn tạo ba bản ghi (dạng bản ghi TXT) trong phần quản lý DNS của tên miền — một cho SPF, một cho DKIM và một cho DMARC. Bạn không cần tự nghĩ ra nội dung: nhà cung cấp dịch vụ email sẽ đưa sẵn cho bạn các dãy giá trị để dán vào, hoặc nếu chọn dịch vụ tốt thì họ làm hộ luôn. Còn nếu chữ DNS với bạn vẫn còn lạ lẫm, hãy đọc trước bài các loại bản ghi DNS nhé.
Việc tạo bản ghi thường gồm mấy bước sau:
- Đăng nhập vào nơi quản lý tên miền, tìm mục DNS (có nơi gọi là "Quản lý bản ghi").
- Tạo một bản ghi TXT mới cho từng cơ chế.
- Sao chép và dán đúng chuỗi giá trị mà nhà cung cấp email đưa cho bạn.
- Lưu lại rồi chờ bản ghi có hiệu lực — nhanh thì vài phút, chậm thì vài tiếng tùy tên miền.
Nhìn ba chuỗi giá trị đó có vẻ khó hiểu. Ví dụ bản ghi SPF thường trông kiểu v=spf1 include:... ~all, còn DMARC thì hay có dạng v=DMARC1; p=none; .... Lời khuyên thật lòng: đừng cố phân tích từng ký tự cho mệt óc — cứ dán đúng chuỗi mà nhà cung cấp đưa là được.
Muốn kiểm xem tên miền của mình đã cài đủ chưa? Hãy dùng một công cụ kiểm tra. Nhập tên miền vào, công cụ sẽ cho biết bản ghi SPF và DMARC của bạn đã có hay còn thiếu. Riêng phần DKIM hơi khác một chút: mỗi nhà cung cấp email lưu nó dưới một tên riêng gọi là selector, nên muốn kiểm thì bạn phải nhập thêm tên đó (hỏi nhà cung cấp) để công cụ tìm đúng chỗ. Bạn có thể dùng luôn công cụ kiểm tra tên miền có sẵn tại cloudmoon.net cho tiện.
Cách nhẹ nhàng nhất cho người mới là chọn một dịch vụ email theo tên miền đã được cấu hình sẵn đủ cả SPF, DKIM, DMARC — việc của bạn chỉ là dùng, không phải lo phần kỹ thuật.
Câu hỏi thường gặp
Không cài SPF, DKIM, DMARC thì có sao không?
Bạn dễ gặp hai rắc rối: kẻ xấu có thể mượn tên miền của bạn để gửi email lừa đảo, và email thật bạn gửi đi lại dễ bị đưa vào thư rác. Làm doanh nghiệp mà bỏ qua phần này thì khá thiệt.
Quy định nào bắt buộc phải có đủ ba cơ chế này?
Từ 2024, Gmail và Yahoo yêu cầu ai gửi thư hàng loạt phải có đủ SPF, DKIM, DMARC, nếu không có thì có thể bị chặn. Kể cả khi bạn chỉ gửi ít thư, doanh nghiệp vẫn nên cài đủ để bảo vệ uy tín và giúp thư vào hộp thư đến.
Người mới có tự cài mấy cái này được không?
Được, khá dễ. Nhà cung cấp email đã đưa sẵn ba chuỗi giá trị, việc của bạn chỉ là dán chúng vào DNS tên miền theo hướng dẫn có sẵn. Nếu ngại phần kỹ thuật thì cứ chọn dịch vụ email đã cấu hình sẵn cho nhẹ nhàng.
DMARC có nhiều mức, nên dùng mức nào trước cho an toàn?
Người mới nên bắt đầu với chế độ chỉ theo dõi (none) để xem báo cáo, tránh chặn nhầm email thật của mình. Khi đã chắc chắn mọi đường gửi thư của mình đều đạt chuẩn SPF/DKIM thì mới siết dần lên mức cách ly rồi từ chối.
Kiểm tra xem tên miền đã có SPF, DKIM, DMARC chưa thì làm ở đâu?
Bạn dùng một công cụ kiểm tra tên miền. Nhập tên miền vào là công cụ sẽ cho biết bản ghi SPF và DMARC còn thiếu cái nào. Riêng DKIM thì bạn phải nhập thêm "tên selector" (do nhà cung cấp email cung cấp) để công cụ tìm đúng bản ghi.
Tóm lại: SPF DKIM DMARC chính là ba lớp bảo vệ cho email tên miền của bạn — lần lượt đóng vai danh sách nhân viên được phép gửi thư, con dấu niêm phong chống làm giả, và tờ nội quy kèm báo cáo cho bên nhận. Cài đủ ba cái này, bạn vừa chặn được kẻ mạo danh, vừa giúp email vào hộp thư đến dễ hơn. Muốn thử thì qua kiểm tra tên miền xem mình đã cài tới đâu, hoặc chọn luôn dịch vụ email theo tên miền đã cấu hình sẵn của cloudmoon.net để đỡ phải lo phần kỹ thuật.
Nguồn tham khảo
Xem video
Chưa có bình luận nào. Hãy là người đầu tiên!