Cách thiết lập SPF, DKIM, DMARC để email tên miền không bị giả mạo

Nếu doanh nghiệp bạn dùng email theo tên miền riêng (ví dụ ten@congty.vn), kẻ xấu có thể giả địa chỉ gửi để lừa khách hàng, còn thư thật của bạn thì dễ rơi vào hộp thư rác. Ba bản ghi DNS SPF, DKIM và DMARC giúp máy chủ nhận thư kiểm tra thư có thật sự đến từ bạn hay không. Bài này giải thích từng loại và cách thiết lập theo thứ tự an toàn.

Bài dành cho người quản trị tên miền. Nếu bạn chưa có email riêng, đọc trước lợi ích của email tên miền riêng cho doanh nghiệp.

Ba bản ghi này làm gì?

• SPF (Sender Policy Framework): khai báo máy chủ nào được phép gửi thư thay mặt tên miền của bạn.
• DKIM (DomainKeys Identified Mail): gắn chữ ký số vào thư. Bên nhận dùng khóa công khai trong DNS để kiểm tra thư không bị sửa và đúng là từ nhà cung cấp của bạn.
• DMARC: quy định phải làm gì khi thư không qua SPF hoặc DKIM (bỏ qua, cách ly hay từ chối) và gửi báo cáo cho bạn.

Cả ba đều nằm trong phần quản lý DNS của tên miền, thường ở nơi bạn đăng ký tên miền hoặc nhà cung cấp DNS.

Trước khi bắt đầu, cần chuẩn bị

1. Biết mọi dịch vụ đang gửi thư thay tên miền: email chính (Google Workspace, Microsoft 365, hosting), phần mềm bán hàng, công cụ gửi email hàng loạt, form liên hệ trên website.
2. Có quyền sửa DNS của tên miền.
3. Chụp màn hình hoặc sao chép các bản ghi hiện có để khôi phục khi cần.

Bước 1: Thiết lập SPF

SPF là bản ghi loại TXT tại tên miền gốc. Ví dụ khi dùng Google Workspace:

v=spf1 include:_spf.google.com ~all

Với Microsoft 365, phần include thường là include:spf.protection.outlook.com. Hãy lấy giá trị chính xác từ trang hướng dẫn của nhà cung cấp email, vì nó có thể thay đổi.

1. Đăng nhập trang quản lý DNS của tên miền.
2. Tìm bản ghi TXT có nội dung bắt đầu bằng v=spf1. Nếu đã có, sửa nó; nếu chưa, chọn Thêm bản ghi (Add record).
3. Chọn loại TXT, tên là @ (hoặc để trống, tùy nhà cung cấp DNS).
4. Dán giá trị SPF, gộp thêm include: của từng dịch vụ gửi thư khác.
5. Lưu lại và chờ DNS cập nhật, có thể từ vài phút đến vài giờ.

Phần cuối ~all nghĩa là «nghi ngờ nhưng vẫn nhận», còn -all là «từ chối». Khi mới làm, nên dùng ~all.

Bước 2: Bật DKIM

DKIM khác SPF ở chỗ khóa do nhà cung cấp email tạo ra, bạn chỉ việc đưa vào DNS.

1. Vào trang quản trị email (ví dụ Google Admin, Microsoft 365 admin center) và tìm mục Xác thực email (Authenticate email) hoặc DKIM.
2. Chọn tên miền cần bật, bấm Tạo bản ghi mới (Generate new record).
3. Hệ thống đưa ra tên bản ghi (thường dạng selector._domainkey) và một chuỗi giá trị rất dài.
4. Vào DNS, thêm đúng loại bản ghi (TXT hoặc CNAME, theo hướng dẫn) với tên và giá trị được cung cấp.
5. Quay lại trang quản trị email, bấm Bắt đầu xác thực (Start authentication) hoặc Bật (Enable).

Bước 3: Thêm DMARC, bắt đầu nhẹ nhàng

DMARC cũng là bản ghi TXT, đặt tại tên _dmarc. Nên bắt đầu bằng chế độ chỉ theo dõi:

v=DMARC1; p=none; rua=mailto:dmarc@congty.vn

• p=none: chưa chặn gì, chỉ gửi báo cáo tổng hợp về địa chỉ trong rua.
• Sau một thời gian, khi mọi dịch vụ gửi thư hợp lệ đều qua SPF hoặc DKIM, chuyển sang p=quarantine (cách ly vào thư rác).
• Khi đã chắc chắn, mới cân nhắc p=reject (từ chối thư giả).

Đừng chuyển thẳng sang reject. Nếu sót một dịch vụ gửi thư hợp lệ (như phần mềm bán hàng), thư thật của bạn sẽ bị chặn.

Kiểm tra kết quả

• Gửi một thư từ tên miền của bạn tới Gmail cá nhân, mở thư, chọn Hiển thị thư gốc (Show original). Bạn sẽ thấy trạng thái SPF, DKIM, DMARC là PASS.
• Dùng công cụ tra cứu bản ghi DNS của nhà cung cấp tên miền để xem bản ghi đã hiện đúng chưa.
• Theo dõi báo cáo DMARC trong vài tuần để phát hiện nguồn gửi thư mà bạn chưa biết.

Lỗi thường gặp

1. Hai bản ghi SPF: gộp thành một.
2. Quá nhiều dịch vụ trong SPF: SPF giới hạn số lần tra cứu DNS, thêm quá nhiều include có thể gây lỗi.
3. Quên dịch vụ gửi hộ: thư từ website hay phần mềm bán hàng không qua DKIM, bị rớt DMARC.
4. Chưa chờ DNS cập nhật nên kiểm tra thấy chưa có.

Ngoài ra, hãy cảnh giác với email giả mạo đến hộp thư của chính bạn, xem cách nhận biết email lừa đảo giả mạo ngân hàng.

Cần hỗ trợ thêm?

Nếu bạn không muốn tự sửa DNS vì sợ làm gián đoạn email công ty, Cường Tech có thể hỗ trợ qua dịch vụ IT doanh nghiệp hoặc vận hành hệ thống CNTT. Bạn cũng có thể gọi 0943.847.333 hoặc xem trang liên hệ để được tư vấn.