Ở bài trước trong chuỗi, chúng ta đã nói về yêu cầu mới của Gmail và Yahoo với người gửi email hàng loạt. Bài này đi vào việc làm: cấu hình SPF, DKIM và DMARC cho tên miền của doanh nghiệp theo thứ tự hợp lý, để email thật vào được hộp thư đến còn email giả mạo bị chặn.
Bạn không cần là kỹ sư mạng. Điều cần có là quyền sửa bản ghi DNS của tên miền và danh sách các dịch vụ đang gửi email nhân danh doanh nghiệp.
Bước 1: Kiểm kê mọi nơi gửi email
Trước khi sửa DNS, hãy liệt kê tất cả hệ thống đang gửi thư bằng tên miền của bạn. Thiếu một hệ thống, thư của nó có thể bị đánh dấu thư rác sau khi bạn siết chính sách. Các nguồn thường gặp:
- Hộp thư công ty (Google Workspace, Microsoft 365 hoặc dịch vụ email của nhà cung cấp tên miền).
- Phần mềm gửi email marketing, bản tin.
- Website WordPress gửi thư đặt hàng, liên hệ, quên mật khẩu.
- Phần mềm kế toán, CRM, hệ thống đặt vé hoặc đặt lịch.
Nếu chưa có tên miền riêng cho email, bạn có thể xem vì sao nên dùng email theo tên miền riêng 그리고 quy tắc đặt tên, chữ ký email công ty trước khi cấu hình.
Bước 2: SPF, danh sách máy chủ được phép gửi
SPF là một bản ghi DNS dạng TXT, khai báo máy chủ hoặc dịch vụ nào được gửi thư thay cho tên miền. Nguyên tắc cần nhớ:
- Mỗi tên miền chỉ nên có một bản ghi SPF. Nếu cần thêm dịch vụ, hãy gộp vào cùng bản ghi thay vì tạo bản thứ hai.
- Mỗi dịch vụ gửi thư thường cung cấp sẵn đoạn “include” để dán vào bản ghi SPF. Hãy lấy từ trang hướng dẫn của dịch vụ đó.
- SPF có giới hạn số lần tra cứu DNS. Gộp quá nhiều dịch vụ sẽ vượt giới hạn, nên chỉ giữ những dịch vụ thật sự dùng.
- Kết thúc bản ghi bằng cơ chế xử lý phần còn lại. Khi mới bắt đầu, nhiều đơn vị chọn mức mềm để tránh chặn nhầm.
Bước 3: DKIM, chữ ký số trên từng email
DKIM gắn chữ ký số vào email. Dịch vụ gửi thư tạo một khoá công khai và yêu cầu bạn đăng ký nó trong DNS, thường dưới dạng bản ghi TXT hoặc CNAME. Cách làm:
- Vào trang quản trị của dịch vụ gửi thư, tìm mục xác thực tên miền hoặc DKIM.
- Sao chép bản ghi được cung cấp, thêm vào DNS của tên miền.
- Quay lại dịch vụ, bấm xác minh rồi bật ký thư.
- Lặp lại cho từng dịch vụ gửi thư trong danh sách kiểm kê.
Khoá dài hơn thì khó bị giả mạo hơn, nên nếu dịch vụ cho chọn, hãy ưu tiên độ dài khoá mà nhà cung cấp khuyến nghị.
Bước 4: DMARC, chính sách và báo cáo
DMARC dựa trên SPF và DKIM. Nó yêu cầu tên miền trong địa chỉ “From” khớp với tên miền đã được xác thực, đồng thời cho bạn quyết định máy chủ nhận phải làm gì với thư không đạt, và gửi báo cáo về cho bạn. Có ba mức chính sách:
| 금액 | 의미 | Khi nào dùng |
|---|---|---|
| none | Chỉ theo dõi, không ảnh hưởng việc nhận thư | Giai đoạn đầu, đọc báo cáo |
| quarantine | Thư không đạt bị đưa vào thư rác | Khi đã chắc mọi nguồn gửi hợp lệ |
| reject | Thư không đạt bị từ chối | Giai đoạn cuối, bảo vệ mạnh nhất |
Hãy bắt đầu bằng mức none và địa chỉ nhận báo cáo tổng hợp. Sau vài tuần đọc báo cáo, sửa các nguồn gửi còn sót, rồi mới nâng dần mức bảo vệ. Chi tiết cách làm có trong bài về bắt đầu DMARC ở chế độ giám sát.
Bước 5: Theo dõi báo cáo và kiểm tra bằng công cụ
Sau khi thêm bản ghi, DNS có thể cần từ vài phút đến vài giờ để lan truyền. Bạn nên:
- Dùng công cụ tra cứu bản ghi DNS miễn phí để xem SPF, DKIM, DMARC đã hiển thị đúng chưa.
- Gửi thử một email tới hộp Gmail cá nhân, mở “Hiển thị bản gốc” và xem ba kết quả SPF, DKIM, DMARC có đạt không.
- Đọc báo cáo DMARC định kỳ. Báo cáo dạng XML khó đọc, nên nhiều người dùng công cụ tổng hợp để chuyển thành bảng.
- Ghi lại thay đổi: ngày sửa, người sửa, lý do. Khi đổi nhà cung cấp email hoặc phần mềm gửi thư, hãy cập nhật lại các bản ghi.
Lỗi hay gặp
- Tạo hai bản ghi SPF cho cùng một tên miền.
- Quên một dịch vụ gửi thư (thường là website hoặc phần mềm kế toán).
- Dán bản ghi vào sai tên miền con hoặc sai kiểu bản ghi.
- Nâng DMARC lên mức chặn quá sớm khi chưa đọc báo cáo.
Nếu cần hỗ trợ về tên miền và cấu hình DNS, có thể liên hệ đội Công nghệ của HVSC.
2026년 업데이트: Yêu cầu xác thực email của các hộp thư lớn vẫn được áp dụng và có thể thay đổi chi tiết theo thời gian, nên hãy đối chiếu trang hướng dẫn chính thức của Google khi cấu hình. DMARC.org cho biết các chuẩn liên quan đến DMARC đã được IETF cập nhật trong năm 2026, nên nên kiểm tra tài liệu mới nhất. Bài email an toàn cho doanh nghiệp: kiểm tra năm 2026 tổng hợp lại những mục cần rà soát, và bài .vn 또는 .com 도메인 giúp cân nhắc đuôi tên miền.
자주 묻는 질문
Nên cấu hình SPF, DKIM hay DMARC trước?
Thường làm theo thứ tự SPF, DKIM rồi DMARC, vì DMARC dựa trên kết quả của hai bản ghi kia. Hãy đặt DMARC ở mức theo dõi trước khi siết chặt.
Sau khi thêm bản ghi bao lâu thì có hiệu lực?
DNS cần thời gian lan truyền, từ vài phút đến vài giờ tuỳ thiết lập. Hãy đợi rồi mới kiểm tra lại bằng công cụ tra cứu.
Tôi gửi ít email thì có cần làm không?
Nên làm, vì ba lớp xác thực giúp email của bạn ít bị vào thư rác và khó bị kẻ xấu giả mạo tên miền.
참고 자료
- Google Workspace Admin Help, Email authentication — https://support.google.com/a/answer/174124
- DMARC.org, tổng quan giao thức — https://dmarc.org/
Cần tư vấn website, phần mềm hoặc bảo mật?
Mô tả bài toán, kỹ thuật HVSC trao đổi phạm vi và phương án phù hợp với doanh nghiệp.
자주 묻는 질문
Nên cấu hình SPF, DKIM hay DMARC trước?
Thường làm theo thứ tự SPF, DKIM rồi DMARC, vì DMARC dựa trên kết quả của hai bản ghi kia. Hãy đặt DMARC ở mức theo dõi trước khi siết chặt.
Sau khi thêm bản ghi bao lâu thì có hiệu lực?
DNS cần thời gian lan truyền, từ vài phút đến vài giờ tuỳ thiết lập. Hãy đợi rồi mới kiểm tra lại bằng công cụ tra cứu.
Tôi gửi ít email thì có cần làm không?
Nên làm, vì ba lớp xác thực giúp email của bạn ít bị vào thư rác và khó bị kẻ xấu giả mạo tên miền.
▶
▶
▶
▶
▶