Nếu doanh nghiệp dùng email theo tên miền riêng, người lạ vẫn có thể giả mạo địa chỉ gửi trông giống email của bạn để lừa khách hàng hoặc nhân viên. DMARC là cơ chế giúp chủ tên miền công bố cách xử lý các thư không vượt qua kiểm tra xác thực. Cách an toàn nhất để bắt đầu là chế độ giám sát, tức là chưa chặn gì mà chỉ quan sát.
DMARC là gì và đi cùng SPF, DKIM
DMARC là chính sách được khai báo trong bản ghi DNS (dạng TXT) của tên miền. Theo DMARC.org, SPF và DKIM là hai cơ chế xác thực nền tảng mà người gửi triển khai trước. DMARC bổ sung hai điều:
- Kiểm tra sự khớp (alignment): tên miền đã được xác thực bằng SPF hoặc DKIM phải khớp với tên miền hiển thị ở ô “Từ” (From) của thư.
- Chính sách xử lý và báo cáo: chủ tên miền nói cho bên nhận biết nên làm gì với thư không đạt, và nhận báo cáo về những thư đó.
Theo RFC 7489, một thư đạt DMARC khi SPF hoặc DKIM đạt và tên miền khớp với tên miền ở ô From. Bạn có thể xem phần nền tảng trong bài về SPF ngăn giả mạo email tên miền. Nếu chưa dùng email theo tên miền riêng, hãy đọc vì sao nên dùng email theo tên miền riêng.
p=none: giám sát trước, chưa chặn
Chính sách DMARC có ba mức khai báo trong thẻ `p=`:
| Giá trị | Ý nghĩa |
|---|---|
| `none` | Không yêu cầu hành động với thư lỗi, bên nhận vẫn có thể gửi báo cáo |
| `quarantine` | Thư lỗi nên bị xem là đáng ngờ, thường vào thư rác |
| `reject` | Thư lỗi nên bị từ chối nhận |
Cả RFC 7489 và DMARC.org đều gợi ý bắt đầu với `p=none`. Lý do rất thực tế: nhiều doanh nghiệp có nhiều nguồn gửi thư hợp lệ mà chính họ không nhớ hết, như phần mềm kế toán, công cụ gửi bản tin, hệ thống đặt lịch. Nếu bật `reject` ngay, thư hợp lệ của bạn cũng có thể bị chặn.
Một bản ghi giám sát cơ bản có dạng `v=DMARC1; p=none; rua=mailto:dmarc@tenmiencuaban.vn`. Ví dụ này chỉ minh hoạ, bạn cần thay bằng địa chỉ nhận báo cáo thực của mình.
Đọc báo cáo tổng hợp (rua)
Thẻ `rua` chỉ định địa chỉ nhận báo cáo tổng hợp, thường gửi mỗi ngày một lần theo mặc định. Báo cáo cho biết các nguồn đang gửi thư nhân danh tên miền của bạn, kết quả SPF, DKIM và cách bên nhận xử lý.
Báo cáo ở dạng tệp XML, khó đọc trực tiếp nên nhiều công cụ có thể giúp tổng hợp thành bảng. Khi đọc, hãy tìm:
- Nguồn hợp lệ nhưng bị lỗi xác thực: cần sửa SPF hoặc DKIM cho nguồn đó.
- Nguồn lạ: có thể là dấu hiệu giả mạo, hoặc một dịch vụ cũ mà bạn đã quên.
- Tỷ lệ thư đạt: nên tăng dần theo thời gian khi bạn sửa các nguồn lỗi.
Thẻ `ruf` cho báo cáo từng thư lỗi, nhưng có thể chứa nội dung thư và gây lo ngại về quyền riêng tư, nên nhiều doanh nghiệp chỉ dùng `rua`. Nếu địa chỉ nhận báo cáo nằm ở tên miền khác, tên miền đó cần khai báo cho phép nhận.
Siết dần: quarantine rồi reject
Khi báo cáo cho thấy mọi nguồn hợp lệ đã đạt xác thực trong một thời gian đủ dài, bạn có thể siết dần:
- Chuyển sang `p=quarantine`, dùng thẻ `pct` để áp dụng cho một phần nhỏ thư trước, ví dụ 10%.
- Theo dõi báo cáo và phản hồi của người dùng nội bộ, đặc biệt các thư gửi khách hàng.
- Tăng dần tỷ lệ áp dụng khi không còn thư hợp lệ bị ảnh hưởng.
- Nếu cần mức bảo vệ cao nhất, chuyển sang `p=reject`.
Việc này không cần làm gấp. Thời gian giữa mỗi bước phụ thuộc vào số nguồn gửi thư và mức độ phức tạp của hệ thống.
Đặt DMARC vào tổng thể email doanh nghiệp
DMARC chỉ có tác dụng đầy đủ khi tên miền, SPF, DKIM và quy tắc đặt hộp thư được quản lý nhất quán. Doanh nghiệp nên thống nhất quy tắc đặt tên, chia hộp thư và chữ ký email công ty, và lưu lại ai quản lý bản ghi DNS. Nếu tên miền bị thay đổi người quản lý, hãy cập nhật địa chỉ nhận báo cáo.
Nếu cần hỗ trợ về tên miền và email, có thể liên hệ đội Công nghệ của HVSC về tên miền. Với vấn đề bảo mật tổng thể, xem thêm bảo mật server và website.
Cập nhật 2026: RFC 7489 hiện được đánh dấu là đã bị thay thế bởi các RFC mới (theo trang rfc-editor.org), nên cần kiểm tra bản đặc tả hiện hành. Các nhà cung cấp email lớn đã siết yêu cầu với người gửi thư hàng loạt, xem bài về Gmail và Yahoo siết email hàng loạt và bài kiểm tra email an toàn 2026.
Câu hỏi thường gặp
Bắt đầu DMARC với p=none có tác dụng chống giả mạo không?
Ở mức này thư giả mạo chưa bị chặn. Giá trị chính là nhìn thấy ai đang gửi thư nhân danh tên miền, để chuẩn bị siết dần sau đó.
Cần cài SPF và DKIM trước DMARC không?
Có. DMARC dựa trên kết quả SPF và DKIM nên cần có ít nhất một trong hai đạt và khớp tên miền, thường nên cấu hình cả hai.
Bao lâu thì nên chuyển sang reject?
Không có thời hạn cố định. Hãy chuyển khi báo cáo cho thấy mọi nguồn gửi hợp lệ đã đạt xác thực trong một thời gian đủ dài.
Nguồn tham khảo
- DMARC.org — https://dmarc.org/overview/
- RFC 7489 DMARC — https://www.rfc-editor.org/rfc/rfc7489
Cần tư vấn website, phần mềm hoặc bảo mật?
Mô tả bài toán, kỹ thuật HVSC trao đổi phạm vi và phương án phù hợp với doanh nghiệp.
Câu hỏi thường gặp
Bắt đầu DMARC với p=none có tác dụng chống giả mạo không?
Ở mức này thư giả mạo chưa bị chặn. Giá trị chính là nhìn thấy ai đang gửi thư nhân danh tên miền, để chuẩn bị siết dần sau đó.
Cần cài SPF và DKIM trước DMARC không?
Có. DMARC dựa trên kết quả SPF và DKIM nên cần có ít nhất một trong hai đạt và khớp tên miền, thường nên cấu hình cả hai.
Bao lâu thì nên chuyển sang reject?
Không có thời hạn cố định. Hãy chuyển khi báo cáo cho thấy mọi nguồn gửi hợp lệ đã đạt xác thực trong một thời gian đủ dài.
▶
▶
▶
▶
▶