Email là kênh liên lạc quan trọng của doanh nghiệp, nên cũng là nơi dễ bị giả mạo: kẻ xấu gửi thư mạo danh tên miền của bạn để lừa khách hàng hoặc đối tác. Ba cơ chế SPF, DKIM và DMARC giúp hạn chế việc này. Bài tổng kết này không lặp lại cách cấu hình từng bước mà tập trung vào việc kiểm tra định kỳ và xử lý khi có sự cố.
Nhắc nhanh ba cơ chế
- SPF khai báo những máy chủ nào được phép gửi thư thay mặt tên miền của bạn.
- DKIM gắn chữ ký số vào thư để người nhận kiểm tra thư không bị sửa và đến từ nguồn được cấp khoá.
- DMARC nói với máy chủ nhận phải làm gì khi thư không đạt SPF hoặc DKIM, đồng thời gửi báo cáo về cho bạn.
Nếu cần xem lại từng cơ chế, đọc SPF ngăn giả mạo email tên miền, DMARC bắt đầu ở chế độ giám sát và cấu hình SPF, DKIM, DMARC từng bước. Bối cảnh các nhà cung cấp lớn siết yêu cầu có ở bài Gmail và Yahoo siết email hàng loạt.
Kiểm tra bản ghi định kỳ
Cấu hình đúng hôm nay không có nghĩa là mãi đúng. Khi bạn thêm công cụ gửi thư mới (hệ thống chăm sóc khách hàng, bản tin, hoá đơn), bản ghi có thể cần cập nhật. Mỗi quý, hãy:
- Liệt kê mọi hệ thống gửi thư từ tên miền của bạn.
- Kiểm tra SPF còn khai báo đủ và không có mục thừa, không vượt giới hạn tra cứu của SPF.
- Kiểm tra DKIM đang dùng khoá còn hiệu lực cho từng hệ thống.
- Kiểm tra chính sách DMARC hiện tại và địa chỉ nhận báo cáo.
- Gửi thư thử đến vài hộp thư khác nhau và xem phần tiêu đề thư để biết kết quả SPF, DKIM, DMARC.
Tài liệu của Google Workspace mô tả cách kiểm tra và thiết lập các cơ chế xác thực này, bạn có thể dùng như tài liệu tham khảo cho nhân viên kỹ thuật.
Đọc báo cáo DMARC
Báo cáo DMARC tổng hợp (aggregate) thường là tệp nén gửi về hộp thư bạn chỉ định, khó đọc bằng mắt. Có thể dùng công cụ phân tích để chuyển thành bảng. Khi xem, tập trung vào:
| Nội dung | Ý nghĩa |
|---|---|
| Nguồn gửi hợp lệ nhưng bị lỗi | Cần sửa SPF hoặc DKIM cho hệ thống đó |
| Nguồn lạ gửi nhiều thư | Có thể là giả mạo hoặc hệ thống bạn quên |
| Tỷ lệ đạt | Theo dõi xu hướng trước khi siết chính sách |
Chỉ nên nâng chính sách (từ giám sát lên cách ly, rồi từ chối) sau khi chắc rằng mọi nguồn hợp lệ đều đạt. Nâng sớm có thể làm thư thật của bạn bị chặn.
Quy trình khi có sự cố
Nếu nhận thấy thư giả mạo tên miền hoặc tài khoản email bị chiếm:
- Đổi mật khẩu tài khoản bị ảnh hưởng, bật xác thực hai bước, đăng xuất các phiên cũ.
- Kiểm tra quy tắc chuyển tiếp thư lạ và ứng dụng được cấp quyền truy cập.
- Thông báo cho khách hàng, đối tác bị ảnh hưởng, nêu rõ đâu là thư giả, tránh gây hoang mang.
- Rà soát lại SPF, DKIM, DMARC và chính sách đang áp dụng.
- Ghi lại diễn biến và bài học để cập nhật quy trình.
Nếu nghi ngờ website cũng bị ảnh hưởng, xem thêm nâng cấp và bảo mật website WordPress ở phần dưới. Tên miền cũng cần được quản lý chặt vì bản ghi email nằm ở đó, xem tên miền .vn hay .com.
Danh sách kiểm tra hằng quý
- Danh sách hệ thống gửi thư còn đúng.
- SPF, DKIM, DMARC được kiểm tra bằng thư thử.
- Báo cáo DMARC được xem và ghi chú.
- Tài khoản nhân viên đã nghỉ đã bị khoá.
- Xác thực hai bước bật cho tài khoản quản trị.
- Nhân viên được nhắc nhận biết thư lừa đảo.
Nếu cần hỗ trợ rà soát cấu hình email và tên miền, có thể liên hệ đội tên miền và email của HVSC; phần bảo mật có thể xem thêm ở bảo mật máy chủ và website.
Cập nhật 2026: Yêu cầu của các nhà cung cấp thư điện tử có thể thay đổi, nên hãy kiểm tra tài liệu mới nhất của Google và nhà cung cấp bạn dùng. Có thể đọc tiếp Tên miền .vn hay .com và Nâng cấp và bảo mật website WordPress.
Câu hỏi thường gặp
Cấu hình SPF, DKIM, DMARC một lần là xong?
Không. Mỗi khi thêm hoặc bỏ hệ thống gửi thư, cần cập nhật và kiểm tra lại, nên theo lịch hằng quý.
Khi nào nên nâng chính sách DMARC lên từ chối?
Sau một thời gian theo dõi báo cáo và chắc chắn mọi nguồn gửi hợp lệ đều đạt xác thực.
Làm sao biết thư của mình có đạt kiểm tra không?
Gửi thư thử tới các hộp thư khác nhau và xem phần tiêu đề thư, hoặc dùng công cụ kiểm tra bản ghi và báo cáo DMARC.
Nguồn tham khảo
- Google Workspace Admin Help, Email authentication — https://support.google.com/a/answer/174124
Cần tư vấn website, phần mềm hoặc bảo mật?
Mô tả bài toán, kỹ thuật HVSC trao đổi phạm vi và phương án phù hợp với doanh nghiệp.
Câu hỏi thường gặp
Cấu hình SPF, DKIM, DMARC một lần là xong?
Không. Mỗi khi thêm hoặc bỏ hệ thống gửi thư, cần cập nhật và kiểm tra lại, nên theo lịch hằng quý.
Khi nào nên nâng chính sách DMARC lên từ chối?
Sau một thời gian theo dõi báo cáo và chắc chắn mọi nguồn gửi hợp lệ đều đạt xác thực.
Làm sao biết thư của mình có đạt kiểm tra không?
Gửi thư thử tới các hộp thư khác nhau và xem phần tiêu đề thư, hoặc dùng công cụ kiểm tra bản ghi và báo cáo DMARC.
▶
▶
▶
▶
▶