Xác thực DNS: SPF, DKIM, DMARC

Từ năm 2024, các nhà cung cấp dịch vụ email lớn như Google (Gmail) và Yahoo đã chính thức áp dụng quy định bắt buộc: Tất cả các tên miền gửi email hàng loạt (bulk sender) phải cấu hình đầy đủ bộ ba bản ghi SPF, DKIM và DMARC.

Nếu không có hoặc cấu hình sai các bản ghi này, email của bạn sẽ bị chặn hoàn toàn (Bounced) hoặc rơi vào thư mục Spam/Rác.

---

1. SPF (Sender Policy Framework) - Khai báo máy chủ được phép gửi thư

SPF là gì?

SPF là bản ghi TXT trong DNS khai báo danh sách các địa chỉ IP hoặc dịch vụ máy chủ được phép đại diện gửi thư từ tên miền của bạn.

Cách cấu hình:

1. Đăng nhập trang quản lý DNS tên miền (Cloudflare, iNET, MatBao,...).

2. Thêm bản ghi dạng TXT:

   • Host / Name: @ (hoặc tên miền của bạn, ví dụ nc-net.vn)

   • Type: TXT

   • Value: Tùy theo dịch vụ gửi mail bạn đang dùng:

     • Nếu dùng Amazon SES:

       v=spf1 include:amazonses.com ~all

     • Nếu dùng Google Workspace / Gmail:

       v=spf1 include:_spf.google.com ~all

     • Nếu dùng cả Amazon SES và Google Workspace:

       v=spf1 include:amazonses.com include:_spf.google.com ~all

LƯU Ý: Một tên miền chỉ được phép có DUY NHẤT 1 bản ghi SPF. Không được tạo 2 bản ghi bắt đầu bằng v=spf1, nếu có nhiều dịch vụ thì gom chung bằng từ khóa include:.

---

2. DKIM (DomainKeys Identified Mail) - Chữ ký số chống giả mạo

DKIM là gì?

DKIM gắn một chữ ký mã hóa điện tử vào tiêu đề của mỗi email gửi đi. Khi máy chủ nhận (như Gmail) nhận được thư, nó sẽ dùng khóa công khai trên DNS của bạn để kiểm tra tính toàn vẹn, chứng minh email không bị giả mạo hay chỉnh sửa trên đường truyền.

Cách cấu hình:

• Đối với Amazon SES:

  • Khi tạo Identity Domain trên AWS SES, hệ thống sẽ cấp cho bạn 3 bản ghi CNAME dạng:

    • Name: abc123xyz._domainkey.domain.com ➡️ Value: abc123xyz.dkim.amazonses.com

    • Name: def456xyz._domainkey.domain.com ➡️ Value: def456xyz.dkim.amazonses.com

    • Name: ghi789xyz._domainkey.domain.com ➡️ Value: ghi789xyz.dkim.amazonses.com

  • Nhập 3 bản ghi CNAME này vào trang quản lý DNS tên miền.

• Đối với Google Workspace:

  • Vào Google Admin Console ➡️ Apps ➡️ Google Workspace ➡️ Gmail ➡️ Authenticate email ➡️ Sinh khóa DKIM (TXT record).

---

3. DMARC (Domain-based Message Authentication) - Chính sách bảo vệ tên miền

DMARC là gì?

DMARC là lớp bảo vệ cao nhất, kết hợp kết quả kiểm tra của cả SPF và DKIM. DMARC chỉ thị cho máy chủ nhận phải làm gì nếu email gửi đi không vượt qua kiểm tra SPF/DKIM (chấp nhận, chuyển vào spam hay từ chối thẳng thừng).

Cách cấu hình:

1. Thêm bản ghi TXT vào DNS:

   • Host / Name: _dmarc (hoặc _dmarc.yourdomain.com)

   • Type: TXT

   • Value:

     v=DMARC1; p=none; rua=mailto:[email protected]; sp=none; aspf=r;

Giải thích các thông số:

• v=DMARC1: Phiên bản DMARC.

• p=none: Chế độ giám sát (Monitor mode). Email vẫn được gửi đến người nhận bình thường, hệ thống sẽ gửi báo cáo về nếu có vi phạm. (Khuyên dùng trong giai đoạn đầu).

• p=quarantine: Chuyển thẳng thư không hợp lệ vào mục Spam. (Áp dụng sau khi kiểm tra hệ thống hoạt động ổn định).

• p=reject: Chặn hoàn toàn thư không hợp lệ. (Bảo mật tối đa).

• rua=mailto:...: Địa chỉ email nhận báo cáo tổng hợp tình trạng gửi thư từ các nhà cung cấp.

---

4. Công cụ kiểm tra điểm số Spam và xác thực DNS (Mail-Tester)

Sau khi thêm đầy đủ các bản ghi trên:

1. Truy cập trang web miễn phí: https://www.mail-tester.com/.

2. Copy địa chỉ email tạm thời do trang cung cấp (ví dụ: [email protected]).

3. Vào ABOT ➡️ Gửi một email thử nghiệm từ chiến dịch hoặc gửi test đến địa chỉ đó.

4. Quay lại Mail-Tester và bấm Check your score:

   • Mục tiêu: Đạt điểm từ 9/10 đến 10/10.

   • Hệ thống sẽ báo xanh các mục: SPF valid, DKIM valid, DMARC valid.