Khách hàng nhận hóa đơn từ shop quen, nhưng người gửi có thể chỉ đang giả địa chỉ hiển thị. DMARC giúp máy chủ nhận thư kiểm tra việc sử dụng tên miền trong email và áp dụng chính sách với thư không xác thực. Muốn triển khai an toàn, hãy cấu hình SPF và DKIM cho các nguồn gửi trước, bắt đầu DMARC ở chế độ theo dõi rồi mới tăng mức xử lý.
DMARC là gì?
DMARC là cơ chế xác thực email dựa trên DNS. Chủ sở hữu tên miền công bố một bản ghi TXT để máy chủ nhận thư biết cách đánh giá email dùng tên miền đó trong trường From và cách xử lý nếu kiểm tra không đạt. Bản ghi cũng có thể yêu cầu gửi báo cáo về các nguồn gửi và kết quả xác thực.
DMARC phối hợp với hai cơ chế khác. SPF khai báo những máy chủ hoặc dịch vụ nào được phép gửi email cho domain ở lớp đường truyền. DKIM gắn chữ ký số để bên nhận kiểm tra thông điệp có chữ ký hợp lệ từ domain tương ứng. DMARC so sánh kết quả xác thực của SPF hoặc DKIM với domain người nhận nhìn thấy trong trường From. Chuẩn IETF hiện hành mô tả DMARC tại RFC 9989, tài liệu thay thế RFC 7489 trước đây.
SPF, DKIM và DMARC phối hợp thế nào?
Để DMARC đạt, ít nhất một phép kiểm tra phải vừa xác thực thành công, vừa khớp domain theo quy tắc alignment. Nói ngắn gọn, SPF pass nhưng domain gửi không khớp với domain ở From thì chưa đủ; DKIM pass với domain ký phù hợp cũng có thể giúp email đạt DMARC. Mặc định, alignment thường ở chế độ relaxed, cho phép các domain cùng tổ chức khớp nhau; strict yêu cầu trùng chính xác hơn và có thể gây lỗi với hệ thống con.
Ví dụ, khách thấy thư từ don-hang@shop.vn. Nếu email được gửi qua phần mềm chăm sóc khách hàng, domain ký DKIM hoặc domain SPF cần được cấu hình để khớp với shop.vn theo chính sách alignment. DMARC không tự tạo SPF hay chữ ký DKIM thay bạn; nó dựa trên những cấu hình đó để kiểm tra domain có được phép xuất hiện trong From hay không.
Cách triển khai DMARC an toàn cho doanh nghiệp
1. Kiểm kê mọi nguồn gửi email
Đừng chỉ kiểm tra hộp thư công ty. Hãy liệt kê các dịch vụ có thể gửi thư dưới domain của bạn: Google Workspace hoặc Microsoft 365, website gửi hóa đơn, CRM, phần mềm email marketing, cổng tuyển dụng, hệ thống hỗ trợ khách hàng và nhà cung cấp hóa đơn điện tử. Hỏi từng nhà cung cấp cách bật SPF và DKIM riêng cho domain của doanh nghiệp.
2. Bật SPF và DKIM cho các dịch vụ hợp lệ
Cập nhật SPF theo hướng dẫn của nhà cung cấp DNS và dịch vụ email. Chỉ duy trì một bản ghi SPF tổng hợp cho domain, trong đó bao gồm các nguồn gửi đang dùng. Bật DKIM cho từng dịch vụ có hỗ trợ, rồi gửi thư thử tới một hộp thư bạn kiểm soát để xem kết quả xác thực trong phần tiêu đề thư. Nếu có thư chuyển tiếp hoặc nhà cung cấp gửi thay, hãy kiểm tra kỹ vì đường đi này có thể làm kết quả xác thực thay đổi.
3. Tạo bản ghi DMARC ở chế độ theo dõi
Tại trang quản lý DNS của domain, tạo bản ghi TXT với tên host là _dmarc. Giá trị khởi điểm có thể trông như dưới đây. Đây là ví dụ minh họa, không phải cấu hình sẵn cho domain của bạn:
Mẫu bản ghi: v=DMARC1; p=none; rua=mailto:dmarc-reports@example.vn
Thay địa chỉ báo cáo bằng mailbox riêng hoặc dịch vụ phân tích DMARC bạn tin cậy. Thẻ p=none yêu cầu bên nhận không áp dụng biện pháp chặn theo DMARC, nhưng vẫn cho phép theo dõi. Google Workspace cũng khuyến nghị bắt đầu bằng p=none và theo dõi kết quả trước khi chuyển sang quarantine hoặc reject. Hướng dẫn của Google còn khuyên cấu hình SPF và DKIM trước, sau đó chờ 48 giờ trước khi bật DMARC trong quy trình Workspace; thời gian DNS thực tế có thể khác giữa các nhà cung cấp.
Thẻ rua yêu cầu báo cáo tổng hợp định kỳ. Các báo cáo thường đến dưới dạng XML và có thể cho biết những IP hoặc dịch vụ nào gửi thư cho domain, cùng kết quả SPF, DKIM và DMARC. Google lưu ý số lượng báo cáo có thể lớn, vì vậy nên dùng hộp thư hoặc nhóm riêng thay vì email cá nhân. Nếu địa chỉ nhận báo cáo nằm ở domain khác, nhà cung cấp có thể yêu cầu thêm bản ghi DNS xác minh.
4. Đọc báo cáo rồi mới tăng mức bảo vệ
Trong vài tuần đầu, phân loại từng nguồn gửi thành thư hợp lệ đã xác thực, dịch vụ hợp lệ cấu hình thiếu, hoặc nguồn không nhận diện được. Sửa SPF, DKIM hay alignment cho các dịch vụ hợp lệ trước. Khi báo cáo ổn định và bạn đã kiểm tra cả luồng thư ít dùng, có thể cân nhắc chuyển sang p=quarantine, theo dõi tiếp rồi mới đánh giá p=reject. Không có mốc thời gian chung phù hợp cho mọi doanh nghiệp.
Google yêu cầu mọi người gửi thư tới tài khoản Gmail cá nhân thiết lập SPF hoặc DKIM; với người gửi từ 5.000 thư mỗi ngày trở lên tới Gmail cá nhân, Google yêu cầu SPF, DKIM và DMARC. Đây là yêu cầu của Gmail cho phạm vi gửi đó, không phải quy định chung cho mọi nhà cung cấp email. Hướng dẫn người gửi của Gmail nêu rõ phạm vi này.
DMARC bảo vệ được gì và không bảo vệ được gì?
DMARC giúp giảm một dạng giả mạo: kẻ gửi email trái phép nhưng dùng đúng domain của bạn ở trường From. Nó không ngăn kẻ lừa đảo dùng domain gần giống như sh0p.vn, giả tên hiển thị, chiếm tài khoản thật hoặc gửi nội dung lừa đảo từ một hệ thống đã được xác thực. Theo RFC 9989, DMARC pass chỉ cho biết việc sử dụng domain đã qua kiểm tra, không chứng minh nội dung thư an toàn hay đáng tin. Vì vậy, DMARC là một lớp trong quy trình bảo mật, không thay thế việc xác minh người gửi và giao dịch. Xem thêm hướng dẫn nhận diện lừa đảo AI và kiểm tra yêu cầu chuyển tiền.
Không nên bật báo cáo lỗi chi tiết theo từng email nếu bạn chưa hiểu dữ liệu sẽ được gửi đi đâu. Một số loại báo cáo có thể chứa tiêu đề hoặc nội dung thư, kéo theo nguy cơ lộ dữ liệu cá nhân. Báo cáo aggregate thường phù hợp hơn để kiểm kê nguồn gửi; RFC 9991 khuyến nghị cân nhắc kỹ quyền riêng tư khi dùng báo cáo failure.
Checklist trước khi chuyển sang quarantine hoặc reject
- Đã xác nhận mọi dịch vụ gửi thư hợp lệ, kể cả nền tảng bên thứ ba.
- SPF không bỏ sót nguồn gửi và DKIM đã bật ở các dịch vụ hỗ trợ.
- Đã nhận và đọc báo cáo DMARC trong một khoảng thời gian đủ để bao quát cả luồng thư định kỳ.
- Đã sửa các lỗi alignment và thử gửi thư tới những hệ thống nhận phổ biến của khách hàng.
- Đã chuẩn bị cách quay lại chính sách theo dõi nếu thư hợp lệ bị đưa vào spam hoặc bị từ chối.
Việc nên làm đầu tiên không phải là chọn p=reject, mà là lập danh sách các hệ thống đang gửi email dưới domain của bạn. Khi danh sách đó đã được xác thực bằng SPF hoặc DKIM và báo cáo DMARC không còn cho thấy nguồn hợp lệ bị fail, bạn mới có cơ sở tăng chính sách từng bước.
Nguồn tham khảo
- RFC 9989: DMARC, chuẩn IETF hiện hành về xác thực và chính sách DMARC.
- Google Workspace: Set up DMARC, hướng dẫn bản ghi, chế độ theo dõi và alignment.
- Google Workspace: About DMARC reports, cách nhận và đọc báo cáo tổng hợp.
- Gmail: Email sender guidelines, yêu cầu xác thực theo phạm vi gửi tới Gmail cá nhân.
- RFC 9990 và RFC 9991, tiêu chuẩn về báo cáo DMARC aggregate và failure.
