SPF, DKIM และ DMARC อธิบายแบบเข้าใจง่าย (พร้อมวิธีตรวจสอบของตัวเองในห้านาที)

มีตัวย่อสามตัวที่โผล่ขึ้นมาทุกครั้งที่พูดถึงเรื่องการส่งอีเมลถึงกล่องจดหมาย ได้แก่ SPF, DKIM และ DMARC เรามักตั้งค่าเพียงครั้งเดียวโดยคัดลอกบรรทัดจากหน้าช่วยเหลือของผู้ให้บริการโฮสติ้ง แล้วก็ลืมมันไป จนถึงวันที่อีเมลเริ่มตกไปอยู่ในสแปม และไม่มีใครจำได้แน่ชัดว่าตอนนั้นตั้งค่าอะไรไว้บ้าง

แต่กลไกทั้งสามนี้ตอบคำถามง่าย ๆ ข้อหนึ่งที่เซิร์ฟเวอร์ปลายทางทุกตัวถามตัวเองเสมอเมื่อได้รับอีเมลของคุณ นั่นคือ "ข้อความนี้มาจากผู้ส่งที่มันอ้างถึงจริงหรือไม่" ถ้าไม่มีคำตอบที่ชัดเจน ข้อความนั้นก็จะถูกมองว่าน่าสงสัย

ทำไมมันจึงกลายเป็นเรื่องบังคับ

เป็นเวลานานที่ระเบียนเหล่านี้ออกมาในฐานะคำแนะนำอย่างยิ่ง ตอนนี้มันกลายเป็นข้อกำหนด ในเดือนกุมภาพันธ์ 2024 Gmail และ Yahoo กำหนดให้ผู้ส่งที่มีปริมาณอีเมลมากต้องมี SPF และ DKIM ที่ถูกต้อง มีนโยบาย DMARC ที่ประกาศไว้ มีลิงก์ยกเลิกการสมัครในคลิกเดียว และมีอัตราการร้องเรียนต่ำ Microsoft ประกาศข้อกำหนดในลักษณะเดียวกันสำหรับ Outlook.com และเริ่มบังคับใช้ตั้งแต่เดือนพฤษภาคม 2025

เกณฑ์อย่างเป็นทางการนั้นเล็งไปที่ผู้ส่งรายใหญ่ แต่ในความเป็นจริง โดเมนที่ไม่มีการยืนยันตัวตนอย่างถูกต้องจะถูกกรองข้อความทิ้งตั้งแต่ปริมาณยังไม่ถึงเกณฑ์เหล่านั้นมากนัก สำหรับงานหาลูกค้า ควรถือว่าระเบียนทั้งสามนี้เป็นขั้นต่ำ

SPF: รายชื่อเซิร์ฟเวอร์ที่ได้รับอนุญาต

SPF (Sender Policy Framework) คือบรรทัดหนึ่งที่ประกาศไว้ใน DNS ของโดเมนคุณ โดยระบุว่า "อีเมลจากโดเมนนี้จะส่งออกได้จากเซิร์ฟเวอร์เหล่านี้เท่านั้น" เมื่อเซิร์ฟเวอร์ได้รับข้อความที่อ้างว่ามาจากโดเมนของคุณ มันจะตรวจว่าเซิร์ฟเวอร์ที่ส่งอยู่ในรายชื่อหรือไม่

ระเบียน SPF มีหน้าตาแบบนี้:

v=spf1 include:_spf.mail.hostinger.com ~all

อ่านจากซ้ายไปขวา: เวอร์ชัน ตามด้วยเซิร์ฟเวอร์ที่ได้รับอนุญาต (ในที่นี้คือเซิร์ฟเวอร์ของผู้ให้บริการโฮสติ้ง) แล้วจึงเป็นสิ่งที่ต้องทำกับเซิร์ฟเวอร์อื่น ๆ ส่วน "~all" ท้ายบรรทัดคือการขอให้มองเซิร์ฟเวอร์อื่นอย่างระแวงแต่ไม่ถึงกับปฏิเสธ ซึ่งเป็นทางเลือกที่ระมัดระวัง

ข้อผิดพลาดที่พบบ่อยที่สุด:

• มีระเบียน SPF สองรายการบนโดเมนเดียวกัน: ทำแบบนี้ไม่ได้ และผลลัพธ์จะกลายเป็นโมฆะ ต้องรวมทั้งสองเข้าเป็นบรรทัดเดียว
• ลืมบริการหนึ่งบริการ: คุณส่งใบแจ้งหนี้จากซอฟต์แวร์ของบุคคลที่สามด้วย แต่บริการนั้นไม่ได้อยู่ในรายชื่อ
• มี "include" มากเกินไป: SPF จำกัดจำนวนการค้นหา DNS ไว้ที่ 10 ครั้ง หากเกินกว่านั้นระเบียนจะใช้ไม่ได้

DKIM: ลายเซ็นของข้อความ

DKIM (DomainKeys Identified Mail) เพิ่มลายเซ็นที่เข้ารหัสให้กับอีเมลทุกฉบับ เซิร์ฟเวอร์ผู้ส่งจะเซ็นด้วยกุญแจส่วนตัว และกุญแจสาธารณะที่คู่กันจะถูกประกาศไว้ใน DNS ของคุณ ผู้รับจะตรวจสอบลายเซ็นนี้ หากถูกต้อง ก็แสดงว่าข้อความมาจากโดเมนของคุณจริงและไม่ถูกแก้ไขระหว่างทาง

กุญแจสาธารณะจะอยู่ที่ที่อยู่ DNS ที่เจาะจงตำแหน่งหนึ่ง ซึ่งสร้างจาก "selector" ที่ผู้ให้บริการโฮสติ้งของคุณกำหนด ตัวอย่างเช่น:

hostingermail1._domainkey.votredomaine.fr

นี่คือจุดที่ปัญหา DKIM ส่วนใหญ่อยู่: กุญแจที่คัดลอกมาไม่ครบ (กุญแจพวกนี้ยาวมาก), selector ที่ไม่ตรงกับที่เซิร์ฟเวอร์ใช้จริง หรือกุญแจที่ไม่เคยถูกประกาศเลยเพราะผู้ให้บริการโฮสติ้งรอให้เปิดใช้งานด้วยมือ วิธีตรวจสอบที่เชื่อถือได้มีทางเดียวคือส่งอีเมลจริงแล้วดูส่วนหัวของข้อความเมื่อไปถึงปลายทาง

DMARC: คำสั่งเมื่อการตรวจสอบล้มเหลว

DMARC (Domain-based Message Authentication, Reporting and Conformance) เชื่อมสองตัวก่อนหน้าเข้าด้วยกัน โดยบอกเซิร์ฟเวอร์ผู้รับว่า "ถ้าข้อความอ้างว่ามาจากโดเมนของฉันแต่ไม่ผ่านทั้ง SPF และ DKIM นี่คือสิ่งที่คุณควรทำกับมัน" นอกจากนี้ยังทำให้คุณได้รับรายงานเกี่ยวกับข้อความที่ถูกส่งออกไปในชื่อของคุณด้วย

ระเบียน DMARC สำหรับเริ่มต้นมีหน้าตาแบบนี้:

v=DMARC1; p=none; rua=mailto:dmarc@votredomaine.fr

"p=none" หมายถึง: ไม่ต้องบล็อกอะไร แต่ให้ส่งรายงานมา นี่คือนโยบายขั้นต่ำที่ Gmail และ Yahoo กำหนด และเป็นจุดเริ่มต้นที่ดี เมื่อคุณมั่นใจแล้วว่าการส่งที่ชอบด้วยกฎหมายทั้งหมดผ่านการยืนยันตัวตนได้ ก็เปลี่ยนไปใช้ "p=quarantine" (ส่งข้อความที่ยืนยันตัวตนไม่ผ่านไปยังสแปม) และต่อด้วย "p=reject" หากต้องการ

จุดที่ละเอียดอ่อนคือ DMARC กำหนดว่าโดเมนที่ผ่านการยืนยันตัวตนด้วย SPF หรือ DKIM ต้องเป็นโดเมนเดียวกันกับที่ปรากฏในที่อยู่ผู้ส่ง ซึ่งเรียกว่า alignment อีเมลที่ส่งจาก paul@votredomaine.fr แต่ถูกเซ็น DKIM ด้วยโดเมนทางเทคนิคของผู้ให้บริการโฮสติ้ง อาจผ่าน DKIM แต่ยังไม่ผ่าน DMARC

ตรวจสอบระเบียนของคุณในห้านาที

คุณไม่จำเป็นต้องเป็นผู้ดูแลระบบ การตรวจสอบสามข้อก็เพียงพอ:

1. ตรวจดูระเบียน TXT ของโดเมนคุณด้วยเครื่องมือค้นหา DNS ออนไลน์ คุณควรพบบรรทัดเดียวที่ขึ้นต้นด้วย "v=spf1" และบรรทัด "v=DMARC1" ที่ที่อยู่ _dmarc.votredomaine.fr
2. ส่งอีเมลจากกล่องจดหมายที่ต้องการตรวจไปยังอีเมล Gmail ส่วนตัว เปิดอีเมลนั้นแล้วดูข้อความต้นฉบับ Gmail จะระบุไว้ชัดเจนว่า "SPF: PASS", "DKIM: PASS" และ "DMARC: PASS" พร้อมโดเมนที่ใช้สำหรับแต่ละรายการ
3. ตรวจสอบว่าโดเมนที่ระบุสำหรับ DKIM เป็นโดเมนของคุณเอง ไม่ใช่ของผู้ให้บริการโฮสติ้ง

ใน SmartOutbound การตรวจสอบนี้ทำโดยอัตโนมัติ: โดเมนทุกโดเมนถูกตรวจทุกวัน อีเมลทดสอบที่ส่งตอนเชื่อมต่อกล่องจดหมายจะยืนยันลายเซ็น DKIM ที่ตรวจพบจริงเมื่อข้อความไปถึง และปุ่ม "ตรวจสอบ DNS" ในหน้ากล่องจดหมายจะสั่งให้ตรวจใหม่ได้ทุกเมื่อที่ต้องการ หากยังไม่มี DMARC และโดเมนของคุณอยู่กับ Hostinger เครื่องมือนี้เพิ่มให้คุณได้ด้วย

แล้วเรื่องอื่นล่ะ?

ระเบียนทั้งสามนี้ไม่ได้ยืนยันว่าอีเมลของคุณจะไปถึงกล่องจดหมายขาเข้า มันยืนยันเพียงว่าจะไม่ถูกปฏิเสธด้วยเหตุผลทางเทคนิคที่หลีกเลี่ยงได้ ส่วนหลังจากนั้นขึ้นอยู่กับชื่อเสียงของโดเมน คุณภาพของรายชื่อผู้รับ และเนื้อหาของข้อความ สำหรับโดเมนใหม่ ต้องคำนึงถึงระยะเวลา warmupด้วย และหากคุณยังลังเลว่าจะส่งอีเมลจากโดเมนหลักหรือไม่ บทความของเราเรื่องโดเมนเฉพาะสำหรับการส่งจะช่วยให้คุณตัดสินใจได้