SPF, DKIM và DMARC giải thích đơn giản (và cách kiểm tra của bạn trong năm phút)

Ba chữ viết tắt luôn xuất hiện mỗi khi nhắc đến khả năng phân phối email: SPF, DKIM, DMARC. Người ta thường cấu hình chúng một lần, bằng cách sao chép vài dòng tìm thấy trong phần trợ giúp của nhà cung cấp hosting, rồi quên luôn. Cho đến ngày email rơi vào hộp thư rác và không ai còn nhớ rõ mình đã thiết lập những gì.

Vậy mà ba cơ chế này trả lời một câu hỏi đơn giản mà mọi máy chủ nhận email của bạn đều đặt ra: "tin nhắn này có thực sự đến từ người mà nó tự nhận không?" Không có câu trả lời rõ ràng, tin nhắn sẽ bị coi là đáng ngờ.

Vì sao điều này đã trở thành bắt buộc

Trong một thời gian dài, những bản ghi này chỉ được khuyến nghị mạnh mẽ. Giờ đây chúng là yêu cầu bắt buộc. Tháng 2 năm 2024, Gmail và Yahoo buộc những người gửi với khối lượng lớn phải có SPF và DKIM hợp lệ, một chính sách DMARC được công bố, liên kết hủy đăng ký một cú nhấp và tỷ lệ khiếu nại thấp. Microsoft đã công bố những yêu cầu tương tự cho Outlook.com, áp dụng từ tháng 5 năm 2025.

Các ngưỡng chính thức nhắm đến những người gửi lớn, nhưng trên thực tế, một tên miền không được xác thực đúng cách sẽ bị lọc tin nhắn từ rất lâu trước khi đạt đến những khối lượng đó. Với hoạt động prospecting, cần coi cả ba bản ghi này là mức tối thiểu.

SPF: danh sách các máy chủ được phép

SPF (Sender Policy Framework) là một dòng được công bố trong DNS của tên miền bạn. Nó nói rằng: "email từ tên miền này chỉ có thể được gửi đi từ những máy chủ này". Khi một máy chủ nhận được tin nhắn mang tên miền của bạn, nó kiểm tra xem máy chủ gửi có nằm trong danh sách hay không.

Một bản ghi SPF trông như thế này:

v=spf1 include:_spf.mail.hostinger.com ~all

Đọc từ trái sang phải: phiên bản, rồi đến các máy chủ được phép (ở đây là của nhà cung cấp hosting), rồi đến việc cần làm với những máy chủ khác. Phần "~all" ở cuối yêu cầu xử lý các máy chủ khác một cách dè dặt mà không từ chối chúng, đây là một lựa chọn thận trọng.

Những lỗi phổ biến nhất:

• hai bản ghi SPF trên cùng một tên miền: điều này bị cấm, và kết quả trở nên không hợp lệ. Cần gộp cả hai thành một dòng duy nhất;
• bỏ sót một dịch vụ: bạn cũng gửi hóa đơn từ một phần mềm bên thứ ba, nhưng nó không nằm trong danh sách;
• quá nhiều "include": SPF giới hạn số lần tra cứu DNS ở mức mười. Vượt quá, bản ghi sẽ thất bại.

DKIM: chữ ký của tin nhắn

DKIM (DomainKeys Identified Mail) thêm vào mỗi email một chữ ký được mã hóa. Máy chủ gửi ký bằng một khóa riêng, và khóa công khai tương ứng được công bố trong DNS của bạn. Người nhận kiểm tra chữ ký: nếu hợp lệ, họ biết tin nhắn thực sự đến từ tên miền của bạn và không bị sửa đổi trên đường đi.

Khóa công khai nằm ở một địa chỉ DNS cụ thể, được tạo từ một "selector" do nhà cung cấp hosting của bạn chọn, ví dụ:

hostingermail1._domainkey.votredomaine.fr

Đây chính là nơi ẩn chứa phần lớn các vấn đề DKIM: một khóa bị sao chép thiếu (chúng rất dài), một selector khác với cái mà máy chủ thực sự sử dụng, hoặc một khóa chưa từng được công bố vì nhà cung cấp chờ kích hoạt thủ công. Cách kiểm tra đáng tin cậy duy nhất là gửi một email thật và xem header của nó khi đến nơi.

DMARC: chỉ dẫn khi thất bại

DMARC (Domain-based Message Authentication, Reporting and Conformance) liên kết hai cơ chế trên. Nó yêu cầu máy chủ nhận rằng: "nếu một tin nhắn tự nhận đến từ tên miền của tôi nhưng thất bại với SPF và DKIM, đây là những gì bạn cần làm với nó". Nó cũng cho phép nhận các báo cáo về những tin nhắn được gửi dưới danh nghĩa của bạn.

Một bản ghi DMARC khởi đầu trông như thế này:

v=DMARC1; p=none; rua=mailto:dmarc@votredomaine.fr

"p=none" có nghĩa là: không chặn gì cả, nhưng gửi báo cáo. Đây là chính sách tối thiểu mà Gmail và Yahoo yêu cầu, và là một điểm khởi đầu tốt. Khi bạn chắc chắn rằng mọi lần gửi hợp lệ của mình đều vượt qua xác thực, bạn có thể chuyển sang "p=quarantine" (đưa những tin nhắn chưa xác thực vào hộp thư rác), rồi sau đó có thể là "p=reject".

Một điểm tinh tế: DMARC yêu cầu tên miền được xác thực bởi SPF hoặc DKIM phải trùng với tên miền xuất hiện trong địa chỉ gửi. Đây là cái được gọi là sự căn chỉnh (alignment). Một email gửi từ paul@votredomaine.fr nhưng được DKIM ký bởi tên miền kỹ thuật của nhà cung cấp hosting có thể vượt qua DKIM mà vẫn thất bại với DMARC.

Kiểm tra các bản ghi của bạn trong năm phút

Bạn không cần phải là quản trị viên hệ thống. Ba bước kiểm tra là đủ:

1. Xem các bản ghi TXT của tên miền bạn bằng một công cụ tra cứu DNS trực tuyến. Bạn phải tìm thấy một dòng duy nhất bắt đầu bằng "v=spf1", và một dòng "v=DMARC1" tại địa chỉ _dmarc.votredomaine.fr.
2. Gửi một email từ hộp thư liên quan đến một địa chỉ Gmail cá nhân, mở nó ra và hiển thị thư gốc. Gmail chỉ rõ "SPF: PASS", "DKIM: PASS" và "DMARC: PASS", kèm theo tên miền được dùng cho từng cơ chế.
3. Kiểm tra rằng tên miền được chỉ ra cho DKIM đúng là của bạn, chứ không phải của nhà cung cấp hosting.

Trong SmartOutbound, việc kiểm tra này được thực hiện tự động: mỗi tên miền được xác minh hàng ngày, một email kiểm tra gửi đi khi kết nối hộp thư sẽ xác nhận chữ ký DKIM thực tế nhận được khi đến nơi, và nút "Kiểm tra DNS" trên trang hộp thư sẽ kích hoạt lại việc kiểm tra theo yêu cầu. Nếu thiếu DMARC và tên miền của bạn đang dùng Hostinger, công cụ thậm chí có thể thêm vào giúp bạn.

Còn những thứ khác thì sao?

Ba bản ghi này không đảm bảo email của bạn sẽ vào được hộp thư đến. Chúng chỉ đảm bảo rằng email sẽ không bị từ chối vì một lý do kỹ thuật có thể tránh được. Phần còn lại phụ thuộc vào uy tín tên miền của bạn, chất lượng danh sách của bạn và nội dung tin nhắn. Với những tên miền mới, cũng cần tính đến thời gian warmup. Và nếu bạn còn phân vân có nên prospecting từ tên miền chính của mình hay không, bài viết về tên miền riêng sẽ giúp bạn quyết định.