SPF, DKIM và DMARC là ba lớp email authentication — xác thực email giúp máy chủ nhận đánh giá email có thực sự đến từ hệ thống được domain cho phép hay không. Chúng bổ sung nhau: SPF (Sender Policy Framework) kiểm tra nguồn gửi được ủy quyền; DKIM (DomainKeys Identified Mail) xác minh chữ ký email; còn DMARC (Domain-based Message Authentication, Reporting & Conformance) kiểm tra alignment — sự khớp domain với địa chỉ From và cho phép đặt policy/reporting.
Tóm tắt: Quy trình an toàn là inventory sender — liệt kê toàn bộ hệ thống gửi → thiết lập SPF/DKIM đúng từng nền tảng → kiểm tra header thực tế → bật DMARC reporting — báo cáo → xử lý sender/alignment fail → tăng enforcement — mức thực thi chính sách — có kiểm soát. Không copy record mẫu khi chưa biết website, CRM, SMTP và marketing tool nào đang gửi thay domain.
SPF, DKIM và DMARC hoạt động cùng nhau thế nào?
| Cơ chế | Vai trò | Điểm cần kiểm tra |
|---|---|---|
| SPF | Cho phép nguồn gửi qua DNS TXT. | Sender inventory, include/lookup chain, Return-Path domain. |
| DKIM | Ký message bằng private key, verify bằng public key. | Selector, signing enabled, key/owner. |
| DMARC | Alignment + policy + aggregate reporting. | From-domain alignment với SPF hoặc DKIM, report và enforcement. |
Alignment nghĩa là domain được SPF hoặc DKIM xác thực phải phù hợp với domain người dùng nhìn thấy ở trường From theo quy tắc DMARC. Vì vậy “SPF pass” hoặc “DKIM pass” đơn lẻ chưa đủ để kết luận DMARC pass.
Inventory sender trước khi sửa DNS
Sender inventory là danh sách mọi hệ thống được phép gửi email thay domain. Một domain có thể gửi từ Google Workspace/Microsoft 365, WordPress, CRM, email marketing, helpdesk, payment hoặc automation. Nếu bật enforcement trước khi inventory đủ, sender hợp lệ có thể bị reject hoặc spam.
Inventory nên có service, From domain/subdomain, Return-Path — domain/địa chỉ dùng cho đường trả về và bounce nếu biết, DKIM selector, owner, loại email và revoke path khi sender không còn dùng.
Thiết lập SPF và DKIM theo từng sender
SPF nên phản ánh đúng các nguồn gửi hợp lệ và tránh nhiều record SPF cạnh tranh. DKIM phải publish đúng selector — tên định danh bộ khóa DKIM/public key và provider phải thực sự sign message. Không chỉ kiểm tra DNS; hãy gửi mail thử và đọc Authentication-Results trong header.
Rollout DMARC theo evidence, không bật reject ngay
Rollout là triển khai theo từng bước. Google khuyến nghị thiết lập SPF/DKIM trước DMARC và rollout dần: bắt đầu với policy quan sát, đọc report, sửa sender/alignment fail, rồi mới tăng quarantine — đưa email nghi ngờ vào khu vực cách ly/spam hoặc reject — từ chối nhận khi evidence đủ. Với sender gửi hơn 5.000 message/ngày tới tài khoản Gmail, Gmail hiện yêu cầu SPF và DKIM, DMARC tối thiểu p=none cùng các sender requirements khác.
DMARC report giúp tìm IP/service gửi thay domain, pass/fail rate và shadow sender — hệ thống gửi email chưa được quản trị nhận diện. Đừng chuyển thẳng sang enforcement mạnh chỉ vì một validator báo record “valid”.
Lỗi vận hành thường gặp
| Lỗi | Hệ quả |
|---|---|
| Thiếu sender trong SPF | SPF fail cho luồng hợp lệ. |
| Nhiều SPF record hoặc lookup chain quá phức tạp | Validation khó dự đoán hoặc fail. |
| DKIM selector/public key sai hoặc signing chưa bật | DKIM fail dù DNS có record. |
| Gateway sửa message sau khi ký | DKIM signature có thể fail. |
| DMARC enforcement trước khi inventory đủ | Email hợp lệ có thể bị quarantine/reject. |
WordPress và Email Deliverability
Form/contact/order email không nên chỉ dựa vào PHP mail không kiểm soát. Cần biết provider nào gửi, From domain nào, SPF/DKIM thuộc ai và message có pass authentication/alignment thực tế hay không. Xem Email Deliverability cho website.
DNS change phải có snapshot và rollback
SPF/DKIM/DMARC đều là DNS TXT record — bản ghi văn bản trong DNS. Khi chỉnh production domain, lưu exact record cũ, kiểm tra TTL (Time To Live — thời gian record được cache), validation và rollback theo DNS Change Management.
Checklist triển khai
- Inventory toàn bộ sender.
- SPF phản ánh đúng nguồn gửi hợp lệ.
- DKIM signing được bật và selector đúng.
- Kiểm tra header thực tế, không chỉ DNS.
- Bật DMARC reporting.
- Xử lý fail/alignment trước enforcement.
- Gỡ sender cũ và review khi thêm tool mới.
Kết luận
SPF, DKIM và DMARC là lớp email authentication trong Domain, DNS & Email Infrastructure Operations. Giá trị thực không nằm ở việc “có đủ ba record”, mà ở sender inventory → authentication thực tế → alignment → reporting → enforcement có kiểm soát.
Nguồn tham khảo: Gmail Email sender guidelines; Google Workspace – Recommended DMARC rollout.
Đoàn Trình Dục là Giảng viên Khoa Công nghệ Thông tin tại Đại học Công nghệ Sài Gòn (STU), với hơn 10 năm kinh nghiệm thực chiến trong các lĩnh vực Mạng máy tính, Marketing Online, SEO và Bảo mật hệ thống.
Với nền tảng sư phạm và kinh nghiệm tư vấn cho nhiều doanh nghiệp, thầy chuyên sâu vào việc xây dựng các giải pháp kỹ thuật số toàn diện và hiệu quả.
