Cấu hình SPF, DKIM, DMARC để email doanh nghiệp không vào thư rác

Email gửi từ địa chỉ theo tên miền (ví dụ ten@congty.vn) có thể bị đưa vào thư rác hoặc bị từ chối nếu tên miền chưa khai báo đủ bản ghi xác thực. Máy chủ nhận thư dựa vào ba bản ghi DNS: SPF, DKIM và DMARC để biết thư có đúng là do bạn gửi hay không.

Trước khi bắt đầu

• Biết tên miền đang được quản lý DNS ở đâu (nơi đăng ký tên miền, hosting hay dịch vụ DNS riêng). Mọi bản ghi dưới đây đều tạo ở nơi đó.
• Lấy thông tin cấu hình từ nhà cung cấp dịch vụ email bạn dùng: bản ghi MX, giá trị SPF và khoá DKIM. Các giá trị trong bài chỉ là ví dụ, không dùng nguyên văn.
• Liệt kê mọi dịch vụ gửi email thay cho tên miền: hộp thư doanh nghiệp, website gửi thông báo, công cụ gửi email marketing. Mỗi dịch vụ đều phải được khai báo.

SPF: ai được phép gửi thư

SPF là một bản ghi TXT đặt ở tên miền gốc, liệt kê máy chủ được phép gửi email cho tên miền. Ví dụ:

Tên   Loại   Giá trị
@     TXT    "v=spf1 include:_spf.mail.example.net ~all"

• include: thêm danh sách máy chủ của một nhà cung cấp, mỗi dịch vụ gửi thư một mục.
• ~all ở cuối: thư từ nơi không có trong danh sách bị đánh dấu đáng ngờ. -all chặt hơn, chỉ dùng khi chắc chắn đã liệt kê đủ.
• Mỗi tên miền chỉ có một bản ghi SPF. Thêm dịch vụ mới thì gộp vào bản ghi đang có, không tạo bản ghi thứ hai.

DKIM: chữ ký trên từng email

DKIM gắn chữ ký số vào mỗi email gửi đi. Máy chủ nhận dùng khoá công khai trong DNS để kiểm tra chữ ký, nếu nội dung bị sửa trên đường đi thì chữ ký không khớp.

Nhà cung cấp email tạo cặp khoá và cho bạn một bản ghi dạng:

Tên                 Loại   Giá trị
selector._domainkey TXT    "v=DKIM1; k=rsa; p=MIIBIjANBgkqh..."

Phần selector do nhà cung cấp đặt. Chép đúng tên và toàn bộ giá trị khoá, không thêm hay bớt ký tự. Sau khi tạo bản ghi, bật ký DKIM trong phần quản trị email nếu nhà cung cấp yêu cầu.

DMARC: xử lý thư không qua kiểm tra

DMARC cho máy chủ nhận biết nên làm gì với thư không qua SPF hoặc DKIM, và gửi báo cáo về cho bạn. Bản ghi đặt ở tên _dmarc:

Tên      Loại   Giá trị
_dmarc   TXT    "v=DMARC1; p=none; rua=mailto:dmarc@congty.vn"

Nên đi từng bước:

1. Bắt đầu với p=none: chỉ theo dõi, chưa chặn thư nào. Đọc báo cáo gửi về địa chỉ trong rua để phát hiện dịch vụ gửi thư còn thiếu trong SPF hoặc DKIM.
2. Khi báo cáo cho thấy thư hợp lệ đều qua kiểm tra, chuyển sang p=quarantine (đưa thư không đạt vào thư rác).
3. Cuối cùng có thể dùng p=reject để từ chối hẳn thư giả mạo tên miền.

Kiểm tra sau khi cấu hình

Bản ghi DNS mới cần thời gian để có hiệu lực. Sau đó, kiểm tra bằng dòng lệnh:

nslookup -type=TXT congty.vn
nslookup -type=TXT selector._domainkey.congty.vn
nslookup -type=TXT _dmarc.congty.vn

Cách kiểm tra thực tế nhất: gửi một email tới hộp thư cá nhân ở dịch vụ khác, mở phần xem nguồn hoặc chi tiết thư và tìm kết quả spf=pass, dkim=pass, dmarc=pass.