SPF DKIM DMARC khác nhau thế nào?

Phân biệt SPF, DKIM và DMARC là bước nền tảng giúp doanh nghiệp hiểu rõ chức năng và cơ chế hoạt động của từng chuẩn xác thực email, từ đó cấu hình chính xác và hạn chế tối đa tình trạng giả mạo domain.

SPF DKIM DMARC khác nhau ở điểm nào?

Sự khác biệt cốt lõi nằm ở đối tượng mà từng cơ chế kiểm tra. SPF xác minh nguồn gửi theo địa chỉ IP và chính sách DNS; DKIM xác minh chữ ký số gắn với email; còn DMARC sử dụng kết quả SPF, DKIM và cơ chế alignment để đánh giá email có được xác thực phù hợp với domain trong trường From: hay không.

Nhìn vào bảng trên, có thể thấy SPF DKIM DMARC khác nhau về cơ chế nhưng bổ trợ cho nhau. Không nên coi một trong ba là phương án thay thế hoàn toàn cho hai cơ chế còn lại.

SPF là gì và hoạt động như thế nào?

SPF là viết tắt của Sender Policy Framework. Đây là cơ chế cho phép chủ sở hữu domain công bố những máy chủ nào được phép gửi email sử dụng domain đó trong thông tin xác thực SMTP.

Khi một máy chủ nhận email, nó có thể kiểm tra địa chỉ IP kết nối với bản ghi SPF của domain được sử dụng trong SMTP envelope, thường là domain của MAIL FROM. Trong một số trường hợp, cơ chế kiểm tra cũng sử dụng domain HELO/EHLO.

Ví dụ bản ghi SPF

Một domain có thể sử dụng bản ghi minh họa sau:

example.com. TXT "v=spf1 ip4:192.0.2.10 include:_spf.example.net -all"

Trong đó:

• v=spf1: khai báo phiên bản SPF.

• ip4:192.0.2.10: cho phép IP minh họa gửi thư.

• include:_spf.example.net: tham chiếu chính sách SPF của một nguồn gửi khác.

• -all: đánh dấu những nguồn không khớp là không được phép theo chính sách SPF.

Địa chỉ IP và domain trong ví dụ chỉ có tính minh họa, không nên sao chép vào hệ thống thực tế nếu chưa xác minh nguồn gửi.

SPF có hạn chế gì?

SPF không trực tiếp xác minh nội dung thư và không đảm bảo email sẽ vào Inbox. Ngoài ra, khi email được chuyển tiếp, IP của máy chủ chuyển tiếp có thể không nằm trong SPF của domain ban đầu, dẫn đến SPF thất bại.

Vì vậy, khi tìm hiểu SPF DKIM DMARC khác nhau, cần nhớ rằng SPF chủ yếu trả lời câu hỏi: Máy chủ này có được phép gửi email theo chính sách của domain đang được kiểm tra không?

DKIM là gì và khác SPF như thế nào?

DKIM là viết tắt của DomainKeys Identified Mail. Cơ chế này sử dụng mật mã khóa công khai để gắn chữ ký số vào email. Máy chủ gửi ký những phần được chỉ định trong thư bằng khóa riêng, trong khi máy chủ nhận dùng public key được công bố trong DNS để xác minh chữ ký.

Nếu email bị sửa đổi ở những phần được chữ ký bảo vệ, quá trình kiểm tra DKIM có thể thất bại.

Ví dụ bản ghi DKIM

Một bản ghi DKIM có thể có dạng:

selector1._domainkey.example.com. TXT "v=DKIM1; k=rsa; p=PUBLIC_KEY"

Trong đó:

• selector1: selector do hệ thống gửi sử dụng.

• _domainkey: nhánh DNS dành cho DKIM.

• v=DKIM1: chỉ định phiên bản DKIM.

• k=rsa: loại khóa trong ví dụ.

• p=PUBLIC_KEY: vị trí chứa public key thực tế; giá trị trên chỉ là phần giữ chỗ minh họa.

Selector và khóa thực tế phải lấy từ hệ thống ký DKIM đang sử dụng.

DKIM có ưu điểm gì so với SPF?

DKIM có thể duy trì khả năng xác thực chữ ký khi email được chuyển tiếp, miễn là các phần được ký không bị thay đổi theo cách làm chữ ký mất hiệu lực. Đây là điểm khác biệt quan trọng so với SPF, vốn kiểm tra IP của kết nối gửi đến.

Tuy nhiên, DKIM pass không có nghĩa mọi thông tin hiển thị trong email đều đáng tin cậy. Một email giả mạo vẫn có thể được ký hợp lệ bởi một domain khác. Vì vậy, cần kết hợp DKIM với DMARC alignment.

Khi phân tích SPF DKIM DMARC khác nhau, hãy nhớ rằng DKIM trả lời câu hỏi: Chữ ký của domain ký email có hợp lệ và các phần được bảo vệ có còn nguyên vẹn không?

DMARC là gì và giải quyết vấn đề nào?

DMARC là viết tắt của Domain-based Message Authentication, Reporting and Conformance. Cơ chế này giúp chủ sở hữu domain xác định cách xử lý email không vượt qua yêu cầu xác thực phù hợp, đồng thời có thể nhận báo cáo về hoạt động gửi thư.

DMARC không thay thế SPF hoặc DKIM. Thay vào đó, nó yêu cầu ít nhất một trong hai cơ chế SPF hoặc DKIM phải pass và đạt điều kiện alignment với domain trong trường From: để DMARC pass.

Ví dụ bản ghi DMARC

_dmarc.example.com. TXT "v=DMARC1; p=none; rua=mailto:dmarc-reports@example.com"

Trong đó:

• v=DMARC1: khai báo phiên bản DMARC.

• p=none: chỉ theo dõi, không yêu cầu người nhận áp dụng chính sách quarantine hoặc reject từ bản ghi này.

• rua=mailto:dmarc-reports@example.com: địa chỉ nhận báo cáo tổng hợp, nếu bên nhận hỗ trợ và việc gửi báo cáo được thực hiện.

Địa chỉ nhận báo cáo cần được thiết lập phù hợp với domain và khả năng xử lý dữ liệu của doanh nghiệp. Báo cáo có thể chứa thông tin kỹ thuật về lưu lượng email, vì vậy cần có quy trình phân tích và lưu trữ phù hợp.

DMARC alignment là gì?

Alignment là điều kiện so sánh domain xác thực với domain hiển thị cho người nhận trong trường From:.

Ví dụ, email hiển thị người gửi là sales@example.com, nhưng SPF được xác thực với một domain envelope khác. SPF vẫn có thể pass về mặt kỹ thuật, nhưng chưa chắc đạt DMARC alignment.

Tương tự, DKIM có thể pass với chữ ký của một domain khác với domain trong From:. Trong trường hợp đó, DKIM pass chưa đủ để bảo đảm DMARC pass.

Đây chính là một lý do quan trọng khiến SPF DKIM DMARC khác nhau không chỉ ở cách xác thực mà còn ở phạm vi bảo vệ.

Nên cấu hình SPF, DKIM và DMARC như thế nào để đạt hiệu quả cao?

Để triển khai SPF, DKIM và DMARC hiệu quả, doanh nghiệp nên thực hiện theo từng giai đoạn thay vì bật chính sách nghiêm ngặt ngay từ đầu. Quy trình phù hợp là xác định tất cả nguồn gửi, thiết lập xác thực, theo dõi báo cáo rồi mới nâng chính sách DMARC khi đã kiểm soát được lưu lượng hợp lệ.

Bước 1: Liệt kê tất cả nguồn gửi email

Trước tiên, hãy xác định toàn bộ hệ thống gửi thư của doanh nghiệp, chẳng hạn như:

• Máy chủ email nội bộ.

• Postfix hoặc SMTP relay.

• Nền tảng Email Marketing.

• CRM gửi thông báo.

• Dịch vụ gửi email giao dịch.

Đây là bước quan trọng vì nếu bỏ sót một nguồn gửi hợp lệ, email từ hệ thống đó có thể gặp lỗi xác thực sau khi thay đổi DNS.

Bước 2: Thiết lập SPF và DKIM

Cấu hình SPF để bao gồm các nguồn gửi hợp lệ. Với DKIM, tạo khóa, khai báo public key trên DNS và cấu hình máy chủ ký email bằng private key tương ứng.

Google khuyến nghị sử dụng khóa DKIM tối thiểu 1.024 bit khi gửi đến Gmail cá nhân và khuyến nghị 2.048 bit nếu hệ thống hỗ trợ. <Link url="https://support.google.com/mail/answer/81126?hl=vi" title="Xem hướng dẫn xác thực email của Google"/>.

Bước 3: Triển khai DMARC ở chế độ theo dõi

Ban đầu, có thể sử dụng chính sách:

_dmarc.example.com. TXT "v=DMARC1; p=none; rua=mailto:dmarc-reports@example.com"

Sau đó, phân tích báo cáo để xác định nguồn gửi hợp lệ, email giả mạo và những trường hợp chưa đạt alignment.

Khi đã xác nhận các hệ thống gửi hợp lệ đều hoạt động đúng, doanh nghiệp có thể cân nhắc chuyển sang p=quarantine rồi p=reject. Việc nâng chính sách cần được thực hiện thận trọng để tránh chặn nhầm email hợp lệ.

SPF DKIM DMARC khác nhau thế nào khi kiểm tra header email thực tế?

Cách đơn giản để hiểu SPF DKIM DMARC khác nhau là kiểm tra header của một email đã gửi đến Gmail.

Trong Gmail, mở email, chọn menu ba chấm rồi chọn Show original (Hiển thị thư gốc). Tại đây, bạn có thể xem các kết quả xác thực.

Ví dụ:

SPF: PASS

DKIM: PASS

DMARC: PASS

Kết quả này cho biết email đã vượt qua các bước xác thực tương ứng. Tuy nhiên, nó không bảo đảm email chắc chắn vào Inbox vì hệ thống nhận còn đánh giá reputation, nội dung, hành vi người nhận và các tín hiệu chống spam khác.

Nếu kết quả là:

SPF: PASS

DKIM: PASS

DMARC: FAIL

Hãy kiểm tra alignment giữa domain xác thực và domain trong From:. SPF và DKIM có thể pass riêng lẻ nhưng vẫn không đáp ứng điều kiện DMARC nếu không có cơ chế nào đạt alignment.

Ngược lại, nếu SPF fail nhưng DKIM pass và DKIM alignment hợp lệ, DMARC vẫn có thể pass. Đây là điểm đặc biệt quan trọng khi phân tích SPF DKIM DMARC khác nhau trên hệ thống SMTP có chuyển tiếp email.

Những lỗi thường gặp khi cấu hình SPF, DKIM và DMARC là gì?

Một số lỗi phổ biến gồm:

• Tạo nhiều bản ghi SPF: Một domain không nên có nhiều bản ghi SPF riêng biệt cùng áp dụng cho một tên DNS.

• Khai báo sai DKIM selector: Tên selector trên DNS không khớp với selector trong chữ ký email.

• Bỏ sót nguồn gửi: CRM hoặc dịch vụ gửi bên thứ ba chưa được đưa vào cấu hình xác thực thích hợp.

• DMARC không đạt alignment: Domain xác thực không phù hợp với domain trong From:.

• Chuyển sang p=reject quá sớm: Email hợp lệ từ một nguồn chưa được kiểm kê có thể bị từ chối.

• Cho rằng xác thực thành công đồng nghĩa vào Inbox: SPF, DKIM và DMARC không thay thế việc quản lý reputation và chất lượng danh sách.

Hiểu đúng SPF DKIM DMARC khác nhau sẽ giúp quản trị viên xử lý lỗi theo đúng nguyên nhân thay vì chỉnh sửa DNS một cách thử nghiệm.

Câu hỏi thường gặp về SPF DKIM DMARC khác nhau

Có bắt buộc phải cấu hình cả SPF, DKIM và DMARC không?

Google yêu cầu tất cả người gửi đến tài khoản Gmail cá nhân phải có SPF hoặc DKIM; người gửi trên 5.000 email mỗi ngày đến Gmail cá nhân phải thiết lập cả SPF, DKIM và DMARC. Yahoo cũng có yêu cầu xác thực riêng cho bulk sender. Do đó, cấu hình cả ba là hướng triển khai phù hợp cho hệ thống email doanh nghiệp. <Link url="https://support.google.com/mail/answer/81126?hl=vi" title="Nguồn: Google Email sender guidelines"/>.

SPF pass nhưng email vẫn vào Spam, vì sao?

SPF pass chỉ cho biết nguồn gửi vượt qua phép kiểm tra SPF. Email vẫn có thể vào Spam do domain hoặc IP reputation, nội dung, spam complaint, chất lượng danh sách hoặc những tín hiệu khác từ hệ thống nhận thư.

DKIM pass có nghĩa email không thể bị giả mạo không?

Không. DKIM xác minh chữ ký của domain ký email và tính toàn vẹn của những phần được ký. Nó không tự xác nhận rằng tên người gửi hiển thị trong From: là domain mà người nhận mong đợi. DMARC alignment giúp giải quyết một phần vấn đề này.

DMARC có hoạt động nếu chưa cấu hình SPF không?

Có thể. DMARC có thể pass nếu DKIM pass và đạt alignment với domain trong From:. Tuy nhiên, doanh nghiệp nên triển khai cả SPF và DKIM để tăng khả năng xác thực và đáp ứng yêu cầu của các nhà cung cấp email lớn.

Có nên đặt DMARC thành p=reject ngay từ đầu không?

Không nên nếu chưa kiểm kê đầy đủ nguồn gửi và chưa phân tích báo cáo. Hãy bắt đầu bằng p=none, xác định các nguồn gửi hợp lệ, xử lý lỗi alignment rồi nâng chính sách khi đã sẵn sàng.

Kết luận

SPF, DKIM và DMARC đảm nhiệm ba vai trò khác nhau nhưng bổ trợ chặt chẽ trong bảo mật email. SPF xác minh nguồn gửi, DKIM xác minh chữ ký điện tử, còn DMARC kiểm tra alignment và cho phép domain công bố chính sách xử lý email không đạt yêu cầu.

Khi hiểu rõ SPF DKIM DMARC khác nhau, doanh nghiệp có thể xây dựng cấu hình xác thực hợp lý, giảm nguy cơ giả mạo domain và hỗ trợ cải thiện khả năng phân phối email. Tuy nhiên, để email hoạt động ổn định, cần kết hợp xác thực với quản lý IP reputation, domain reputation, danh sách người nhận và tần suất gửi.

P.A Việt Nam – Nhà cung cấp Email Server dành cho doanh nghiệp hàng đầu Việt Nam

Email Server Pro

Google Workspace

Microsoft 365

Hybrid Email

Giải Pháp Mail Theo Yêu Cầu

Tham khảo các ưu đãi: https://www.pavietnam.vn/vn/uu-dai-tong-hop.html

Tham khảo các bài viết về Email Server khác tại đây!