SPF, DKIM và DMARC thường được nhắc cùng nhau nhưng không phải ba bản ghi giống nhau. Chúng bổ sung cho nhau để giúp hệ thống nhận biết email nào được phép gửi thay mặt tên miền và xử lý thư không vượt qua kiểm tra xác thực.
SPF: ai được phép gửi mail cho domain?
SPF là TXT record công bố các máy chủ/dịch vụ được phép gửi email cho domain. Khi doanh nghiệp sử dụng Microsoft 365 cùng các hệ thống như website, CRM hoặc phần mềm hóa đơn, cần kiểm kê nguồn gửi trước khi chỉnh SPF.
DKIM: chữ ký số cho email gửi đi
DKIM ký email bằng khóa riêng và công bố khóa công khai trong DNS. Hệ thống nhận có thể kiểm tra thư có bị thay đổi và có được ký bởi domain phù hợp hay không.
DMARC: chính sách và báo cáo
DMARC sử dụng kết quả SPF/DKIM cùng khái niệm alignment để quyết định cách xử lý email giả mạo. Doanh nghiệp có thể bắt đầu ở chế độ theo dõi rồi tăng dần mức xử lý.
Trình tự triển khai an toàn
- Kiểm kê tất cả nguồn gửi email.
- Chuẩn hóa SPF, tránh tạo nhiều record SPF riêng biệt.
- Bật DKIM cho Microsoft 365 và các dịch vụ hỗ trợ.
- Tạo DMARC ở chế độ giám sát.
- Đọc báo cáo, bổ sung nguồn hợp lệ còn thiếu.
- Tăng policy khi đã đủ dữ liệu.
Sai lầm thường gặp
- Dùng p=reject ngay khi chưa biết đầy đủ nguồn gửi.
- Quên hệ thống website/contact form.
- Tạo SPF quá dài hoặc nhiều lần include không cần thiết.
- Chỉ cấu hình SPF mà bỏ DKIM/DMARC.
- Không theo dõi báo cáo sau khi bật DMARC.
SPF/DKIM/DMARC là một phần của quản trị email; kết hợp với MFA, endpoint protection và an ninh mạng doanh nghiệp sẽ tạo lớp bảo vệ thực tế hơn.
Câu hỏi thường gặp
DMARC có chặn hoàn toàn phishing không?
Không. DMARC chủ yếu giúp chống giả mạo domain; phishing vẫn có thể đến từ domain khác.
Có nên dùng reject ngay?
Chỉ khi đã kiểm kê và xác minh nguồn gửi; triển khai theo giai đoạn thường an toàn hơn.
Cần rà cấu hình email Microsoft 365?
SMNET hỗ trợ Microsoft 365, DNS email, MFA và quản trị người dùng cho doanh nghiệp.
Tìm hiểu Microsoft 365 · Hotline 028 7301 6068 · hello@smnet.vn
