SPF, DKIM và DMARC là gì? Vì sao email doanh nghiệp vẫn vào Spam?
Hiểu xác thực và alignment của email, inventory mọi nguồn gửi và triển khai DMARC theo lộ trình quan sát, quarantine rồi reject.
Email có SPF không đồng nghĩa mọi thư sẽ vào inbox. Hệ thống nhận còn xem DKIM, DMARC alignment, danh tiếng nguồn gửi, nội dung, hành vi người nhận và nhiều tín hiệu khác. Ba chuẩn xác thực giúp chứng minh nguồn và chính sách xử lý giả mạo; chúng không phải cam kết về vị trí hộp thư.
Sai lầm thường gặp là chỉ thêm dịch vụ email chính vào SPF nhưng bỏ quên CRM, website, nền tảng marketing, thiết bị scan hoặc hệ thống giao dịch đang gửi thay mặt domain.
Hướng dẫn thực hành
Ba chuẩn phối hợp thế nào
Áp dụng theo phạm vi, rủi ro và năng lực vận hành của doanh nghiệp.
SPF cho biết máy chủ nào được phép gửi theo envelope domain. DKIM ký một phần nội dung và header bằng domain. DMARC yêu cầu SPF hoặc DKIM phải pass và align với domain hiển thị trong From, đồng thời công bố policy và địa chỉ nhận report.
Một thư có SPF pass vẫn có thể DMARC fail nếu domain không align. Forwarding cũng có thể làm SPF thất bại, trong khi DKIM còn nguyên nếu nội dung không bị sửa.
Hướng dẫn thực hành
Inventory nguồn gửi trước khi enforce
Áp dụng theo phạm vi, rủi ro và năng lực vận hành của doanh nghiệp.
Lập danh sách Microsoft 365, CRM, marketing, website, helpdesk, hóa đơn, ERP, thiết bị và nhà cung cấp gửi mail. Với từng nguồn, ghi envelope domain, DKIM signing domain, IP/include, owner và volume.
Không tạo nhiều SPF TXT cho cùng domain và theo dõi giới hạn DNS lookup. Ưu tiên DKIM bằng custom domain cho bên thứ ba khi hỗ trợ.
Hướng dẫn thực hành
DMARC theo lộ trình có quan sát
Áp dụng theo phạm vi, rủi ro và năng lực vận hành của doanh nghiệp.
Bắt đầu với policy quan sát, thu aggregate report và phân loại nguồn hợp lệ/chưa biết. Sửa SPF/DKIM, xử lý alignment rồi tăng dần policy quarantine hoặc reject theo tỷ lệ và subdomain phù hợp.
Kiểm tra message header, trace và các luồng đặc biệt sau thay đổi. Giữ rollback DNS và owner chịu trách nhiệm; tránh bật reject ngay khi inventory chưa hoàn chỉnh.
Hướng dẫn thực hành
Câu hỏi thường gặp
Các câu hỏi cần làm rõ trước khi triển khai.
SPF pass là đủ chưa?
Chưa. Cần DKIM, DMARC alignment và vận hành nguồn gửi.
DMARC reject có làm mất mail thật?
Có thể nếu nguồn hợp lệ chưa được cấu hình; vì vậy cần quan sát và tăng dần enforcement.
Các nền tảng gửi mail có nên dùng domain riêng?
Subdomain theo mục đích có thể giúp phân tách danh tiếng và policy, nhưng phải được quản trị.
FlowNexa
Kiểm tra toàn bộ đường gửi email
FlowNexa rà DNS, nguồn gửi, alignment và lộ trình DMARC trước khi tăng enforcement.
Rà soát email
[Liên hệ FlowNexa](https://flownexa.ai/vi/contact)
