Tóm tắt nội dung chính (Key Takeaways)
- SPF (RFC 7208): Xác định danh sách các địa chỉ IP hoặc máy chủ gửi thư được ủy quyền đại diện cho tên miền của bạn.
- DKIM (RFC 6376): Sử dụng cặp khoá mật mã học bất đối xứng để gắn chữ ký điện tử vào tiêu đề thư, đảm bảo nội dung không bị chỉnh sửa trên đường truyền.
- DMARC (RFC 7489): Thiết lập chính sách hướng dẫn máy chủ nhận thư cách xử lý các email không vượt qua kiểm tra SPF/DKIM (chấp nhận, cách ly hoặc từ chối).
- Từ năm 2024, Google và Yahoo bắt buộc tất cả người gửi thư số lượng lớn (từ 5.000 email/ngày) phải có đầy đủ bản ghi SPF, DKIM và DMARC hợp lệ.
Khi một máy chủ nhận email (như Google Workspace, Microsoft 365 hay Yahoo Mail) tiếp nhận một bức thư gửi từ địa chỉ contact@yourcompany.com, hệ thống kiểm duyệt bảo mật sẽ tự động tiến hành một loạt các bước đối soát kỹ thuật để xác định bức thư đó có thực sự bắt nguồn từ chủ sở hữu tên miền hợp pháp hay là một cuộc tấn công giả mạo danh tính (Email Spoofing/Phishing).
Nếu tên miền không được thiết lập đầy đủ các bản ghi xác thực tại máy chủ quản lý DNS (Domain Name System), email sẽ bị xếp vào diện có rủi ro bảo mật cao, dẫn đến việc bị đẩy vào thư mục Thư rác (Spam) hoặc bị từ chối tiếp nhận hoàn toàn (Hard Bounce).
1. Tổng quan về ba cơ chế xác thực email cốt lõi
Để hiểu rõ cách các hệ thống bảo mật thư điện tử phối hợp, chúng ta xem xét vai trò độc lập và bổ trợ của từng giao thức:
Giao thức SPF (Sender Policy Framework)
SPF hoạt động như một danh bạ công khai trên hệ thống DNS của bạn. Bản ghi này khai báo cụ thể danh sách những máy chủ (thông qua địa chỉ IP hoặc cơ chế include của nhà cung cấp hạ tầng như Amazon SES, SendGrid, Mailgun) được phép phát hành thư dưới danh nghĩa tên miền của bạn.
Giao thức DKIM (DomainKeys Identified Mail)
DKIM cung cấp phương thức xác thực tính toàn vẹn của bức thư. Mỗi khi email được gửi ra từ máy chủ, một chữ ký mã hóa (digital signature) được tạo ra bằng Khóa riêng tư (Private Key) và nhúng vào tiêu đề email. Máy chủ nhận sẽ truy vấn Khóa công khai (Public Key) lưu trên DNS của bạn để giải mã và kiểm chứng rằng nội dung email không bị giả mạo hay thay đổi giữa chừng.
Giao thức DMARC (Domain-based Message Authentication, Reporting, and Conformance)
DMARC đóng vai trò là tầng liên kết và điều phối. Giao thức này yêu cầu máy chủ nhận đối soát xem tên miền hiển thị ở địa chỉ người gửi (Header From) có khớp với tên miền đã được xác thực bởi SPF và DKIM hay không (Alignment). Đồng thời, DMARC quy định hành động xử lý tiếp theo nếu quá trình xác thực thất bại và cung cấp kênh nhận báo cáo tổng hợp (RUA).
2. Cấu trúc và cú pháp bản ghi SPF chuẩn
Bản ghi SPF được xuất bản dưới dạng một bản ghi văn bản (TXT Record) tại thư mục gốc của tên miền:
Host / Name: @ (hoặc yourcompany.com)
Value / Content: v=spf1 include:amazonses.com ~all
Giải thích các tham số kỹ thuật trong bản ghi:
v=spf1: Khai báo phiên bản của giao thức SPF đang được áp dụng.include:amazonses.com: Uỷ quyền cho toàn bộ dải IP gửi thư của Amazon Simple Email Service (SES) được phép phát hành email đại diện cho tên miền. Nếu bạn sử dụng đồng thời SendGrid, cú pháp sẽ làinclude:sendgrid.net.~all(SoftFail): Chỉ định rằng nếu email được gửi từ một máy chủ không nằm trong danh sách khai báo, hệ thống nhận vẫn tiếp nhận thư nhưng gắn cờ nghi vấn (được khuyến nghị trong giai đoạn thử nghiệm).-all(HardFail): Chỉ định máy chủ nhận từ chối dứt khoát mọi bức thư phát sinh từ các nguồn không được ủy quyền.
v=spf1 include:_spf.google.com include:amazonses.com ~all.
3. Quy trình thiết lập bản ghi DKIM
Thiết lập DKIM thông thường bao gồm việc tạo ra cặp khoá mã hoá RSA 2048-bit. Khi bạn sử dụng các nhà cung cấp hạ tầng gửi qua eMailBase:
- Nhà cung cấp (Amazon SES, SendGrid, Mailgun) sẽ sinh ra 3 giá trị
CNAMEđại diện cho các Selector tương ứng (ví dụ:key1._domainkey.yourcompany.com). - Bạn truy cập vào bảng điều khiển DNS tên miền của mình và tạo 3 bản ghi
CNAMEvới các giá trị được cấp. - Hệ thống eMailBase sẽ tự động truy vấn và xác minh trạng thái kích hoạt sau khi bản ghi được phổ biến (DNS Propagation).
4. Lộ trình triển khai chính sách DMARC an toàn
Việc áp dụng chính sách DMARC nghiêm ngặt ngay từ đầu có thể dẫn đến việc từ chối nhầm các email hợp lệ nếu cấu hình SPF/DKIM chưa hoàn chỉnh. Quy trình chuẩn được chia thành 3 giai đoạn:
| Giai đoạn | Cú pháp chính sách | Mục đích vận hành |
|---|---|---|
| Giai đoạn 1: Giám sát (Monitor) | v=DMARC1; p=none; rua=mailto:dmarc@yourcompany.com |
Thu thập báo cáo tổng hợp mà không tác động đến luồng gửi thực tế. |
| Giai đoạn 2: Cách ly (Quarantine) | v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc@yourcompany.com |
Chuyển dần 25% email không đạt chuẩn vào thư mục Spam để đánh giá rủi ro. |
| Giai đoạn 3: Thực thi tuyệt đối (Reject) | v=DMARC1; p=reject; rua=mailto:dmarc@yourcompany.com |
Chặn đứng 100% mọi email giả danh tên miền từ các nguồn trái phép. |
5. Hướng dẫn kiểm tra và chẩn đoán lỗi DNS sau khi cài đặt
Sau khi hoàn tất việc thêm các bản ghi vào DNS, bạn có thể thực hiện kiểm tra bằng các công cụ dòng lệnh tiêu chuẩn:
dig +short TXT yourcompany.com
# Kiểm tra bản ghi DMARC
dig +short TXT _dmarc.yourcompany.com
Trong workspace eMailBase, toàn bộ quá trình đối soát này được thực hiện tự động thông qua công cụ DNS & Deliverability Manager, giúp phát hiện ngay lập tức các xung đột cú pháp hoặc thiếu sót bản ghi.