Chống giả mạo email tên miền: SPF, DKIM, DMARC cho chủ shop

WebsiteScanner · 3/11/2026 · khoảng 8 phút đọc · English

Kịch bản quen thuộc: khách hoặc nhà cung cấp nhận email “từ” tên miền của shop, nói rằng tài khoản ngân hàng đã đổi và nhờ chuyển khoản sang số mới. Email trông y hệt thật — cùng tên miền, cùng chữ ký. Khi tiền đã chuyển đi, người bị trách là thương hiệu của bạn.

Lý do việc này làm được: giao thức email ra đời từ thời chưa ai nghĩ tới chuyện giả mạo, nên dòng “Người gửi” có thể ghi bất cứ gì. SPF, DKIM và DMARC là ba bản ghi DNS bổ sung để hộp thư nhận phân biệt thư thật với thư giả. Chúng miễn phí, chỉ cần thêm vào trang quản lý DNS của tên miền.

Hiểu nhanh ba khái niệm

Hãy hình dung tên miền của bạn là một công ty gửi thư:

• SPF là danh sách bưu cục được phép gửi thư nhân danh công ty. Thư đến từ bưu cục khác thì đáng ngờ.
• DKIM là con dấu trên từng lá thư. Hộp thư nhận kiểm tra con dấu bằng “mẫu dấu” công khai trong DNS; nếu thư bị sửa dọc đường, dấu không khớp.
• DMARC là quy định của công ty: thư không qua được SPF hoặc DKIM thì xử lý thế nào — cứ giao (none), cho vào thư rác (quarantine) hay từ chối (reject) — và gửi báo cáo về địa chỉ nào.

Một chi tiết quan trọng: DMARC chỉ tính là đạt khi SPF hoặc DKIM đạt với đúng tên miền hiển thị ở dòng Người gửi. Đây là lý do có SPF thôi chưa đủ chặn giả mạo.

Từ năm 2024, Gmail và Yahoo yêu cầu người gửi số lượng lớn phải có SPF, DKIM và DMARC. Kể cả khi bạn gửi ít, thiếu chúng thì email thật cũng dễ vào thư rác hơn.

Bước 1: Kiểm tra hiện trạng

Trước khi sửa, xem tên miền đang có gì. Nhập tên miền vào công cụ kiểm tra SPF, DMARC để đọc bản ghi hiện tại. Rồi gửi một email từ hộp thư công ty tới một địa chỉ Gmail, mở email, chọn Hiển thị bản gốc: Gmail ghi rõ SPF, DKIM, DMARC là PASS hay FAIL.

Bước 2: Liệt kê mọi dịch vụ gửi email bằng tên miền

Đây là bước hay bị bỏ sót nhất. Ngoài hộp thư chính, tên miền của bạn có thể đang được dùng để gửi email từ:

• Google Workspace hoặc Microsoft 365, hoặc email đi kèm hosting.
• Dịch vụ email marketing, gửi bản tin.
• Phần mềm bán hàng, hoá đơn điện tử, hệ thống đặt lịch gửi xác nhận cho khách.
• Form liên hệ và thông báo đơn hàng của website (WordPress, WooCommerce…).
• Phần mềm chăm sóc khách hàng, helpdesk.

Ghi lại từng dịch vụ. Mỗi dịch vụ đều có trang hướng dẫn SPF và DKIM riêng.

Bước 3: Tạo một bản ghi SPF duy nhất

Thêm bản ghi loại TXT, Host @. Ví dụ:

v=spf1 include:_spf.google.com ~all                 # chỉ Google Workspace
v=spf1 include:spf.protection.outlook.com ~all      # chỉ Microsoft 365
v=spf1 include:_spf.google.com include:dichvu-marketing.example ~all   # gộp nhiều dịch vụ

• Chỉ một bản ghi SPF cho mỗi tên miền. Hai bản ghi sẽ làm SPF bị lỗi — gộp các include: vào một dòng.
• ~all nghĩa là “nguồn khác thì đáng ngờ”, -all là “nguồn khác thì từ chối”. Bắt đầu với ~all và để DMARC quyết định.
• Không bao giờ dùng +all: nó cho phép cả thế giới gửi thư nhân danh bạn.
• SPF giới hạn 10 lượt tra DNS. Dùng quá nhiều dịch vụ có thể vượt giới hạn; công cụ kiểm tra sẽ báo.

Bước 4: Bật DKIM ở từng dịch vụ

DKIM không tự viết được, vì khoá do dịch vụ email tạo ra. Cách làm chung: vào trang quản trị của dịch vụ, tìm mục DKIM hoặc “xác thực email/tên miền”, lấy bản ghi được cấp (TXT hoặc CNAME), thêm vào DNS, rồi quay lại bấm bật.

• Google Workspace: Bảng điều khiển quản trị → Ứng dụng → Google Workspace → Gmail → Xác thực email. Tạo bản ghi, thêm TXT tại google._domainkey, chờ DNS cập nhật rồi bấm Bắt đầu xác thực.
• Microsoft 365: trong Microsoft Defender, mục cài đặt xác thực email → DKIM. Microsoft cấp hai bản ghi CNAME selector1._domainkey và selector2._domainkey.
• Dịch vụ email marketing, phần mềm bán hàng: thường có mục “xác thực tên miền gửi” cấp sẵn các bản ghi CNAME.

Công cụ kiểm tra từ bên ngoài không đoán được DKIM, vì mỗi dịch vụ dùng một “selector” riêng. Dùng cách “Hiển thị bản gốc” trong Gmail ở bước 1 để xác nhận DKIM = PASS.

Bước 5: Thêm DMARC ở chế độ theo dõi

Thêm bản ghi TXT, Host _dmarc:

v=DMARC1; p=none; rua=mailto:dmarc@shopcuaban.vn

p=none chưa chặn gì, chỉ yêu cầu các hộp thư lớn gửi báo cáo tổng hợp về địa chỉ trong rua. Nên dùng một hộp thư riêng, vì báo cáo là file XML gửi hằng ngày. Có nhiều dịch vụ đọc báo cáo DMARC (một số có gói miễn phí) giúp chuyển chúng thành bảng dễ hiểu.

Bước 6: Đọc báo cáo trong 2–4 tuần

Báo cáo cho biết những máy chủ nào đã gửi email bằng tên miền của bạn và chúng đạt hay trượt SPF, DKIM. Bạn sẽ thấy hai loại nguồn:

• Nguồn của bạn nhưng trượt: một dịch vụ bị quên ở bước 2. Thêm vào SPF hoặc bật DKIM cho nó.
• Nguồn lạ: đó chính là những kẻ đang giả mạo tên miền — thứ bạn muốn chặn.

Bước 7: Nâng dần lên quarantine, rồi reject

Khi mọi nguồn hợp lệ đã đạt, đổi chính sách:

v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc@shopcuaban.vn
v=DMARC1; p=quarantine; rua=mailto:dmarc@shopcuaban.vn
v=DMARC1; p=reject; rua=mailto:dmarc@shopcuaban.vn

pct=25 chỉ áp dụng cho một phần tư số thư trượt, để thử an toàn. Mỗi lần nâng, theo dõi thêm một hai tuần. Đến p=reject, email giả mạo tên miền của bạn sẽ bị các hộp thư lớn từ chối.

Tên miền không dùng để gửi email

Tên miền phụ, tên miền dự phòng hay tên miền chỉ dùng cho website vẫn có thể bị giả mạo. Khoá hẳn chúng bằng hai bản ghi:

@        TXT  v=spf1 -all
_dmarc   TXT  v=DMARC1; p=reject

Lỗi hay gặp

• Hai bản ghi SPF, hoặc bản ghi DMARC đặt ở Host @ thay vì _dmarc.
• Quên form website hoặc phần mềm hoá đơn, nên khi bật reject thì email xác nhận đơn của chính bạn bị chặn.
• Để p=none mãi mãi — khi đó email giả mạo vẫn được giao.
• Nhà cung cấp DNS tự thêm dấu ngoặc kép hoặc tên miền vào Host; kiểm tra lại bằng công cụ sau khi lưu.

Câu hỏi thường gặp