MX, SPF, DKIM, DMARC là gì?
Bốn bản ghi quyết định thư của bạn đi đâu, và có được tin không.
Trả lời ngắn
MX nói cho thế giới biết thư gửi TỚI tên miền của bạn phải giao về máy chủ nào. Ba cái còn lại lo chuyện ngược lại — chứng minh thư GỬI ĐI từ tên miền bạn là thật: SPF liệt kê ai được phép gửi thay bạn, DKIM ký số lên từng thư, DMARC bảo bên nhận phải làm gì khi hai cái kia không đạt. MX làm bạn nhận được thư; ba cái kia làm thư của bạn được tin.
MX: thư gửi tới thì giao về đâu
Khi ai đó gửi thư cho ban@congty.vn, máy chủ của họ hỏi DNS: «thư cho congty.vn giao đi đâu?». Bản ghi MX là câu trả lời. Nó trỏ tới tên máy chủ nhận thư, kèm một con số ưu tiên — số NHỎ hơn được thử trước, dùng khi có nhiều máy chủ dự phòng.
Đặt sai thì: không nhận được thư nào cả, hoặc thư vẫn chạy về nhà cung cấp cũ. Đây là bản ghi duy nhất trong bốn cái mà đặt sai khiến bạn mất thư ngay lập tức.
SPF: ai được phép gửi thư thay bạn
SPF là một dòng chữ khai trong DNS, liệt kê những hệ thống được phép gửi thư mang tên miền của bạn. Bên nhận đối chiếu: thư này đến từ máy chủ nằm trong danh sách hay không. Nếu công ty bạn gửi thư từ nhiều nơi — dịch vụ email, phần mềm bán hàng, biểu mẫu trên website — thì TẤT CẢ phải có mặt trong dòng này.
Đặt sai thì: thư đi vào spam, hoặc bị từ chối thẳng. Lỗi hay gặp nhất là có HAI dòng SPF cho cùng một tên miền — chuẩn chỉ cho phép một; hai dòng làm hỏng cả hai.
DKIM: chữ ký số trên từng thư
SPF chỉ kiểm thư đến TỪ ĐÂU, không kiểm nội dung có bị sửa dọc đường không. DKIM lấp chỗ đó: máy chủ gửi ký một chữ ký mật mã lên thư, và công bố khoá công khai trong DNS để bên nhận đối chiếu. Khớp nghĩa là thư đúng do tên miền của bạn phát ra và không bị chỉnh sửa sau khi gửi.
Đặt sai thì: thư mất tin cậy dù SPF vẫn đạt. DKIM cũng là thứ giữ được xác thực khi thư bị chuyển tiếp — trường hợp mà SPF gần như luôn hỏng.
DMARC: không đạt thì xử lý ra sao
SPF và DKIM cho ra kết quả đạt hoặc không, nhưng tự chúng không nói bên nhận phải làm gì khi không đạt. DMARC là chính sách bạn công bố: bỏ qua, cho vào spam, hay từ chối hẳn. Nó còn cho bạn nhận báo cáo — ai đang gửi thư nhân danh tên miền của bạn, đạt hay không đạt.
Đặt sai thì: hoặc là không bảo vệ được gì (chính sách để mức bỏ qua rồi quên luôn), hoặc là chặn nhầm chính thư thật của mình (nhảy thẳng lên mức từ chối trong khi còn hệ thống chưa khai báo). Nên siết dần, và đọc báo cáo trước khi tăng mức.
Thứ tự nên thêm
- MX trước — để bắt đầu nhận được thư.
- SPF và DKIM tiếp theo — để thư gửi đi được tin.
- DMARC cuối cùng, và bắt đầu ở mức nhẹ. Chỉ siết lên sau khi báo cáo cho thấy mọi nguồn gửi thật của bạn đều đã đạt.
Cách tự kiểm đã đúng chưa
Gửi một thư tới một hộp Gmail bất kỳ, mở thư đó rồi chọn «Hiển thị thư gốc». Phần đầu hiện ba dòng SPF, DKIM, DMARC — cả ba phải là PASS. Đây là cách kiểm nhanh và đáng tin hơn phần lớn công cụ trên mạng, vì nó cho biết chính hệ thống nhận thật sự đánh giá thư của bạn thế nào.