Kiểm tra tên miền email: SPF, DKIM, DMARC, MX

Vì sao cần kiểm tra SPF, DKIM, DMARC?

Gmail, Outlook, Yahoo… quyết định thư vào hộp thư chính hay Spam dựa một phần vào việc tên miền gửi có "chứng minh danh tính" hay không. Từ tháng 2/2024, Gmail và Yahoo bắt buộc người gửi số lượng lớn phải có đủ SPF, DKIM và DMARC. Thiếu một trong ba, thư của bạn dễ bị vào Spam hoặc bị từ chối, và kẻ xấu dễ giả mạo tên miền của bạn để lừa khách hàng.

Bốn bản ghi được kiểm tra

• MX: máy chủ nhận thư của tên miền. Không có MX thì không nhận được thư trả lời.
• SPF: bản ghi TXT bắt đầu bằng v=spf1, liệt kê các máy chủ/dịch vụ được phép gửi thư bằng tên miền. Mỗi tên miền chỉ có một bản ghi SPF và tối đa 10 lượt tra DNS.
• DKIM: chữ ký số gắn vào mỗi thư. Khóa công khai nằm ở bản ghi <selector>._domainkey.<tên miền>. Mỗi dịch vụ gửi thư có selector riêng.
• DMARC: bản ghi TXT ở _dmarc.<tên miền>, cho các hộp thư biết phải làm gì với thư không đạt SPF/DKIM: none (theo dõi), quarantine (vào Spam), reject (từ chối).

Cách đọc kết quả

• Đạt: cấu hình đúng.
• Nên cải thiện: thư vẫn gửi được, nhưng nên sửa để tăng tỉ lệ vào hộp thư chính.
• Lỗi: thiếu hoặc sai cấu hình quan trọng, nên sửa ngay.
• Điểm tổng (0–100) chỉ để tham khảo nhanh; quan trọng là sửa hết các mục "Lỗi".

Cách thêm bản ghi TXT

1. Đăng nhập nơi quản lý DNS của tên miền (Cloudflare, Mắt Bão, P.A Việt Nam, Nhân Hòa, GoDaddy…). Đó có thể là nơi bạn mua tên miền, hoặc nơi bạn đã chuyển DNS tới.

2. Chọn tên miền, vào mục DNS / Quản lý bản ghi.

3. Bấm Thêm bản ghi, chọn loại TXT.

4. Ô Tên/Host: nhập đúng như gợi ý (@ là tên miền gốc; _dmarc cho DMARC).

5. Ô Giá trị: dán nội dung gợi ý, không thêm dấu ngoặc kép nếu trang quản lý tự thêm.

6. Lưu lại, đợi 5–30 phút (có nơi tới vài giờ), rồi bấm Kiểm tra lại tại đây.

Câu hỏi thường gặp

Tôi dùng Gmail cá nhân (@gmail.com) có cần làm không?

Không. SPF, DKIM, DMARC chỉ cấu hình được cho tên miền bạn sở hữu. Nếu bạn gửi email marketing, nên dùng email theo tên miền riêng (ví dụ lienhe@congtycuaban.vn) và cấu hình đủ ba bản ghi.

Tôi đã có SPF, giờ thêm một dịch vụ gửi thư mới thì làm sao?

Không tạo thêm bản ghi SPF thứ hai. Hãy thêm include của dịch vụ mới vào chính bản ghi đang có, trước ~all. Ví dụ: v=spf1 include:_spf.google.com include:dichvumoi.com ~all.

Công cụ báo không tìm thấy DKIM, nhưng tôi đã bật?

DKIM nằm ở một "selector" do nhà cung cấp đặt tên, và không có cách liệt kê tất cả selector. Công cụ thử các tên phổ biến; nếu nhà cung cấp dùng tên riêng, hãy tìm tên đó trong trang quản trị email và nhập vào ô "Selector DKIM".

Nên đặt DMARC p=none, quarantine hay reject?

Bắt đầu bằng p=none kèm rua để nhận báo cáo trong 2–4 tuần. Khi thấy mọi nguồn gửi thư thật đều đạt SPF/DKIM, nâng lên p=quarantine, rồi p=reject. Nâng quá sớm có thể khiến thư thật của bạn bị chặn.

Sửa xong bao lâu thì có hiệu lực?

Thường 5–30 phút, tối đa khoảng 24–48 giờ tùy nơi quản lý DNS. Công cụ luôn đọc dữ liệu mới nhất từ DNS công khai.

Công cụ có lưu tên miền tôi nhập không?

Không. Việc kiểm tra chạy ngay trên trình duyệt của bạn; chỉ tên miền được gửi tới dịch vụ tra cứu DNS công khai của Cloudflare (1.1.1.1), dự phòng là Google DNS. TBN Grow không lưu tên miền hay kết quả.