Thiết lập SPF, DKIM và DMARC để bảo vệ email doanh nghiệp

Email doanh nghiệp thường được dùng cho trao đổi nội bộ, chăm sóc khách hàng, gửi thông báo hệ thống và thực hiện các hoạt động tiếp thị. Tuy nhiên, chỉ cần một tên miền bị giả mạo, người nhận có thể nhận được thư lừa đảo mang địa chỉ gần giống địa chỉ chính thức. Vấn đề này không chỉ ảnh hưởng đến uy tín thương hiệu mà còn khiến khách hàng nghi ngờ những email hợp lệ, đặc biệt khi nội dung thư liên quan đến thanh toán, tài khoản hoặc thông tin cá nhân.

Ba cơ chế SPF, DKIM và DMARC được tạo ra để giúp máy chủ nhận có thêm cơ sở đánh giá nguồn gốc của email. Đây không phải là một giải pháp duy nhất ngăn chặn mọi hình thức lừa đảo, nhưng khi được cấu hình đúng, chúng tạo thành nền tảng quan trọng cho việc xác thực email theo tên miền. Doanh nghiệp cũng có thể sử dụng dữ liệu từ các cơ chế này để nhận biết dịch vụ nào đang gửi thư thay mặt mình và điều chỉnh chính sách phù hợp.

SPF, DKIM và DMARC làm nhiệm vụ gì?

SPF, viết tắt của Sender Policy Framework, là bản ghi trong hệ thống DNS cho biết những máy chủ hoặc dịch vụ nào được phép gửi email với tên miền của doanh nghiệp. Khi một email đến máy chủ nhận, máy chủ này có thể kiểm tra địa chỉ IP gửi thư có nằm trong danh sách được công bố hay không. Nếu nguồn gửi không được cho phép, email có thể bị đánh dấu nghi ngờ, đưa vào thư rác hoặc từ chối tùy theo chính sách của bên nhận.

SPF thường được khai báo dưới dạng bản ghi TXT. Nội dung bản ghi có thể bao gồm máy chủ thư chính, các nền tảng gửi email bên ngoài và một cơ chế xử lý khi nguồn gửi không khớp. Điểm cần chú ý là SPF kiểm tra máy chủ gửi chứ không chứng minh nội dung email chưa bị thay đổi. Ngoài ra, một tên miền chỉ nên có một bản ghi SPF hợp lệ. Nếu nhiều bản ghi SPF cùng tồn tại, việc kiểm tra có thể cho kết quả không như mong muốn.

DKIM, viết tắt của DomainKeys Identified Mail, sử dụng chữ ký số để gắn thông tin xác thực vào phần tiêu đề của email. Dịch vụ gửi thư tạo chữ ký bằng khóa riêng, còn máy chủ nhận sử dụng khóa công khai được công bố trong DNS để kiểm tra. Cách này giúp xác nhận rằng email được ký bởi một hệ thống có quyền sử dụng tên miền và nội dung quan trọng của thư không bị thay đổi trong quá trình truyền.

Khóa công khai DKIM thường được đặt tại một tên miền phụ gọi là selector. Selector cho phép một tên miền sử dụng nhiều khóa khác nhau cho các hệ thống hoặc giai đoạn vận hành khác nhau. Khóa riêng phải được giữ kín trong hệ thống gửi email. Nếu khóa bị lộ, kẻ xấu có thể tạo chữ ký giả hợp lệ, vì vậy việc quản lý khóa là một phần không thể tách rời khỏi cấu hình DKIM.

DMARC, viết tắt của Domain-based Message Authentication, Reporting and Conformance, kết hợp kết quả SPF và DKIM với chính sách xử lý email. DMARC cũng kiểm tra sự liên kết giữa tên miền hiển thị trong địa chỉ người gửi và tên miền được xác thực bởi SPF hoặc DKIM. Nhờ đó, một email có thể vượt qua kiểm tra SPF nhưng vẫn không đạt DMARC nếu tên miền xác thực không phù hợp với tên miền người nhận nhìn thấy.

Vì sao chỉ cấu hình SPF là chưa đủ?

SPF giúp xác định máy chủ nào được phép gửi thư, nhưng nó có một giới hạn quan trọng. Trong một số trường hợp, thông tin liên quan đến việc kiểm tra SPF có thể không còn nguyên vẹn khi email đi qua các máy chủ trung gian. DKIM bổ sung lớp xác thực dựa trên chữ ký gắn với email, còn DMARC giúp doanh nghiệp quy định cách xử lý những thư không đạt yêu cầu.

Việc chỉ thêm một bản ghi SPF rồi xem như hoàn tất có thể dẫn đến nhiều hiểu lầm. Doanh nghiệp có thể đang sử dụng nhiều dịch vụ cùng gửi email, chẳng hạn hệ thống thư nội bộ, nền tảng chăm sóc khách hàng, công cụ tiếp thị và phần mềm giao dịch. Nếu một dịch vụ chưa được đưa vào SPF hoặc chưa bật DKIM, email hợp lệ từ dịch vụ đó có thể bị đánh giá thấp. Ngược lại, nếu đưa quá nhiều nguồn vào SPF mà không rà soát, doanh nghiệp sẽ khó biết dịch vụ nào thực sự cần quyền gửi.

DMARC không thay thế SPF hoặc DKIM. Nó hoạt động hiệu quả hơn khi ít nhất một trong hai cơ chế xác thực đạt yêu cầu và tên miền xác thực có sự liên kết phù hợp. Vì vậy, quy trình triển khai nên bắt đầu bằng việc lập danh sách tất cả nguồn gửi, sau đó cấu hình SPF và DKIM trước khi áp dụng chính sách DMARC nghiêm ngặt.

Quy trình triển khai an toàn

1. Kiểm kê toàn bộ nguồn gửi

Trước khi chỉnh sửa DNS, doanh nghiệp nên ghi lại tất cả hệ thống đang gửi email với tên miền của mình. Danh sách này có thể gồm máy chủ email chính, biểu mẫu liên hệ trên website, hệ thống gửi hóa đơn, công cụ tự động hóa tiếp thị, nền tảng hỗ trợ khách hàng và các dịch vụ gửi thông báo. Một nguồn gửi bị bỏ quên có thể khiến email hợp lệ không vượt qua xác thực sau khi chính sách mới được áp dụng.

Việc kiểm kê cũng nên phân biệt giữa các hệ thống còn sử dụng và những dịch vụ đã ngừng hoạt động. Các quyền gửi không còn cần thiết nên được loại bỏ thay vì giữ lại vô thời hạn. Càng ít nguồn gửi không cần thiết, bề mặt rủi ro của tên miền càng nhỏ và việc điều tra sự cố càng rõ ràng.

2. Tạo SPF với phạm vi tối thiểu

Bản ghi SPF nên chỉ bao gồm các máy chủ hoặc dịch vụ thực sự có quyền gửi. Không nên sao chép nguyên văn cấu hình từ một dịch vụ mà không hiểu ý nghĩa của từng thành phần. Khi thêm nhiều nhà cung cấp, cần kiểm tra cách họ yêu cầu khai báo và tránh tạo nhiều bản ghi SPF độc lập cho cùng một tên miền.

Sau khi cập nhật, hãy kiểm tra xem bản ghi có được công bố đúng tại tên miền cần dùng hay không. DNS có thể cần thời gian để thay đổi được các máy chủ khác nhìn thấy. Trong giai đoạn này, việc gửi thử đến các hộp thư khác nhau giúp phát hiện sớm lỗi cú pháp, nguồn gửi bị thiếu hoặc cấu hình không đồng nhất.

3. Bật DKIM trên từng hệ thống phù hợp

Nhà cung cấp email thường tạo selector và cung cấp thông tin bản ghi DNS cần thêm. Doanh nghiệp cần công bố khóa công khai đúng vị trí, sau đó bật chức năng ký DKIM trên hệ thống gửi. Nếu một dịch vụ dùng tên miền phụ hoặc sử dụng cơ chế tùy chỉnh, cần xác định rõ tên miền nào xuất hiện trong chữ ký và nó có phù hợp với địa chỉ người gửi hay không.

Khóa riêng không nên được gửi qua các kênh không an toàn hoặc lưu trong tài liệu công khai. Khi thay đổi nhà cung cấp, selector cũ cũng cần được rà soát. Chỉ xóa bản ghi cũ sau khi chắc chắn không còn email hợp lệ nào phụ thuộc vào khóa đó, bởi việc xóa quá sớm có thể làm gián đoạn xác thực của các thư đang được gửi từ hệ thống cũ.

4. Bắt đầu DMARC ở chế độ theo dõi

DMARC có thể gửi báo cáo tổng hợp về các nguồn gửi và kết quả xác thực. Trong giai đoạn đầu, doanh nghiệp nên sử dụng chính sách theo dõi để quan sát trước khi yêu cầu máy chủ nhận xử lý nghiêm các email không đạt. Báo cáo giúp trả lời những câu hỏi quan trọng: nguồn nào đang gửi thư, nguồn nào vượt qua SPF, nguồn nào có DKIM, và có nguồn lạ nào đang sử dụng tên miền hay không.

Dữ liệu báo cáo cần được đọc theo xu hướng thay vì chỉ xem một email đơn lẻ. Một nguồn gửi hợp lệ nhưng chưa được cấu hình đúng có thể xuất hiện lặp lại. Sau khi xác minh và sửa các hệ thống cần thiết, doanh nghiệp có thể chuyển dần sang chính sách yêu cầu thư không đạt được đưa vào khu vực nghi ngờ, rồi mới cân nhắc chính sách từ chối đối với trường hợp phù hợp.

Những lỗi thường gặp khi cấu hình

Lỗi phổ biến nhất là không lập danh sách nguồn gửi trước khi chỉnh sửa DNS. Doanh nghiệp có thể chỉ nhớ đến hệ thống email chính nhưng bỏ quên phần mềm gửi thông báo hoặc máy chủ website. Một lỗi khác là bật chính sách từ chối quá sớm khi chưa có thời gian quan sát báo cáo. Khi đó, email hợp lệ có thể bị từ chối và người vận hành khó xác định nguyên nhân.

Việc dùng chung một selector hoặc một khóa DKIM cho quá nhiều hệ thống cũng làm giảm khả năng quản lý. Khi có sự cố, doanh nghiệp khó thu hồi quyền của một dịch vụ mà không ảnh hưởng đến các dịch vụ khác. Bên cạnh đó, việc giữ lại các bản ghi xác thực của những nhà cung cấp đã ngừng sử dụng có thể tạo ra quyền gửi không cần thiết và làm phức tạp quá trình kiểm tra.

Doanh nghiệp cũng nên tránh xem DMARC như công cụ bảo đảm tuyệt đối rằng mọi email lừa đảo sẽ bị ngăn chặn. Kẻ xấu vẫn có thể sử dụng tên miền gần giống, địa chỉ miễn phí hoặc nội dung giả mạo không dùng tên miền của doanh nghiệp. Vì vậy, xác thực tên miền cần đi cùng đào tạo nhân viên, quy trình xác minh yêu cầu thanh toán và cơ chế cảnh báo khi có hoạt động bất thường.

Quản lý lâu dài thay vì cấu hình một lần

Email là một hệ thống thay đổi theo thời gian. Khi doanh nghiệp thêm công cụ tiếp thị, chuyển nhà cung cấp thư hoặc triển khai một ứng dụng mới, các bản ghi xác thực cũng cần được cập nhật. Mỗi thay đổi nên có người chịu trách nhiệm, thời điểm thực hiện và bước kiểm tra sau khi triển khai. Điều này giúp tránh tình trạng cấu hình DNS bị sửa nhiều lần nhưng không ai biết nguồn gửi nào đang được cho phép.

Nên định kỳ xem lại báo cáo DMARC, danh sách dịch vụ được cấp quyền và các selector DKIM còn hoạt động. Những nguồn gửi không còn xuất hiện có thể được xác minh để loại bỏ. Nếu phát hiện nguồn lạ, doanh nghiệp cần kiểm tra xem đó là dịch vụ hợp pháp chưa được ghi nhận hay dấu hiệu tên miền bị lạm dụng. Việc lưu lại lịch sử thay đổi cũng hữu ích khi điều tra lỗi phân phối email hoặc phản hồi từ khách hàng.

SPF, DKIM và DMARC không phải những cấu hình chỉ dành cho doanh nghiệp lớn. Bất kỳ tổ chức nào sử dụng email theo tên miền riêng đều có thể hưởng lợi từ việc xác định nguồn gửi, ký email và công bố chính sách rõ ràng. Triển khai theo từng bước, bắt đầu bằng quan sát và kiểm thử, sẽ giảm nguy cơ làm gián đoạn thư hợp lệ.

Bảo vệ email hiệu quả đòi hỏi sự phối hợp giữa DNS, hệ thống gửi thư và quy trình vận hành. Khi ba lớp xác thực được xây dựng trên một danh sách nguồn gửi được kiểm soát, doanh nghiệp có thể tăng khả năng nhận diện email giả mạo, duy trì uy tín tên miền và chủ động hơn trước những thay đổi trong hạ tầng email. Đây là công việc cần được rà soát định kỳ, nhưng nền tảng đúng ngay từ đầu sẽ giúp các lần điều chỉnh sau trở nên rõ ràng và an toàn hơn.