คำตอบสั้น ๆ
ฉันตั้งค่า DMARC สำหรับโดเมนของฉันอย่างไร?
เผยแพร่เรคคอร์ด TXT ที่ _dmarc.yourdomain ที่มีค่า v=DMARC1; p=none; rua=mailto:you@yourdomain อ่านรายงานรวมประมาณหนึ่งเดือน แล้วยกระดับนโยบายเป็น quarantine และสุดท้าย reject DMARC ถูกกำหนดโดย RFC 9989 ตั้งแต่พฤษภาคม 2026 Postelva โฮสต์เรคคอร์ดในตัวแก้ไข DNS ฟรี
นโยบาย DMARC สามแบบและผลของแต่ละแบบ
| นโยบาย | ระเบียน | ผลต่อข้อความที่ไม่ผ่าน DMARC | เมื่อใดควรใช้ |
|---|---|---|---|
| Monitor | v=DMARC1; p=none; rua=mailto:[email protected] | ส่งตามปกติ และรายงานถูกส่งไปยังคุณ | สองสามสัปดาห์แรก เพื่อดูผู้ส่งทุกราย |
| Quarantine | v=DMARC1; p=quarantine; rua=mailto:[email protected] | ถือเป็นสงสัยและมักส่งเข้าสแปม | หลัง SPF และ DKIM ผ่านกับจดหมายที่ถูกต้องทั้งหมดของคุณ |
| Reject | v=DMARC1; p=reject; rua=mailto:[email protected] | เซิร์ฟเวอร์ผู้รับปฏิเสธ | เมื่อรายงานไม่แสดงความล้มเหลวที่ถูกต้องเหลืออยู่ |
ตั้งค่า DMARC ในหกขั้นตอน
ยืนยัน SPF และ DKIM ก่อน
DMARC ต้องการอย่างน้อยหนึ่งอย่างให้ผ่านและตรงกับโดเมน From ของคุณ เผยแพร่ทั้งสองก่อน DMARC โดยใช้คู่มือเรื่อง SPF และ DKIM
เลือกกล่องจดหมายสำหรับรายงาน
สร้างที่อยู่ เช่น dmarc@yourdomain RFC 9989 ระบุว่าเจ้าของต้องตั้งกล่องจดหมายเพื่อรับและวิเคราะห์รายงานรวม
เผยแพร่เรคคอร์ดการตรวจสอบ
เพิ่มเรคคอร์ด TXT โดยมีโฮสต์ _dmarc และค่า v=DMARC1; p=none; rua=mailto:dmarc@yourdomain
อ่านรายงานประมาณหนึ่งเดือน
รายงานมาถึงประมาณวันละครั้งจากผู้รับที่ส่งรายงาน มองหาจดหมายที่ถูกต้องซึ่งไม่ผ่าน SPF และ DKIM alignment แล้วแก้ผู้ส่งเหล่านั้น
ย้ายไป quarantine
เปลี่ยน p=none เป็น p=quarantine คงไว้ในช่วงเวลาที่ใกล้เคียงกัน และเปรียบเทียบว่าข้อความถูกจัดการอย่างไรในรายงาน
ย้ายไป reject หรือหยุดที่ quarantine
เปลี่ยนเป็น p=reject เมื่อรายงานสะอาด หากคุณส่งจดหมายกลุ่มจากโดเมนนี้ ให้อยู่ที่ quarantine
; stage 1: monitor
_dmarc.example.com. IN TXT "v=DMARC1; p=none; rua=mailto:[email protected]"
; stage 2: quarantine
_dmarc.example.com. IN TXT "v=DMARC1; p=quarantine; rua=mailto:[email protected]"
; stage 3: reject
_dmarc.example.com. IN TXT "v=DMARC1; p=reject; rua=mailto:[email protected]"เรคคอร์ด DMARC มีอะไรบ้าง?
เรคคอร์ด DMARC คือเรคคอร์ด TXT ที่ _dmarc.yourdomain ซึ่งขึ้นต้นด้วย v=DMARC1 และระบุแท็กคั่นด้วยเครื่องหมายอัฒภาค แท็กเวอร์ชันต้องอยู่หน้าสุดและแยกตัวพิมพ์เล็กใหญ่ RFC 9989 กำหนดแท็กเหล่านี้: p (นโยบายของโดเมน) sp (นโยบายของโดเมนย่อยที่มีอยู่) np (นโยบายของโดเมนย่อยที่ไม่มี) adkim และ aspf (alignment โดย r สำหรับ relaxed หรือ s สำหรับ strict ค่าเริ่มต้นคือ relaxed) rua (ที่อยู่รายงานรวม) ruf (ที่อยู่รายงานความล้มเหลว) fo (ตัวเลือกความล้มเหลว) t (โหมดทดสอบ y หรือ n) และ psd
หาก p หายไป ผู้รับถือว่านโยบายเป็น none หาก sp หายไป นโยบาย p ครอบคลุมโดเมนย่อย หาก rua หายไป จะไม่มีรายงานรวม เรคคอร์ดที่มีประโยชน์ขั้นต่ำจึงมีสามส่วน: เวอร์ชัน นโยบาย และที่อยู่รายงาน
แท็ก pct ที่คู่มือเก่าหลายเล่มยังแสดงอยู่ RFC 9989 ลบออกเพราะถูกนำไปใช้อย่างไม่แม่นยำนอกจากที่ 0 และ 100 แท็ก t มาแทน: t=y ทำงานเหมือน pct=0 และ t=n เหมือน pct=100 โดย n เป็นค่าเริ่มต้น ลบ pct ออกจากเรคคอร์ดเก่า ภาพรวมกว้างกว่าอยู่ในSPF vs DKIM vs DMARC
alignment ใน DMARC หมายความว่าอย่างไร?
Alignment หมายความว่าโดเมนที่ได้รับการยืนยันโดย SPF หรือ DKIM ตรงกับโดเมนในที่อยู่ From ที่มองเห็นได้ ในโหมด relaxed ซึ่งเป็นค่าเริ่มต้น ทั้งสองต้องมีโดเมนองค์กรเดียวกัน ดังนั้น mail.example.com จึงตรงกับ example.com ในโหมด strict ต้องเหมือนกันทุกตัวอักษร RFC 9989 ระบุว่าเจ้าของโดเมนเกือบทั้งหมดพบว่า relaxed alignment เพียงพอ
ข้อความจะผ่าน DMARC เมื่อ SPF หรือ DKIM ผ่านและตรงกัน อย่างใดอย่างหนึ่งก็พอ ผู้ให้บริการกล่องจดหมายเช่น Proton Mail หรือ Fastmail ลงนามด้วยโดเมนของคุณผ่านเรคคอร์ด DKIM CNAME จึงได้ alignment โดยไม่ต้องทำอะไรเพิ่ม กับดักคือบริการของบุคคลที่สามที่ลงนามด้วยโดเมนของตนเอง DKIM ของมันผ่านแต่ไม่ตรงกันจนกว่าคุณจะตั้งโดเมนลงนามแบบกำหนดเองให้มัน
RFC 9989 หาโดเมนองค์กรผ่านการเดินต้นไม้ DNS ที่มีคำถามไม่เกินแปดข้อ แทนรายการ public suffix สำหรับโดเมนธรรมดาบน .com หรือ .me สิ่งนี้ไม่เปลี่ยนสิ่งที่คุณต้องทำ
ฉันควรอยู่ที่ p=none นานแค่ไหน?
อยู่ที่ p=none อย่างน้อยหนึ่งเดือน แล้วอยู่ที่ p=quarantine ในช่วงเวลาที่ใกล้เคียงกันก่อนไป p=reject นี่คือลำดับที่ RFC 9989 แนะนำในแนวทางการใช้งาน และตรงกับหน้าช่วยเหลือของผู้ให้บริการ Mailbox.org เริ่มตัวอย่างเรคคอร์ดที่ p=none และเตือนว่านโยบายที่เข้มงวดตั้งเร็วเกินไปอาจตีกลับจดหมายที่ถูกต้อง Proton แนะนำ p=quarantine และย้ายไป p=reject เมื่อจดหมายที่ถูกต้องผ่าน
ตามการอ่านแนวทาง DMARC ของผู้ให้บริการสามรายที่เผยแพร่ (Proton Mail, Mailbox.org และ Mailfence) เมื่อ 12 พฤศจิกายน 2026 โดย Postelva พบว่า 2 รายเริ่มที่ p=none และ 1 รายแนะนำ p=quarantine
มีข้อควรระวังสองประการสำหรับ p=reject RFC 9989 ระบุว่าโดเมนที่ใช้ p=reject ต้องไม่พึ่ง SPF เพียงอย่างเดียว และต้องลงนามด้วย DKIM เพราะ SPF พังเมื่อส่งต่อ และระบุว่าโดเมนที่ผู้ใช้โพสต์ไปยังรายการอีเมลไม่ควรเผยแพร่ p=reject เลย เพราะรายการมักแก้ไขข้อความ ซึ่งทำให้ลายเซ็นเสีย
รายงาน DMARC ไปที่ไหนและแสดงอะไร?
รายงานรวมถูกส่งไปยังที่อยู่ mailto: ใน rua โดยปกติวันละครั้งจากผู้รับแต่ละราย และแสดงแหล่งที่ส่งจดหมายโดยใช้โดเมนของคุณในบรรทัด From RFC 9989 กำหนดให้ผู้รับรองรับที่อยู่ mailto: และแนะนำให้ส่งรายงานรวมอย่างน้อยทุก 24 ชั่วโมง การรายงานรวมถูกกำหนดใน RFC 9990
รายงานความล้มเหลว ที่ขอด้วย ruf เป็นสำเนาต่อข้อความ ผู้รับหลายรายกักไว้หรือปกปิดเพื่อความเป็นส่วนตัว จึงอย่าพึ่งพา หากที่อยู่ rua อยู่นอกโดเมนของคุณ เจ้าของโดเมนอื่นต้องอนุญาตด้วยเรคคอร์ด TXT ที่ yourdomain._report._dmarc.otherdomain ซึ่งมี v=DMARC1; กฎนี้หยุดการใช้กล่องจดหมายของบุคคลที่สามในทางที่ผิด สำหรับโดเมนส่วนตัวขนาดเล็ก รายการแหล่งที่มาสั้น: ผู้ให้บริการของคุณ และไม่มีอะไรอื่นมากนัก
หากต้องการอ่านสิ่งที่ DNS ของคุณเผยแพร่ก่อนและหลังแต่ละขั้นตอน ให้ใช้คำสั่งตรวจสอบเรคคอร์ด MX, SPF, DKIM และ DMARC
โดเมนส่วนตัวของฉันต้องใช้ DMARC หรือไม่?
ต้องใช้สำหรับโดเมนใดก็ตามที่ส่งอีเมล: ใช้เรคคอร์ด TXT เพียงหนึ่งรายการ และหยุดการปลอมแปลงข้อความที่ใช้ชื่อของคุณ Google กำหนดให้ DMARC โดยนโยบาย none ก็เพียงพอ สำหรับผู้ส่งที่เกิน 5,000 ข้อความต่อวันไปยังบัญชี Gmail และ Microsoft ใช้เกณฑ์เดียวกันกับ Outlook.com กล่องจดหมายส่วนตัวอยู่ต่ำกว่าขีดจำกัดเหล่านั้นมาก เรคคอร์ดยังบอกผู้รับว่าคุณต้องการให้ทำอย่างไรกับการปลอมแปลง
สำหรับโดเมนที่ไม่ส่งอะไรเลย ตั้ง p=reject ทันทีพร้อม SPF -all และ MX ว่าง Postelva เสนอเทมเพลต "no email" สำหรับกรณีนั้น สำหรับโดเมนที่มีกล่องจดหมาย ให้เริ่มที่ none ส่วนการป้องกันด้านการขนส่งของการป้องกันเดียวกัน คือการเข้ารหัสระหว่างเซิร์ฟเวอร์ ครอบคลุมในวิธีตั้งค่า MTA-STS และ TLS-RPT
คำถามเกี่ยวกับการตั้งค่า DMARC
RFC 9989 บังคับให้ใช้ p=reject หรือไม่?
ไม่ มาตรฐานกำหนดนโยบายสามแบบและเลือกให้เจ้าของโดเมนตัดสินใจ มันแนะนำเส้นทางค่อยเป็นค่อยไปและเตือนไม่ให้ใช้ p=reject กับโดเมนที่ผู้ใช้โพสต์ไปยังรายการอีเมล
RFC 9989 เปลี่ยนเรคคอร์ด DMARC ที่มีอยู่ของฉันหรือไม่?
เรคคอร์ดยังขึ้นต้นด้วย v=DMARC1 เรคคอร์ดที่ทำงานอยู่จึงยังทำงานต่อไป แท็ก ri ถูกยกเลิก pct ถูกลบ และ t, np และ psd ถูกเพิ่ม
จะเกิดอะไรขึ้นถ้าฉันเผยแพร่ p=reject เร็วเกินไป?
จดหมายที่ถูกต้องซึ่งไม่ผ่าน alignment เช่นเครื่องมือจดหมายข่าวที่ลืมไป ถูกผู้รับปฏิเสธ รายงานที่ p=none มีไว้เพื่อหาผู้ส่งเหล่านั้นก่อน
ฉันใช้กล่องจดหมายฟรีสำหรับรายงานได้ไหม?
ได้ กล่องจดหมายใดก็ได้ที่คุณอ่าน ที่อยู่หรือนามแฝงแยกต่างหากช่วยให้ไฟล์รายงานรายวันไม่เข้ากล่องจดหมายหลักของคุณ
โดเมนหนึ่งมีเรคคอร์ด DMARC ได้กี่รายการ?
หนึ่งรายการต่อชื่อ ที่ _dmarc.yourdomain โดเมนย่อยมีเรคคอร์ดของตนเอง หรือรับนโยบายของโดเมนหลักผ่าน sp ก็ได้
สรุป
- DMARC คือเรคคอร์ด TXT ที่ _dmarc.yourdomain ซึ่งขึ้นต้นด้วย v=DMARC1
- RFC 9989 (พฤษภาคม 2026) คือข้อกำหนดปัจจุบัน; มันแทนที่ RFC 7489 และลบ pct
- เริ่มที่ p=none พร้อม rua อ่านรายงานประมาณหนึ่งเดือน
- จากนั้น p=quarantine ในช่วงเวลาที่ใกล้เคียงกัน แล้วจึง p=reject
- ข้อความผ่านเมื่อ SPF หรือ DKIM ผ่านและ alignment กับโดเมน From; relaxed alignment คือค่าเริ่มต้น
- โดเมนที่ใช้ p=reject ต้องไม่พึ่ง SPF เพียงอย่างเดียว และไม่ควรใช้กับรายการอีเมล
- Postelva โฮสต์เรคคอร์ดใน DNS ฟรี; .com ราคา US$12.49/ปี ทุกปี
แหล่งที่มา (6)
- RFC 9989, Domain-based Message Authentication, Reporting, and Conformance (DMARC) — RFC Editor (อ่านเมื่อ 2026-11-12)
- RFC 7489, DMARC (ยกเลิกแล้ว) — RFC Editor (อ่านเมื่อ 2026-11-12)
- SPF, DKIM และ DMARC สำหรับโดเมนแบบกำหนดเอง — Mailbox.org (อ่านเมื่อ 2026-11-12)
- การป้องกันการปลอมแปลงและโดเมนแบบกำหนดเอง — Proton (อ่านเมื่อ 2026-11-12)
- แนวทางผู้ส่งอีเมล — Google Workspace Admin Help (อ่านเมื่อ 2026-11-12)
- เสริมความปลอดภัยของอีเมล:ข้อกำหนดใหม่สำหรับผู้ส่งจำนวนมาก — Microsoft Tech Community (อ่านเมื่อ 2026-11-12)