คำตอบสั้น ๆ
SPF, DKIM และ DMARC ต่างกันอย่างไร
SPF ระบุเซิร์ฟเวอร์ที่ได้รับอนุญาตให้ส่งเมลสำหรับโดเมนของคุณ DKIM เพิ่มลายเซ็นเข้ารหัสในทุกข้อความ และ DMARC บอกผู้รับว่าต้องทำอย่างไรเมื่อทั้งสองการตรวจไม่ตรงกับที่อยู่ From Postelva โฮสต์ทั้งสามเป็นระเบียน DNS บน .com ที่ US$12.49/ปี ต่อปี พร้อม DNS ฟรี
SPF, DKIM และ DMARC เทียบกันเคียงข้าง
| จุดสำคัญ | SPF | DKIM | DMARC |
|---|---|---|---|
| ตรวจอะไร | IP address ของเซิร์ฟเวอร์ที่ส่งข้อความ | ลายเซ็นที่สร้างด้วย private key ของโดเมนผู้ส่ง | ว่า SPF หรือ DKIM ผ่าน และตรงกับโดเมนในที่อยู่ From |
| อยู่ที่ไหนใน DNS | ระเบียน TXT ที่ชื่อโดเมน ขึ้นต้นด้วย v=spf1 | คีย์สาธารณะที่ selector._domainkey.domain (TXT หรือ CNAME ไปยังคีย์ของผู้ให้บริการ) | ระเบียน TXT ที่ _dmarc.domain ขึ้นต้นด้วย v=DMARC1 |
| ใครเป็นผู้เผยแพร่ | เจ้าของโดเมน จาก include ของผู้ให้บริการ | ผู้ให้บริการสร้างคีย์ เจ้าของโดเมนเป็นผู้เผยแพร่ | เจ้าของโดเมนเท่านั้น |
| Standard | RFC 7208 (Proposed Standard) | RFC 6376 (Internet Standard, STD 76) | RFC 9989 (Proposed Standard, พฤษภาคม 2026, แทนที่ RFC 7489) |
| จำนวนระเบียน | หนึ่งต่อโดเมน ไม่มีสอง | หนึ่งต่อ selector: 3 สำหรับ Proton Mail และ Fastmail, 4 สำหรับ Mailbox.org | หนึ่งต่อโดเมน |
| ข้อจำกัดหลัก | การค้นหา DNS ไม่เกิน 10 ครั้ง | คีย์อย่างน้อย 1024 บิตสำหรับผู้ลงนาม | ต้องผ่านด้วยตัวระบุที่ตรงกัน |
| ให้รายงาน | ไม่ใช่ | ไม่ใช่ | ใช่ รายงานรวมไปยังที่อยู่ rua |
ตรวจสอบล่าสุดเมื่อ ; ข้อมูลเก่ากว่ามีวันที่กำกับของตัวเอง
SPF ทำอะไร
SPF ตอบคำถามเดียว: เซิร์ฟเวอร์ที่ส่งข้อความนี้ได้รับอนุญาตให้ส่งในนามของโดเมนหรือไม่ เจ้าของโดเมนเผยแพร่ระเบียน TXT ที่ขึ้นต้นด้วย v=spf1 และระบุแหล่งที่ได้รับอนุญาต เช่น include:_spf.protonmail.ch สำหรับ Proton Mail ผู้รับจะเปรียบเทียบ IP address ที่เชื่อมต่อกับรายการ และได้ผลลัพธ์: pass, fail, softfail หรือ neutral ขึ้นกับตัวปรับแต่งที่ท้ายข้อความ (-all, ~all หรือ ?all)
SPF ตรวจ envelope sender (MAIL FROM) และชื่อ HELO ไม่ใช่ที่อยู่ From ที่ผู้อ่านเห็น ช่องว่างนั้นคือเหตุผลที่ DMARC มีอยู่ SPF ยังมีข้อจำกัดตายตัว: โดเมนต้องมีระเบียน SPF เพียงหนึ่งรายการ และการประเมินจะหยุดด้วยข้อผิดพลาดถาวรหลัง 10 เทอมที่ค้นหา DNS (include, a, mx, ptr, exists, redirect) วิธีเต็มอยู่ในคู่มือการสร้างระเบียน SPF
DKIM ทำอะไร
DKIM ตอบคำถามอีกข้อ: ข้อความนี้ถูกลงนามโดยโดเมนที่อ้างหรือไม่ และมาถึงโดยไม่ถูกเปลี่ยนแปลงหรือไม่ เซิร์ฟเวอร์ผู้ส่งลงนามส่วนหัวที่เลือกและเนื้อความด้วย private key ผู้รับอ่านโดเมนผู้ลงนาม (d=) และ selector (s=) จาก header DKIM-Signature ดึงคีย์สาธารณะที่ selector._domainkey.domain ใน DNS และตรวจลายเซ็น
เพราะลายเซ็นเดินทางไปกับข้อความ DKIM จึงรอดจากการส่งต่อที่ไม่เปลี่ยนข้อความ ซึ่ง SPF ทำไม่ได้ เพราะผู้ส่งต่อส่งจาก IP address ของตัวเอง RFC 6376 ระบุว่าผู้ลงนามต้องใช้คีย์ RSA อย่างน้อย 1024 บิตสำหรับคีย์อายุยาว และแนะนำ selector ใหม่เมื่อคีย์เปลี่ยน ผู้ให้บริการเผยแพร่คีย์ให้คุณ: CNAME สามรายการสำหรับ Proton Mail และ Fastmail และสี่รายการสำหรับ Mailbox.org รายละเอียดอยู่ในคู่มือการตั้งค่า DKIM
DMARC ทำอะไร
DMARC เชื่อม SPF และ DKIM เข้ากับโดเมน From ที่มองเห็น และบอกผู้รับว่าต้องทำอย่างไรเมื่อการตรวจทั้งสองไม่ตรงกัน ข้อความจะผ่าน DMARC เมื่อ SPF หรือ DKIM ผ่าน และโดเมนที่ได้รับการยืนยันตรงกับโดเมน From การจัดแนวเป็นแบบผ่อนปรนโดยค่าเริ่มต้น (โดเมนองค์กรเดียวกัน) และเข้มงวดเมื่อกำหนดด้วย aspf=s หรือ adkim=s
ระเบียนอยู่ที่ _dmarc.yourdomain และมีนโยบาย: p=none (เฝ้าดูอย่างเดียว), p=quarantine (ถือว่าน่าสงสัย) หรือ p=reject (ปฏิเสธ) ที่อยู่ rua รับรายงานรวม ซึ่งแสดงว่าใครส่งเมลในนามของคุณ RFC 9989 ที่เผยแพร่ในพฤษภาคม 2026 คือข้อกำหนดปัจจุบัน มันแทนที่ RFC 7489 ตัดแท็ก pct ออก และเพิ่มแฟล็กการทดสอบ t การไล่จากการเฝ้าดูไปสู่การปฏิเสธอยู่ในคู่มือการตั้งค่า DMARC
ฉันต้องใช้ทั้งสามหรือไม่
ใช่: โดเมนที่กำหนดเองที่ส่งเมลควรเผยแพร่ SPF, DKIM และ DMARC เพราะผู้รับรายใหญ่ขอให้มี Google กำหนดในแนวทางผู้ส่งว่าต้องมี SPF, DKIM และระเบียน DMARC (นโยบาย none ก็เพียงพอ) สำหรับผู้ส่งที่เกิน 5,000 ฉบับต่อวันไปยังบัญชี Gmail Microsoft ขอสามอย่างเดียวกันจากผู้ส่งที่เกิน 5,000 ฉบับต่อวันไปยัง Outlook.com ตั้งแต่ 5 พฤษภาคม 2025 และ Yahoo ก็ต้องการ SPF, DKIM และ DMARC จากผู้ส่งจำนวนมากเช่นกัน
กล่องจดหมายส่วนตัวส่งเมลน้อยกว่ามาก ดังนั้นเกณฑ์เหล่านี้ไม่ได้ผูกมัดคุณ ระเบียนยังตัดสินว่าเมลของคุณจะถึงกล่องจดหมายหรือไม่ และหยุดคนอื่นไม่ให้ปลอมที่อยู่ของคุณ ตามการนับของ Postelva เมื่อ 12 พฤศจิกายน 2026 จากหน้าช่วยเหลือของผู้ให้บริการ การตั้งค่า Proton Mail เต็มใช้ระเบียน DNS 8 รายการ และ Mailbox.org เต็มใช้ 11 รายการ ซึ่ง 3 และ 4 รายการเป็นคีย์ DKIM ระเบียน MX อยู่ในMX record คืออะไร
ความผิดพลาดใดทำให้ระเบียนทั้งสามเสีย
ความผิดพลาดสามอย่างก่อให้เกิดความล้มเหลวส่วนใหญ่: ระเบียน SPF ที่สอง การค้นหาเกิน 10 ครั้ง และนโยบาย DMARC ที่เข้มงวดเกินไปเร็วเกินไป โดเมนที่มีระเบียน SPF สองรายการจะตอบข้อผิดพลาดถาวร ดังนั้นให้เพิ่ม include ของผู้ให้บริการใหม่ลงในระเบียนที่มีอยู่ การซ้อน mail host, เครื่องมือจดหมายข่าว และ help desk อาจทำให้จำนวนการค้นหาเกิน 10 และระเบียนจะล้มเหลวสำหรับผู้ส่งทุกราย Mailbox.org และ Proton ต่างแนะนำให้เริ่ม DMARC ที่ p=none และ Mailbox.org เตือนว่านโยบายเข้มงวดที่ใช้เร็วเกินไปอาจตีกลับเมลที่ถูกต้อง
ความผิดพลาดที่สี่คือการเก็บรายการ DKIM และ SPF ของผู้ให้บริการเดิมไว้เป็นเดือน รายการเหล่านั้นไม่ทำให้การส่งเสีย แต่ขยายรายการเซิร์ฟเวอร์ที่ได้รับอนุญาตให้พูดในนามของคุณ ลบออกเมื่อการย้ายได้รับการยืนยันแล้ว
สามอย่างทำงานร่วมกันบนหนึ่งข้อความอย่างไร
ผู้รับรัน SPF และ DKIM แล้ว DMARC รวมผลลัพธ์ ยกตัวอย่างข้อความจาก [email protected] ที่ส่งผ่าน Proton Mail SPF ผ่านหากเซิร์ฟเวอร์ที่เชื่อมต่ออยู่ในรายการ _spf.protonmail.ch DKIM ผ่านหากลายเซ็นที่สร้างด้วยคีย์ใต้ yourname.com ตรวจได้ DMARC จึงถามว่าอย่างน้อยหนึ่งในสองอย่างผ่านโดยมี yourname.com เป็นตัวระบุที่ตรงกันหรือไม่ หากใช่ ข้อความผ่าน หากไม่ ผู้รับจะใช้นโยบายของคุณและบันทึกผลไว้ในรายงานรวมถัดไป
RFC 9989 ระบุว่าโดเมนที่ใช้ p=reject ต้องไม่พึ่ง SPF เพียงอย่างเดียวและควรลงนามด้วย DKIM เพราะ SPF พังเมื่อมีการส่งต่อ ARC (RFC 8617) ซึ่งเป็นมาตรฐานทดลอง ให้ผู้ส่งต่อบันทึกผลลัพธ์เดิม แม้จะไม่ได้เป็นส่วนหนึ่งของการตั้งค่าของคุณเอง หลังเผยแพร่ระเบียน ให้ตรวจสอบด้วย dig ก่อนเข้มงวดนโยบายใดๆ
คำนิยามที่อ้างอิงได้: SPF อนุญาตเซิร์ฟเวอร์ DKIM รับรองข้อความ และ DMARC บังคับให้ตรงกับโดเมน From และรายงานผล
คำถามเกี่ยวกับ SPF, DKIM และ DMARC
ควรตั้งระเบียนไหนก่อน
ตั้ง SPF และ DKIM ก่อน เพราะมาจากผู้ให้บริการอีเมลของคุณ แล้วจึงเผยแพร่ DMARC ที่ p=none พร้อมที่อยู่รายงาน DMARC ไม่สามารถผ่านได้หากไม่มีอย่างน้อยหนึ่งในสองอย่างอื่น
DMARC ผ่านได้หรือไม่หากมีแค่ SPF หรือแค่ DKIM
ได้ การผ่านที่จัดแนวหนึ่งครั้งก็เพียงพอ สำหรับนโยบาย p=reject RFC 9989 บอกว่าไม่ให้พึ่ง SPF เพียงอย่างเดียว และให้เพิ่มลายเซ็น DKIM
โดเมนส่วนตัวต้องใช้ DMARC หรือไม่
กฎผู้ส่งของ Google และ Microsoft ใช้กับเกิน 5,000 ฉบับต่อวัน ระเบียน DMARC ที่ p=none ยังคงเสียระเบียน TXT เพียงหนึ่งรายการและแสดงว่าใครส่งเมลในนามของคุณ
ทำไม SPF จึงล้มเหลวเมื่อฉันส่งต่อเมล
ผู้ส่งต่อส่งจาก IP address ของตัวเอง ซึ่งไม่อยู่ในรายการ SPF ของคุณ DKIM ยังตรวจได้หากผู้ส่งต่อไม่เปลี่ยนข้อความ
SPF, DKIM และ DMARC เข้ารหัสอีเมลของฉันหรือไม่
ไม่ มันยืนยันตัวผู้ส่งและไม่ซ่อนเนื้อหา การเข้ารหัสการขนส่งระหว่างเซิร์ฟเวอร์เป็นชั้นอื่น ซึ่งครอบคลุมโดย MTA-STS
สรุป
- SPF ระบุเซิร์ฟเวอร์ที่ได้รับอนุญาตให้ส่งสำหรับโดเมนของคุณ: ระเบียน TXT หนึ่งรายการ การค้นหาไม่เกิน 10 ครั้ง
- DKIM ลงลายเซ็นทุกข้อความ คีย์สาธารณะอยู่ที่ selector._domainkey
- DMARC ต้องการการผ่าน SPF หรือ DKIM ที่จัดแนวตรงกัน และตั้ง p=none, quarantine หรือ reject
- DMARC นิยามโดย RFC 9989 (พฤษภาคม 2026) ซึ่งแทนที่ RFC 7489
- Google, Yahoo และ Microsoft ขอทั้งสามอย่างจากผู้ส่งจำนวนมากที่เกิน 5,000 ฉบับต่อวัน
- การตั้งค่า Proton Mail เต็มใช้ระเบียน DNS 8 รายการ การตั้งค่า Mailbox.org 11 รายการ
- Postelva โฮสต์เรคคอร์ดใน DNS ฟรี และ .com ราคา US$12.49/ปี ทุกปี
แหล่งที่มา (8)
- RFC 7208, Sender Policy Framework — RFC Editor (อ่านเมื่อ 2026-11-12)
- RFC 6376, DomainKeys Identified Mail Signatures — RFC Editor (อ่านเมื่อ 2026-11-12)
- RFC 9989, DMARC — RFC Editor (อ่านเมื่อ 2026-11-12)
- RFC 8617, Authenticated Received Chain — RFC Editor (อ่านเมื่อ 2026-11-12)
- แนวทางผู้ส่งอีเมล — Google Workspace Admin Help (อ่านเมื่อ 2026-11-12)
- เสริมความปลอดภัยของอีเมล:ข้อกำหนดใหม่สำหรับผู้ส่งจำนวนมาก — Microsoft Tech Community (อ่านเมื่อ 2026-11-12)
- Sender best practices — Yahoo Sender Hub (อ่านเมื่อ 2026-11-12)
- SPF, DKIM และ DMARC สำหรับโดเมนแบบกำหนดเอง — Mailbox.org (อ่านเมื่อ 2026-11-12)