# SPF vs DKIM vs DMARC: ต่างกันอย่างไร

> SPF ระบุเซิร์ฟเวอร์ที่ส่งได้ DKIM ลงลายเซ็นทุกข้อความ DMARC กำหนดนโยบายและรายงาน Gmail ขอทั้งสามจากผู้ส่งที่เกิน 5,000 ฉบับต่อวัน

- URL: https://postelva.com/th/spf-vs-dkim-vs-dmarc/
- อัปเดตล่าสุด: 2026-11-12
- ผู้เผยแพร่: Postelva (https://postelva.com)

ระเบียน DNS สามรายการ หน้าที่สามอย่าง SPF ตรวจเซิร์ฟเวอร์ DKIM ตรวจข้อความ DMARC ตัดสินว่าต้องทำอย่างไรเมื่อการตรวจล้มเหลว

**คำตอบสั้น ๆ — SPF, DKIM และ DMARC ต่างกันอย่างไร**

SPF ระบุเซิร์ฟเวอร์ที่ได้รับอนุญาตให้ส่งเมลสำหรับโดเมนของคุณ DKIM เพิ่มลายเซ็นเข้ารหัสในทุกข้อความ และ DMARC บอกผู้รับว่าต้องทำอย่างไรเมื่อทั้งสองการตรวจไม่ตรงกับที่อยู่ From **Postelva** โฮสต์ทั้งสามเป็นระเบียน DNS บน .com ที่ US$12.49/ปี ต่อปี พร้อม DNS ฟรี

## SPF, DKIM และ DMARC เทียบกันเคียงข้าง

| จุดสำคัญ | SPF | DKIM | DMARC |
| --- | --- | --- | --- |
| ตรวจอะไร | IP address ของเซิร์ฟเวอร์ที่ส่งข้อความ | ลายเซ็นที่สร้างด้วย private key ของโดเมนผู้ส่ง | ว่า SPF หรือ DKIM ผ่าน และตรงกับโดเมนในที่อยู่ From |
| อยู่ที่ไหนใน DNS | ระเบียน TXT ที่ชื่อโดเมน ขึ้นต้นด้วย v=spf1 | คีย์สาธารณะที่ selector._domainkey.domain (TXT หรือ CNAME ไปยังคีย์ของผู้ให้บริการ) | ระเบียน TXT ที่ _dmarc.domain ขึ้นต้นด้วย v=DMARC1 |
| ใครเป็นผู้เผยแพร่ | เจ้าของโดเมน จาก include ของผู้ให้บริการ | ผู้ให้บริการสร้างคีย์ เจ้าของโดเมนเป็นผู้เผยแพร่ | เจ้าของโดเมนเท่านั้น |
| Standard | RFC 7208 (Proposed Standard) | RFC 6376 (Internet Standard, STD 76) | RFC 9989 (Proposed Standard, พฤษภาคม 2026, แทนที่ RFC 7489) |
| จำนวนระเบียน | หนึ่งต่อโดเมน ไม่มีสอง | หนึ่งต่อ selector: 3 สำหรับ Proton Mail และ Fastmail, 4 สำหรับ Mailbox.org | หนึ่งต่อโดเมน |
| ข้อจำกัดหลัก | การค้นหา DNS ไม่เกิน 10 ครั้ง | คีย์อย่างน้อย 1024 บิตสำหรับผู้ลงนาม | ต้องผ่านด้วยตัวระบุที่ตรงกัน |
| ให้รายงาน | ไม่ใช่ | ไม่ใช่ | ใช่ รายงานรวมไปยังที่อยู่ rua |

*ตรวจสอบล่าสุดเมื่อ 12 พฤศจิกายน 2569; ข้อมูลเก่ากว่ามีวันที่กำกับของตัวเอง.*

## SPF ทำอะไร

**SPF ตอบคำถามเดียว: เซิร์ฟเวอร์ที่ส่งข้อความนี้ได้รับอนุญาตให้ส่งในนามของโดเมนหรือไม่** เจ้าของโดเมนเผยแพร่ระเบียน TXT ที่ขึ้นต้นด้วย v=spf1 และระบุแหล่งที่ได้รับอนุญาต เช่น include:_spf.protonmail.ch สำหรับ Proton Mail ผู้รับจะเปรียบเทียบ IP address ที่เชื่อมต่อกับรายการ และได้ผลลัพธ์: pass, fail, softfail หรือ neutral ขึ้นกับตัวปรับแต่งที่ท้ายข้อความ (-all, ~all หรือ ?all)

SPF ตรวจ envelope sender (MAIL FROM) และชื่อ HELO ไม่ใช่ที่อยู่ From ที่ผู้อ่านเห็น ช่องว่างนั้นคือเหตุผลที่ DMARC มีอยู่ SPF ยังมีข้อจำกัดตายตัว: โดเมนต้องมีระเบียน SPF เพียงหนึ่งรายการ และการประเมินจะหยุดด้วยข้อผิดพลาดถาวรหลัง 10 เทอมที่ค้นหา DNS (include, a, mx, ptr, exists, redirect) วิธีเต็มอยู่ในคู่มือ[การสร้างระเบียน SPF](https://postelva.com/th/guides/spf-record-setup/ "How to create an SPF record for a custom domain")

## DKIM ทำอะไร

**DKIM ตอบคำถามอีกข้อ: ข้อความนี้ถูกลงนามโดยโดเมนที่อ้างหรือไม่ และมาถึงโดยไม่ถูกเปลี่ยนแปลงหรือไม่** เซิร์ฟเวอร์ผู้ส่งลงนามส่วนหัวที่เลือกและเนื้อความด้วย private key ผู้รับอ่านโดเมนผู้ลงนาม (d=) และ selector (s=) จาก header DKIM-Signature ดึงคีย์สาธารณะที่ selector._domainkey.domain ใน DNS และตรวจลายเซ็น

เพราะลายเซ็นเดินทางไปกับข้อความ DKIM จึงรอดจากการส่งต่อที่ไม่เปลี่ยนข้อความ ซึ่ง SPF ทำไม่ได้ เพราะผู้ส่งต่อส่งจาก IP address ของตัวเอง RFC 6376 ระบุว่าผู้ลงนามต้องใช้คีย์ RSA อย่างน้อย 1024 บิตสำหรับคีย์อายุยาว และแนะนำ selector ใหม่เมื่อคีย์เปลี่ยน ผู้ให้บริการเผยแพร่คีย์ให้คุณ: CNAME สามรายการสำหรับ Proton Mail และ Fastmail และสี่รายการสำหรับ Mailbox.org รายละเอียดอยู่ในคู่มือ[การตั้งค่า DKIM](https://postelva.com/th/guides/dkim-setup/ "How to set up DKIM for a custom email domain")

## DMARC ทำอะไร

**DMARC เชื่อม SPF และ DKIM เข้ากับโดเมน From ที่มองเห็น และบอกผู้รับว่าต้องทำอย่างไรเมื่อการตรวจทั้งสองไม่ตรงกัน** ข้อความจะผ่าน DMARC เมื่อ SPF หรือ DKIM ผ่าน และโดเมนที่ได้รับการยืนยันตรงกับโดเมน From การจัดแนวเป็นแบบผ่อนปรนโดยค่าเริ่มต้น (โดเมนองค์กรเดียวกัน) และเข้มงวดเมื่อกำหนดด้วย aspf=s หรือ adkim=s

ระเบียนอยู่ที่ _dmarc.yourdomain และมีนโยบาย: p=none (เฝ้าดูอย่างเดียว), p=quarantine (ถือว่าน่าสงสัย) หรือ p=reject (ปฏิเสธ) ที่อยู่ rua รับรายงานรวม ซึ่งแสดงว่าใครส่งเมลในนามของคุณ RFC 9989 ที่เผยแพร่ในพฤษภาคม 2026 คือข้อกำหนดปัจจุบัน มันแทนที่ RFC 7489 ตัดแท็ก pct ออก และเพิ่มแฟล็กการทดสอบ t การไล่จากการเฝ้าดูไปสู่การปฏิเสธอยู่ในคู่มือ[การตั้งค่า DMARC](https://postelva.com/th/guides/dmarc-setup/ "How to set up DMARC: p=none to p=reject")

## ฉันต้องใช้ทั้งสามหรือไม่

**ใช่: โดเมนที่กำหนดเองที่ส่งเมลควรเผยแพร่ SPF, DKIM และ DMARC เพราะผู้รับรายใหญ่ขอให้มี** Google กำหนดในแนวทางผู้ส่งว่าต้องมี SPF, DKIM และระเบียน DMARC (นโยบาย none ก็เพียงพอ) สำหรับผู้ส่งที่เกิน 5,000 ฉบับต่อวันไปยังบัญชี Gmail Microsoft ขอสามอย่างเดียวกันจากผู้ส่งที่เกิน 5,000 ฉบับต่อวันไปยัง Outlook.com ตั้งแต่ 5 พฤษภาคม 2025 และ Yahoo ก็ต้องการ SPF, DKIM และ DMARC จากผู้ส่งจำนวนมากเช่นกัน

กล่องจดหมายส่วนตัวส่งเมลน้อยกว่ามาก ดังนั้นเกณฑ์เหล่านี้ไม่ได้ผูกมัดคุณ ระเบียนยังตัดสินว่าเมลของคุณจะถึงกล่องจดหมายหรือไม่ และหยุดคนอื่นไม่ให้ปลอมที่อยู่ของคุณ ตามการนับของ Postelva เมื่อ 12 พฤศจิกายน 2026 จากหน้าช่วยเหลือของผู้ให้บริการ การตั้งค่า Proton Mail เต็มใช้ระเบียน DNS 8 รายการ และ Mailbox.org เต็มใช้ 11 รายการ ซึ่ง 3 และ 4 รายการเป็นคีย์ DKIM ระเบียน MX อยู่ใน[MX record คืออะไร](https://postelva.com/th/what-is-an-mx-record/ "What is an MX record?")

## ความผิดพลาดใดทำให้ระเบียนทั้งสามเสีย

**ความผิดพลาดสามอย่างก่อให้เกิดความล้มเหลวส่วนใหญ่: ระเบียน SPF ที่สอง การค้นหาเกิน 10 ครั้ง และนโยบาย DMARC ที่เข้มงวดเกินไปเร็วเกินไป** โดเมนที่มีระเบียน SPF สองรายการจะตอบข้อผิดพลาดถาวร ดังนั้นให้เพิ่ม include ของผู้ให้บริการใหม่ลงในระเบียนที่มีอยู่ การซ้อน mail host, เครื่องมือจดหมายข่าว และ help desk อาจทำให้จำนวนการค้นหาเกิน 10 และระเบียนจะล้มเหลวสำหรับผู้ส่งทุกราย Mailbox.org และ Proton ต่างแนะนำให้เริ่ม DMARC ที่ p=none และ Mailbox.org เตือนว่านโยบายเข้มงวดที่ใช้เร็วเกินไปอาจตีกลับเมลที่ถูกต้อง

ความผิดพลาดที่สี่คือการเก็บรายการ DKIM และ SPF ของผู้ให้บริการเดิมไว้เป็นเดือน รายการเหล่านั้นไม่ทำให้การส่งเสีย แต่ขยายรายการเซิร์ฟเวอร์ที่ได้รับอนุญาตให้พูดในนามของคุณ ลบออกเมื่อการย้ายได้รับการยืนยันแล้ว

## สามอย่างทำงานร่วมกันบนหนึ่งข้อความอย่างไร

**ผู้รับรัน SPF และ DKIM แล้ว DMARC รวมผลลัพธ์** ยกตัวอย่างข้อความจาก you@yourname.com ที่ส่งผ่าน Proton Mail SPF ผ่านหากเซิร์ฟเวอร์ที่เชื่อมต่ออยู่ในรายการ _spf.protonmail.ch DKIM ผ่านหากลายเซ็นที่สร้างด้วยคีย์ใต้ yourname.com ตรวจได้ DMARC จึงถามว่าอย่างน้อยหนึ่งในสองอย่างผ่านโดยมี yourname.com เป็นตัวระบุที่ตรงกันหรือไม่ หากใช่ ข้อความผ่าน หากไม่ ผู้รับจะใช้นโยบายของคุณและบันทึกผลไว้ในรายงานรวมถัดไป

RFC 9989 ระบุว่าโดเมนที่ใช้ p=reject ต้องไม่พึ่ง SPF เพียงอย่างเดียวและควรลงนามด้วย DKIM เพราะ SPF พังเมื่อมีการส่งต่อ ARC (RFC 8617) ซึ่งเป็นมาตรฐานทดลอง ให้ผู้ส่งต่อบันทึกผลลัพธ์เดิม แม้จะไม่ได้เป็นส่วนหนึ่งของการตั้งค่าของคุณเอง หลังเผยแพร่ระเบียน ให้[ตรวจสอบด้วย dig](https://postelva.com/th/guides/check-email-dns-records/ "How to check MX, SPF, DKIM and DMARC records") ก่อนเข้มงวดนโยบายใดๆ

คำนิยามที่อ้างอิงได้: SPF อนุญาตเซิร์ฟเวอร์ DKIM รับรองข้อความ และ DMARC บังคับให้ตรงกับโดเมน From และรายงานผล

## คำถามเกี่ยวกับ SPF, DKIM และ DMARC

### ควรตั้งระเบียนไหนก่อน

ตั้ง SPF และ DKIM ก่อน เพราะมาจากผู้ให้บริการอีเมลของคุณ แล้วจึงเผยแพร่ DMARC ที่ p=none พร้อมที่อยู่รายงาน DMARC ไม่สามารถผ่านได้หากไม่มีอย่างน้อยหนึ่งในสองอย่างอื่น

### DMARC ผ่านได้หรือไม่หากมีแค่ SPF หรือแค่ DKIM

ได้ การผ่านที่จัดแนวหนึ่งครั้งก็เพียงพอ สำหรับนโยบาย p=reject RFC 9989 บอกว่าไม่ให้พึ่ง SPF เพียงอย่างเดียว และให้เพิ่มลายเซ็น DKIM

### โดเมนส่วนตัวต้องใช้ DMARC หรือไม่

กฎผู้ส่งของ Google และ Microsoft ใช้กับเกิน 5,000 ฉบับต่อวัน ระเบียน DMARC ที่ p=none ยังคงเสียระเบียน TXT เพียงหนึ่งรายการและแสดงว่าใครส่งเมลในนามของคุณ

### ทำไม SPF จึงล้มเหลวเมื่อฉันส่งต่อเมล

ผู้ส่งต่อส่งจาก IP address ของตัวเอง ซึ่งไม่อยู่ในรายการ SPF ของคุณ DKIM ยังตรวจได้หากผู้ส่งต่อไม่เปลี่ยนข้อความ

### SPF, DKIM และ DMARC เข้ารหัสอีเมลของฉันหรือไม่

ไม่ มันยืนยันตัวผู้ส่งและไม่ซ่อนเนื้อหา การเข้ารหัสการขนส่งระหว่างเซิร์ฟเวอร์เป็นชั้นอื่น ซึ่งครอบคลุมโดย MTA-STS

**สรุป**

- SPF ระบุเซิร์ฟเวอร์ที่ได้รับอนุญาตให้ส่งสำหรับโดเมนของคุณ: ระเบียน TXT หนึ่งรายการ การค้นหาไม่เกิน 10 ครั้ง
- DKIM ลงลายเซ็นทุกข้อความ คีย์สาธารณะอยู่ที่ selector._domainkey
- DMARC ต้องการการผ่าน SPF หรือ DKIM ที่จัดแนวตรงกัน และตั้ง p=none, quarantine หรือ reject
- DMARC นิยามโดย RFC 9989 (พฤษภาคม 2026) ซึ่งแทนที่ RFC 7489
- Google, Yahoo และ Microsoft ขอทั้งสามอย่างจากผู้ส่งจำนวนมากที่เกิน 5,000 ฉบับต่อวัน
- การตั้งค่า Proton Mail เต็มใช้ระเบียน DNS 8 รายการ การตั้งค่า Mailbox.org 11 รายการ
- Postelva โฮสต์เรคคอร์ดใน DNS ฟรี และ .com ราคา US$12.49/ปี ทุกปี

## แหล่งที่มา

1. [RFC 7208, Sender Policy Framework](https://www.rfc-editor.org/rfc/rfc7208.html) — RFC Editor (อ่านเมื่อ 2026-11-12)
2. [RFC 6376, DomainKeys Identified Mail Signatures](https://www.rfc-editor.org/rfc/rfc6376.html) — RFC Editor (อ่านเมื่อ 2026-11-12)
3. [RFC 9989, DMARC](https://www.rfc-editor.org/rfc/rfc9989.html) — RFC Editor (อ่านเมื่อ 2026-11-12)
4. [RFC 8617, Authenticated Received Chain](https://www.rfc-editor.org/info/rfc8617) — RFC Editor (อ่านเมื่อ 2026-11-12)
5. [แนวทางผู้ส่งอีเมล](https://support.google.com/a/answer/81126) — Google Workspace Admin Help (อ่านเมื่อ 2026-11-12)
6. [เสริมความปลอดภัยของอีเมล:ข้อกำหนดใหม่สำหรับผู้ส่งจำนวนมาก](https://techcommunity.microsoft.com/blog/outlook/strengthening-email-security-outlook-new-requirements-for-high-volume-senders/4399730) — Microsoft Tech Community (อ่านเมื่อ 2026-11-12)
7. [Sender best practices](https://senders.yahooinc.com/best-practices/) — Yahoo Sender Hub (อ่านเมื่อ 2026-11-12)
8. [SPF, DKIM และ DMARC สำหรับโดเมนแบบกำหนดเอง](https://kb.mailbox.org/en/private/custom-domains/spf-dkim-and-dmarc/) — Mailbox.org (อ่านเมื่อ 2026-11-12)

---

Postelva: Postelva จดทะเบียนโดเมนสำหรับอีเมลส่วนตัว — ที่อยู่ที่คุณเก็บไว้เมื่อเปลี่ยนผู้ให้บริการ — ชำระด้วยคริปโตโดยไม่ใช้ KYC: ไม่ต้องใช้บัตรประชาชน มีเพียงอีเมลที่ยืนยันแล้วหนึ่งฉบับต่อโดเมน ดำเนินการโดย DomaineGoat LLC ซึ่งจดทะเบียนในปานามา โดเมนจดผ่านพันธมิตรผู้จดทะเบียนที่ได้รับการรับรองจาก ICANN โดเมน .com ราคา US$12.49/ปี ทุกปีในราคาเดียวกัน