Trả lời nhanh
Làm sao thiết lập DKIM cho tên miền email riêng?
Mở phần cài đặt tên miền của nhà cung cấp email, sao chép các bản ghi DKIM mà nó hiển thị và công bố chúng trong DNS của bạn dưới tên _domainkey: ba bản ghi CNAME cho Proton Mail và Fastmail, bốn cho Mailbox.org. Postelva lưu chúng trong trình soạn DNS miễn phí của họ, và việc ký bắt đầu khi nhà cung cấp phát hiện các bản ghi.
Bản ghi DKIM của ba nhà cung cấp
| Nhà cung cấp | Hồ sơ | Tên (host) | Trỏ tới |
|---|---|---|---|
| Proton Mail | 3 CNAME | protonmail._domainkey, protonmail2._domainkey, protonmail3._domainkey | Một đích thuộc domains.proton.ch, duy nhất cho tên miền của bạn |
| Mailbox.org | 4 CNAME | MBO0001._domainkey tới MBO0004._domainkey | MBO0001._domainkey.mailbox.org và tương tự tới MBO0004 |
| Fastmail | 3 CNAME | fm1._domainkey, fm2._domainkey, fm3._domainkey | fm1.yourdomain.dkim.fmhosted.com, fm2 và fm3 tương tự |
Kiểm tra lần cuối vào ; các số liệu cũ hơn có ngày riêng
Thiết lập DKIM trong năm bước
Mở thẻ DKIM của nhà cung cấp
Ở Proton Mail là Settings, Organization, Domain names, rồi thẻ DKIM của tên miền. Ở Fastmail và Mailbox.org, cài đặt tên miền liệt kê các bản ghi.
Sao chép từng tên và đích
Sao chép đúng nguyên văn. Đừng gõ lại: một ký tự sai trong đích làm khóa không đọc được.
Thêm các bản ghi trong trình soạn DNS
Tạo một bản ghi CNAME trên mỗi dòng, với host do nhà cung cấp đưa. Nếu trình soạn DNS của bạn tự thêm tên miền, chỉ nhập phần đứng trước nó.
Chờ, rồi yêu cầu nhà cung cấp xác minh
Nhấn nút xác minh hoặc kiểm tra lại của nhà cung cấp. Một bản ghi mới có thể mất từ vài phút đến vài giờ để hiển thị khắp nơi.
Gửi một thư thử và đọc kết quả
Gửi thư tới một địa chỉ ở nhà cung cấp khác, mở header đầy đủ và tìm dkim=pass. Sau đó chuyển sang bản ghi DMARC.
; Fastmail (replace example.com with your domain)
fm1._domainkey.example.com. IN CNAME fm1.example.com.dkim.fmhosted.com.
fm2._domainkey.example.com. IN CNAME fm2.example.com.dkim.fmhosted.com.
fm3._domainkey.example.com. IN CNAME fm3.example.com.dkim.fmhosted.com.
; Mailbox.org
MBO0001._domainkey.example.com. IN CNAME MBO0001._domainkey.mailbox.org.
MBO0002._domainkey.example.com. IN CNAME MBO0002._domainkey.mailbox.org.
MBO0003._domainkey.example.com. IN CNAME MBO0003._domainkey.mailbox.org.
MBO0004._domainkey.example.com. IN CNAME MBO0004._domainkey.mailbox.org.DKIM hoạt động thế nào?
DKIM cho phép máy chủ gửi ký mỗi thư bằng một khóa riêng, và cho phép mọi người nhận kiểm tra chữ ký bằng khóa công khai được công bố trong DNS. Chữ ký nằm trong header DKIM-Signature. Nó mang tên miền ký (d=), selector (s=), các header được ký (h=), băm của thân thư (bh=) và chính chữ ký (b=). RFC 6376, một Tiêu chuẩn Internet, định nghĩa các thẻ này.
Người nhận tạo tên DNS từ selector và tên miền: selector._domainkey.domain. Với selector fm1 và tên miền example.com, nó hỏi fm1._domainkey.example.com. Câu trả lời là một bản ghi với các thẻ v=DKIM1, k=rsa và p= theo sau là khóa công khai dạng base64. p= rỗng nghĩa là khóa đã bị thu hồi.
Một chữ ký hợp lệ chứng minh hai điều: thư được ký bởi một hệ thống nắm khóa riêng của tên miền đó, và các phần được ký không bị đổi trên đường đi. Nó không cho biết thư có được mong muốn hay không. Phán đoán đó thuộc về DMARC, được trình bày trong SPF vs DKIM vs DMARC.
Vì sao nhà cung cấp yêu cầu bản ghi CNAME thay vì một khóa?
Một CNAME giao khóa cho nhà cung cấp: khóa công khai nằm ở địa chỉ của nhà cung cấp và họ có thể thay nó mà không cần bạn sửa DNS. Proton Mail, Fastmail và Mailbox.org đều dùng mẫu này. Các bản ghi của họ là CNAME từ tên selector của bạn tới một máy chủ họ kiểm soát, máy chủ này giữ bản ghi khóa thật.
Lợi ích là xoay vòng khóa. RFC 6376 khuyên công bố khóa mới dưới selector mới thay vì tái sử dụng selector, và Proton Mail công bố ba selector (protonmail, protonmail2, protonmail3), cho phép nhà cung cấp chuyển từ khóa này sang khóa kế tiếp. Cái giá đối với bạn là sự tin cậy: bạn phụ thuộc vào máy chủ của nhà cung cấp để tiếp tục trả lời.
Theo so sánh của Postelva ngày 12 tháng 11 năm 2026, ba nhà cung cấp mà bản ghi DKIM được đọc trên trang trợ giúp của họ cần 3, 4 và 3 bản ghi CNAME, tổng cộng 10, và không nhà nào yêu cầu khóa dạng TXT.
Khóa DKIM nên dài bao nhiêu?
Dùng khóa RSA 2048 bit; 1024 bit là mức tối thiểu mà RFC 6376 cho phép cho khóa dùng lâu dài. Tiêu chuẩn nói người ký phải dùng khóa RSA ít nhất 1024 bit, và người kiểm tra phải kiểm tra được khóa từ 512 đến 2048 bit. Hướng dẫn cho người gửi của Google yêu cầu tối thiểu 1024 bit và khuyến nghị 2048. Khi nhà cung cấp tự tạo khóa, như với thiết lập CNAME ở trên, độ dài do họ chọn và bạn không phải cấu hình gì.
Khi bạn phải tự chọn kích thước, hãy chọn 2048. Khóa 2048 bit dài hơn một chuỗi 255 ký tự trong DNS, nên giá trị TXT được tách thành nhiều chuỗi, điều mà hầu hết trình soạn DNS tự làm. Giới hạn trình soạn này cũng áp dụng cho bản ghi SPF được mô tả trong cách tạo bản ghi SPF.
Tôi có thể dùng nhiều nhà cung cấp trên một tên miền không?
Có: mỗi nhà cung cấp ký bằng selector riêng, nên bản ghi DKIM của họ không đụng nhau. Selector là lý do. Proton dùng protonmail, protonmail2 và protonmail3; Fastmail dùng fm1, fm2 và fm3; Mailbox.org dùng MBO0001 đến MBO0004. Một công cụ gửi bản tin nhân danh bạn sẽ thêm một selector riêng.
SPF thì khác: nó giữ một bản ghi cho mọi người gửi, với giới hạn 10 truy vấn. Khi bạn rời hẳn một nhà cung cấp, hãy xóa các bản ghi DKIM của họ sau khi xác nhận nhà mới đã ký, để một khóa bị bỏ không thể bị ai đó dùng nếu họ truy cập được tài khoản cũ. Thứ tự đầy đủ của một lần chuyển nằm trong cách chuyển email sang nhà cung cấp mới mà không mất thư.
Làm sao kiểm tra DKIM có hoạt động không?
Tra selector bằng dig rồi gửi một thư thật. Lệnh dig CNAME fm1._domainkey.example.com +short sẽ in đích của nhà cung cấp. Với khóa dạng TXT, hãy hỏi TXT. Phép thử quyết định là một thư: header của bản sao đã nhận cho thấy máy chủ nhận có ghi dkim=pass hay không.
Nếu bản ghi đúng mà kiểm tra vẫn lỗi, các nguyên nhân thường gặp là tên host sai (tên miền bị trình soạn DNS thêm hai lần), bộ nhớ đệm cũ, hoặc một thư được gửi trước khi nhà cung cấp kích hoạt ký. Hướng dẫn kế tiếp, cách kiểm tra bản ghi MX, SPF, DKIM và DMARC, liệt kê các lệnh. Các bước Fastmail đầy đủ nằm trong hướng dẫn tên miền tùy chỉnh Fastmail.
Câu hỏi về thiết lập DKIM
Selector DKIM là gì?
Selector là một nhãn do người ký chọn để nhận diện một khóa, như fm1 hay protonmail. Nó cho phép một tên miền giữ nhiều khóa cùng lúc và xoay vòng chúng mà không ngừng hoạt động.
Tôi có cần DKIM nếu đã có SPF không?
Có. SPF hỏng khi thư bị chuyển tiếp, còn chữ ký DKIM vẫn tồn tại nếu thư không bị thay đổi. Quy tắc người gửi hàng loạt của Gmail yêu cầu cả hai.
Vì sao trình soạn DNS của tôi từ chối bản ghi bắt đầu bằng dấu gạch dưới?
Tên có gạch dưới như _domainkey là hợp lệ trong DNS, dù không phải tên host hợp lệ. Nhập host đúng như nhà cung cấp hiển thị, và đừng thêm tên miền hai lần.
Tôi có thể đổi selector DKIM không?
Nhà cung cấp đặt nó. Mailbox.org dùng MBO0001 đến MBO0004, Fastmail dùng fm1 đến fm3 và Proton Mail dùng protonmail đến protonmail3. Giữ nguyên các tên.
DKIM có mã hóa thư không?
Không. Nó ký thư để chứng minh nguồn gốc và tính toàn vẹn, và không che giấu nội dung.
Tóm lại
- DKIM ký mỗi thư; khóa công khai nằm tại selector._domainkey.domain.
- Proton Mail và Fastmail cần 3 bản ghi CNAME, Mailbox.org cần 4.
- Sao chép chính xác tên và đích từ màn hình nhà cung cấp; đích của Proton Mail là duy nhất cho tên miền của bạn.
- RFC 6376 yêu cầu người ký dùng khóa RSA ít nhất 1024 bit; khuyến nghị 2048.
- Mỗi nhà cung cấp dùng selector riêng, nên nhiều nhà có thể ký cho một tên miền.
- Kiểm tra bằng dig và một thư thật hiển thị dkim=pass.
- Postelva lưu các bản ghi trong DNS miễn phí; một .com tốn 12,49 US$/năm mỗi năm.
Nguồn (5)
- RFC 6376, DomainKeys Identified Mail (DKIM) Signatures — RFC Editor (đọc 2026-11-12)
- Hướng dẫn cho người gửi email — Google Workspace Admin Help (đọc 2026-11-12)
- Tên miền riêng và chống giả mạo — Proton (đọc 2026-11-12)
- SPF, DKIM và DMARC cho tên miền riêng — Mailbox.org (đọc 2026-11-12)
- Trợ giúp DNS của Fastmail — Fastmail (đọc 2026-11-12)