SPF so với DKIM so với DMARC: khác nhau thế nào?

SPF làm gì?

SPF trả lời một câu hỏi: máy chủ đã gửi thư này có được phép gửi cho tên miền không? Chủ sở hữu tên miền công bố một bản ghi TXT bắt đầu bằng v=spf1 và liệt kê các nguồn được phép, ví dụ include:_spf.protonmail.ch cho Proton Mail. Người nhận so sánh địa chỉ IP kết nối với danh sách và có kết quả: pass, fail, softfail hoặc neutral, tùy bộ định tính ở cuối (-all, ~all hoặc ?all).

SPF kiểm tra người gửi trong envelope (MAIL FROM) và tên HELO, không phải địa chỉ From mà người đọc thấy. Khoảng trống đó là lý do DMARC tồn tại. SPF cũng có giới hạn cứng: một tên miền chỉ được có một bản ghi SPF, và đánh giá dừng với lỗi vĩnh viễn sau 10 thành phần gây tra cứu DNS (include, a, mx, ptr, exists, redirect). Phương pháp đầy đủ nằm trong hướng dẫn tạo bản ghi SPF.

DKIM làm gì?

DKIM trả lời một câu hỏi khác: thư này có được ký bởi tên miền mà nó tuyên bố không, và nó có đến nguyên vẹn không? Máy chủ gửi ký các tiêu đề được chọn và phần thân bằng khóa riêng. Người nhận đọc tên miền ký (d=) và selector (s=) từ tiêu đề DKIM-Signature, lấy khóa công khai tại selector._domainkey.domain trong DNS và kiểm tra chữ ký.

Vì chữ ký đi cùng thư, DKIM sống sót qua chuyển tiếp mà giữ nguyên thư, điều mà SPF không làm được, vì bên chuyển tiếp gửi từ địa chỉ IP của chính nó. RFC 6376 nói bên ký phải dùng khóa RSA tối thiểu 1024 bit cho các khóa dài hạn, và khuyến nghị selector mới khi khóa thay đổi. Các nhà cung cấp công bố khóa thay bạn: ba bản ghi CNAME cho Proton Mail và Fastmail, bốn cho Mailbox.org. Chi tiết nằm trong hướng dẫn thiết lập DKIM.

DMARC làm gì?

DMARC gắn SPF và DKIM với tên miền From hiển thị, và cho người nhận biết phải làm gì khi cả hai kiểm tra đều không khớp. Một thư qua DMARC khi SPF hoặc DKIM đạt và tên miền mà nó xác thực khớp với tên miền From. Căn chỉnh mặc định là nới lỏng (cùng tên miền tổ chức), và nghiêm ngặt khi đặt bằng aspf=s hoặc adkim=s.

Bản ghi nằm tại _dmarc.yourdomain và mang một chính sách: p=none (chỉ giám sát), p=quarantine (coi là đáng ngờ) hoặc p=reject (từ chối). Một địa chỉ rua nhận báo cáo tổng hợp, cho thấy ai gửi thư đứng tên bạn. RFC 9989, được công bố tháng 5 năm 2026, là đặc tả hiện hành; nó thay thế RFC 7489, bỏ thẻ pct và thêm cờ kiểm tra t. Quá trình triển khai từ giám sát đến từ chối nằm trong hướng dẫn thiết lập DMARC.

Tôi có cần cả ba không?

Có: một tên miền tùy chỉnh gửi thư nên công bố SPF, DKIM và DMARC, vì các nhà nhận lớn yêu cầu chúng. Hướng dẫn người gửi của Google yêu cầu SPF, DKIM và một bản ghi DMARC (chính sách none là đủ) cho người gửi trên 5.000 thư mỗi ngày tới tài khoản Gmail. Microsoft yêu cầu người gửi Outlook.com trên 5.000 mỗi ngày cùng ba thứ đó, từ ngày 5 tháng 5 năm 2025, và Yahoo cũng yêu cầu SPF, DKIM và DMARC từ người gửi hàng loạt.

Một hộp thư cá nhân gửi ít thư hơn nhiều, nên các ngưỡng không ràng buộc bạn. Các bản ghi vẫn quyết định thư của bạn có vào hộp thư đến hay không, và chúng ngăn người khác giả mạo địa chỉ của bạn. Theo cách đếm của Postelva ngày 12 tháng 11 năm 2026 từ các trang trợ giúp của nhà cung cấp, một thiết lập Proton Mail đầy đủ cần 8 bản ghi DNS và một thiết lập Mailbox.org đầy đủ cần 11, trong đó 3 và 4 là khóa DKIM. Các bản ghi MX được bao quát trong bản ghi MX là gì.

Những lỗi nào làm hỏng ba bản ghi?

Ba lỗi gây phần lớn thất bại: bản ghi SPF thứ hai, hơn 10 lần tra cứu, và chính sách DMARC đặt quá nghiêm quá sớm. Một tên miền có hai bản ghi SPF sẽ trả về lỗi vĩnh viễn, nên hãy thêm include của nhà cung cấp mới vào bản ghi hiện có. Việc chồng máy chủ thư, công cụ bản tin và bộ phận hỗ trợ có thể đẩy số lần tra cứu quá 10, và khi đó bản ghi thất bại với mọi người gửi. Mailbox.org và Proton đều khuyên bắt đầu DMARC ở p=none, và Mailbox.org cảnh báo rằng một chính sách nghiêm ngặt áp dụng quá sớm có thể làm thư hợp lệ bị trả lại.

Lỗi thứ tư là giữ các mục DKIM và SPF của nhà cung cấp cũ trong nhiều tháng. Chúng không gây hại cho việc gửi, nhưng chúng mở rộng danh sách máy chủ được phép nói thay bạn. Hãy xóa chúng sau khi việc chuyển được xác nhận.

Ba thứ hoạt động cùng nhau trên một thư thế nào?

Người nhận chạy SPF và DKIM, rồi DMARC kết hợp kết quả. Lấy một thư từ [email protected] gửi qua Proton Mail. SPF đạt nếu máy chủ kết nối nằm trong danh sách _spf.protonmail.ch. DKIM đạt nếu chữ ký được tạo bằng khóa dưới yourname.com xác minh được. Sau đó DMARC hỏi liệu ít nhất một trong hai đã đạt với yourname.com trong định danh được căn chỉnh hay không. Nếu có, thư đạt; nếu không, người nhận áp dụng chính sách của bạn và đưa kết quả vào báo cáo tổng hợp tiếp theo.

RFC 9989 lưu ý rằng một tên miền ở p=reject không được chỉ dựa vào SPF và nên ký bằng DKIM, vì SPF hỏng khi chuyển tiếp. ARC (RFC 8617), một tiêu chuẩn thử nghiệm, cho phép bên chuyển tiếp ghi lại kết quả gốc, dù nó không thuộc thiết lập riêng của bạn. Sau khi công bố bản ghi, hãy kiểm tra bằng dig trước khi siết chặt bất kỳ chính sách nào.

Một định nghĩa có thể trích dẫn: SPF cấp quyền cho máy chủ, DKIM xác thực thư, và DMARC thực thi sự khớp với tên miền From và báo cáo kết quả.