DMARC Là Gì? Hướng Dẫn Tạo Bản Ghi, Cấu Hình SPF DMARC Và PTR

DMARC là gì?

DMARC là viết tắt của Domain-based Message Authentication, Reporting and Conformance, có thể hiểu là cơ chế xác thực, báo cáo và thiết lập chính sách email dựa trên tên miền. Giao thức này được thiết kế nhằm giúp tổ chức xác định email nào thực sự được phép sử dụng tên miền của mình trong trường From mà người nhận nhìn thấy.

Khi một email được gửi đến Gmail, Outlook, Yahoo Mail hoặc một hệ thống email khác, máy chủ nhận sẽ kiểm tra SPF và DKIM. DMARC tiếp tục đối chiếu kết quả đó với tên miền hiển thị trong địa chỉ From. Nếu thư vượt qua ít nhất một cơ chế xác thực có sự liên kết tên miền phù hợp, thư có thể vượt qua DMARC. Nếu cả SPF và DKIM đều không hợp lệ hoặc không liên kết đúng tên miền, máy chủ nhận sẽ xử lý thư theo chính sách DMARC đã công bố.

Điểm quan trọng của DMARC nằm ở khả năng trao quyền kiểm soát cho chủ sở hữu tên miền. Thay vì để từng nhà cung cấp hộp thư tự quyết định cách xử lý email giả mạo, doanh nghiệp có thể công bố rõ chính sách qua DNS. Đồng thời, doanh nghiệp còn nhận được báo cáo về nguồn gửi, địa chỉ IP, số lượng thư, kết quả xác thực và tình trạng giả mạo tên miền.

Ví dụ đơn giản về cách DMARC bảo vệ tên miền

Giả sử doanh nghiệp sở hữu tên miền example.vn và sử dụng địa chỉ info@example.vn để giao dịch với khách hàng. Kẻ xấu có thể tạo một email giả, hiển thị người gửi là ketoan@example.vn rồi gửi yêu cầu thanh toán đến đối tác. Nếu example.vn chưa thiết lập DMARC, hệ thống nhận có thể không có đủ chỉ dẫn để từ chối thư giả mạo này.

Khi example.vn đã cấu hình SPF, DKIM và DMARC với chính sách p=reject, máy chủ nhận sẽ kiểm tra nguồn gửi. Nếu email không xuất phát từ máy chủ được SPF cho phép và cũng không có chữ ký DKIM hợp lệ gắn với example.vn, thư sẽ không vượt qua DMARC. Theo chính sách reject, máy chủ nhận có thể từ chối thư ngay trong quá trình SMTP.

DMARC không thể ngăn mọi hình thức lừa đảo qua email. Chẳng hạn, kẻ xấu vẫn có thể đăng ký một tên miền có ký tự gần giống tên miền thật. Tuy nhiên, DMARC đặc biệt hiệu quả trong việc chống giả mạo trực tiếp tên miền chính thức của doanh nghiệp.

Vì sao doanh nghiệp cần triển khai DMARC?

Email là một trong những kênh giao tiếp được sử dụng nhiều nhất trong hoạt động bán hàng, chăm sóc khách hàng, ký kết hợp đồng và trao đổi dữ liệu nội bộ. Chính vì mức độ phổ biến đó, email cũng trở thành mục tiêu hàng đầu của các chiến dịch phishing, giả mạo lãnh đạo, lừa chuyển tiền và đánh cắp tài khoản.

Năm 2026, một nghiên cứu về các tên miền liên quan đến đối tác của FIFA World Cup cho thấy 96% tên miền được khảo sát đã công bố DMARC, nhưng chỉ 64% áp dụng chính sách mạnh nhất là reject. Khoảng 36% chưa chủ động từ chối hoàn toàn email giả mạo. Số liệu này cho thấy khoảng cách lớn giữa việc “có DMARC” và việc “thực thi DMARC đầy đủ”.

Đối với doanh nghiệp, hậu quả của một email giả mạo thành công không chỉ nằm ở thiệt hại tài chính. Sự cố còn có thể làm mất uy tín thương hiệu, khiến khách hàng nghi ngờ những email hợp lệ và gia tăng số lượng khiếu nại spam. DMARC giúp giảm những rủi ro này bằng cách tạo ra một lớp kiểm soát ở cấp độ tên miền.

Ngăn chặn giả mạo địa chỉ người gửi

Email truyền thống cho phép trường From được khai báo tương đối linh hoạt. Đây là lý do kẻ tấn công có thể làm cho thư giả trông giống thư được gửi từ giám đốc, phòng kế toán hoặc bộ phận hỗ trợ khách hàng. Người nhận nhìn thấy địa chỉ quen thuộc nên dễ tin tưởng và thực hiện yêu cầu trong thư.

DMARC yêu cầu tên miền hiển thị trong trường From phải liên kết với tên miền đã vượt qua SPF hoặc DKIM. Nếu không có sự liên kết này, thư sẽ bị đánh dấu không đạt DMARC. Doanh nghiệp có thể yêu cầu máy chủ nhận giám sát, cách ly hoặc từ chối thư dựa trên mức độ triển khai.

Cơ chế này đặc biệt hữu ích đối với các thương hiệu có lượng khách hàng lớn, thường xuyên gửi hóa đơn, thông báo tài khoản, email xác nhận đơn hàng hoặc thông tin thanh toán. Tên miền càng có giá trị, nguy cơ bị lợi dụng để giả mạo càng cao.

Bảo vệ uy tín thương hiệu

Một chiến dịch giả mạo tên miền có thể khiến hàng nghìn khách hàng nhận được email lừa đảo mang tên doanh nghiệp. Ngay cả khi hệ thống của doanh nghiệp không bị xâm nhập, người nhận vẫn có thể cho rằng doanh nghiệp không bảo vệ tốt dữ liệu hoặc không kiểm soát được kênh liên lạc của mình.

DMARC giúp doanh nghiệp chứng minh với các máy chủ nhận rằng tên miền có chính sách xác thực rõ ràng. Khi kết hợp với SPF, DKIM và quy trình giám sát báo cáo, doanh nghiệp có thể phát hiện những nguồn gửi chưa được ủy quyền trước khi chúng gây ảnh hưởng lớn.

Với tổ chức đang xây dựng hệ thống email chuyên nghiệp, việc sử dụng Business Email theo tên miền riêng kết hợp cùng các bản ghi xác thực sẽ tạo ra nền tảng giao tiếp đáng tin cậy hơn. Tại HostingViet, gói Business Email One có giá từ 45.000 đồng/tháng, cung cấp 5 GB dung lượng cho một địa chỉ email và hỗ trợ sao lưu hằng ngày.

Cải thiện khả năng gửi email vào hộp thư đến

DMARC không phải công cụ bảo đảm mọi thư đều vào Inbox. Khả năng gửi email còn phụ thuộc vào chất lượng nội dung, lịch sử địa chỉ IP, tỷ lệ người dùng báo cáo spam, mức độ tương tác và cách quản lý danh sách người nhận. Tuy nhiên, xác thực email đầy đủ là một tín hiệu quan trọng giúp nhà cung cấp hộp thư đánh giá mức độ đáng tin của người gửi.

Google và Yahoo đã tăng yêu cầu đối với đơn vị gửi email số lượng lớn từ năm 2024. Trong đó, người gửi hàng nghìn thư mỗi ngày đến tài khoản Gmail cần triển khai SPF, DKIM và DMARC, đồng thời kiểm soát tỷ lệ khiếu nại spam. Điều này cho thấy xác thực tên miền không còn là tùy chọn dành riêng cho doanh nghiệp lớn.

Khi DMARC được cấu hình chính xác, doanh nghiệp có thể giảm tình trạng nguồn gửi hợp lệ bị nhầm với nguồn giả mạo. Báo cáo DMARC cũng hỗ trợ phát hiện các nền tảng gửi email chưa được cấu hình SPF hoặc DKIM đúng cách, từ đó cải thiện khả năng chuyển phát.

Thế DMARC hoạt động ra sao?

Quá trình kiểm tra DMARC diễn ra sau khi máy chủ nhận đã đánh giá SPF và DKIM. Giao thức không chỉ xem kết quả pass hoặc fail mà còn kiểm tra sự liên kết, thường được gọi là identifier alignment, giữa tên miền xác thực và tên miền hiển thị trong trường From.

Một email chỉ cần vượt qua DMARC bằng một trong hai hướng: SPF pass và aligned, hoặc DKIM pass và aligned. Không bắt buộc cả SPF lẫn DKIM cùng đạt. Tuy nhiên, HostingViet khuyến nghị doanh nghiệp cấu hình đầy đủ cả hai để tăng khả năng duy trì xác thực trong các tình huống chuyển tiếp thư hoặc sử dụng nhiều nền tảng gửi.

Sau khi xác định kết quả, máy chủ nhận đọc chính sách DMARC trong DNS của tên miền gửi. Chính sách có thể là none, quarantine hoặc reject. Việc máy chủ nhận có thực thi chính xác chính sách hay không còn phụ thuộc vào hệ thống của họ, nhưng các nhà cung cấp lớn thường sử dụng DMARC như một tín hiệu xử lý quan trọng.

Vai trò của SPF trong DMARC

SPF, viết tắt của Sender Policy Framework, là bản ghi DNS liệt kê những máy chủ hoặc địa chỉ IP được phép gửi email thay mặt tên miền. Khi nhận thư, hệ thống đích kiểm tra địa chỉ IP gửi có nằm trong phạm vi được bản ghi SPF cho phép hay không.

Điểm cần lưu ý là SPF thường xác thực tên miền trong MAIL FROM hoặc Return-Path, không mặc định xác thực trường From mà người dùng nhìn thấy. DMARC bổ sung yêu cầu alignment để bảo đảm tên miền SPF có mối liên hệ phù hợp với tên miền From.

SPF cũng có giới hạn tối đa 10 lần tra cứu DNS trong quá trình đánh giá. Nếu doanh nghiệp thêm quá nhiều cơ chế include từ nhiều dịch vụ, bản ghi có thể phát sinh lỗi permerror. Vì vậy, quản trị viên cần kiểm kê nguồn gửi, loại bỏ dịch vụ không còn sử dụng và hạn chế cấu hình SPF chồng chéo.

Vai trò của DKIM trong DMARC

DKIM, viết tắt của DomainKeys Identified Mail, sử dụng chữ ký mật mã để xác minh email không bị thay đổi trái phép trên đường truyền và thư được ký bởi một tên miền cụ thể. Máy chủ gửi sử dụng khóa riêng để ký một phần tiêu đề và nội dung, trong khi khóa công khai được công bố qua DNS.

Khi email đến máy chủ nhận, hệ thống sẽ tra cứu khóa công khai dựa trên selector và tên miền DKIM. Nếu chữ ký hợp lệ, DKIM đạt kết quả pass. Để vượt qua DMARC, tên miền trong tham số d= của chữ ký DKIM phải aligned với tên miền From.

DKIM thường duy trì khả năng xác thực tốt hơn SPF trong trường hợp email được chuyển tiếp, bởi địa chỉ IP gửi có thể thay đổi nhưng chữ ký vẫn còn hiệu lực nếu nội dung không bị sửa đổi. Dù vậy, một số hệ thống chuyển tiếp hoặc danh sách thư có thể thêm nội dung, thay đổi tiêu đề và làm hỏng chữ ký DKIM.

Khái niệm alignment trong DMARC

Alignment là điều kiện cốt lõi giúp DMARC kết nối danh tính kỹ thuật với địa chỉ người gửi mà người nhận nhìn thấy. Nếu email hiển thị From là user@example.vn nhưng SPF xác thực một tên miền hoàn toàn khác, SPF có thể pass ở cấp độ riêng nhưng không đủ điều kiện để DMARC pass.

DMARC hỗ trợ hai chế độ alignment là relaxed và strict. Ở chế độ relaxed, tên miền con có thể được xem là phù hợp với tên miền tổ chức. Ví dụ, mail.example.vn có thể aligned với example.vn. Ở chế độ strict, hai tên miền phải trùng khớp chính xác.

Phần lớn doanh nghiệp bắt đầu với chế độ relaxed vì dễ tương thích với các nền tảng gửi thư, CRM, phần mềm hóa đơn và hệ thống marketing. Chế độ strict phù hợp khi tổ chức đã kiểm soát chặt chẽ toàn bộ hạ tầng gửi và có yêu cầu bảo mật cao.

>>Xem thêm : Hướng dẫn sử dụng Email Hosting trên APP hệ điều hành Android

Còn DKIM chính là DomainKeys Identified Mail, có nghĩa nó giúp chúng ta xác minh tên miền của một email đến và chứng minh rằng đây là Mail thật, không bị làm giả khi chuyển tiếp cho ai đó. Về vấn đề cả hai kĩ thuật này hoạt động ra sao, muốn biết chi tiết cụ thể, hãy đón xem bài viết tiếp theo.

Cách tạo DMARC record như thế nào?

Cách tạo bản ghi DMARC cũng là một trong những điều mà bạn không nên bỏ qua. Công việc cấu hình DMARC cho một tên miền được cho là phần rất nhạy cảm và. Bởi lẽ nó sẽ mất nhiều thời gian cộng với khả năng rủi ro trong quá trình thực hiện. Rủi ro chính là khi cấu hình DMARC có thể loại bỏ cả các email hợp lệ. Để tránh khỏi những điều này, chúng ta cần thực hiện theo trình tự quan sát rồi áp dụng sau:

Bước 1: Tạo một bản ghi DMARC

Bản record này, chúng ta đã sử dụng “p=none” thay vì “p=reject”. Và thêm nữa “none” sẽ cho biết đây là chế độ test mode. Các máy chủ mail nhận kiểm tra từng message gửi đến, khác là nó sẽ chỉ gửi về các report mà không thực hiện bất cứ hành động cụ thể nào. Từ đó nó cho phép ta thu thập được các thông tin chi tiết về những địa chỉ mail server gửi về từ trước khi có quyết định để thực hiện một hành động cụ thể.

Bây giờ việc chúng ta cần làm là tìm kiếm một công cụ thu thập số liệu thống kê này. HostingViet xin đề xuất cho bạn http://dmarc.postmarkapp.com - một công cụ bạn không nên bỏ qua.

>>Xem thêm : Dịch vụ Email Hosting là gì? Điều kiện sử dụng Email Hosting

Bước 2: Phân tích DMARC report giúp xác định kết quả là pass hay fail

Song để có được kết quả thống kê tương tự như trong hình, ta cần bỏ ra một khoảng thời gian tương đối dài để thu thập dữ liệu.

Có 3 thống kê mà chúng ta cần xem:

• Processed: Là số lượng message đã được gửi report
• Fully Aligned: Là số lượng message đã pass (vượt qua) được cả SPF và DKIM.
• Failed: Là số lượng message đã failed (không vượt qua) tại SPF hoặc DKIM.

Kế đến chúng ta sẽ xem ở 2 trường quan trọng sau:

• Trusted sources: Trường bao gồm các địa chi email server, bao gồm cả domain và IP, mà đã pass qua cả SPF và DKIM.
• Unknown/Threats: Trường bao gồm các địa chi email server mà không pass qua được SPF hoặc DKIM. Trong một vài trường hợp, Unknown là những source hợp lệ đang gửi email nhưng lại không bao gồm sử dụng DKIM hay SPF. Đây chính là lý do sẽ dẫn tới việc thực thi DMRAC đã trở nên vô cùng nhạy cảm.

Bước 3: Chuyển các địa chỉ đã biết (xác định là hợp lệ) để gán DMARC

Sau khi ta đã có được các địa chỉ hợp lệ, chúng ta sẽ tạo danh sách cho nó. Và đối với mỗi địa chỉ mới, ta sẽ tiến hành đối chiếu lại với danh sách này. Như chúng ta đã biết, mục đích cuối cùng của DMARC là kiểm tra cho việc pass qua cả DKIM và SPF. Trong một vài trường hợp đặc biệt thì đó là email fowarding, tại đó Return-path bị thay đổi và SPF failed. Nhưng nếu có DKIM, nó vẫn sẽ được chấp nhận như các email hợp lệ.

Bước 4: Thực thi thực tế

Khi ta đã nắm được tương đối các địa chỉ hợp lệ, bước thứ tư là chuyển bản ghi DMARC sang một chế độ chặt chẽ hơn, đó chính là “p=quarantine”. Việc cách ly sẽ đặt các mail được gửi đến (nhưng ở dạng failed) vào trong thư mục SPAM/JUNK. Cuối cùng, qua thời gian chúng ta sẽ đặt nó ở chế độ chặt chẽ nhất “p=reject”, nó loại bỏ hoàn toàn các message gửi đến bị failed.

Vậy là chúng ta đã cùng tìm hiểu về DMARC cũng như các thông tin hữu ích xoay quanh nó. Nếu bạn mong muốn được hỗ trợ nhiều hơn các vấn đề liên quan như cấu hình SPF DMARC và PTR hay tìm hiểu DMARC record pulished là gì, hãy theo dõi mục tin tức của chúng tôi. 

Bạn cũng có thể liên hệ tới hotline: 024 6656 7555. Điều đó sẽ có ích cho việc bảo mật thông tin của công ty, doanh nghiệp hay tổ chức nơi bạn đang làm việc.

Các chính sách DMARC quan trọng

Chính sách DMARC được xác định chủ yếu bằng thẻ p trong bản ghi TXT. Ba giá trị phổ biến gồm none, quarantine và reject. Doanh nghiệp nên chuyển đổi chính sách theo từng giai đoạn thay vì thiết lập reject ngay khi chưa kiểm kê đầy đủ các nguồn gửi.

Ngoài thẻ p, bản ghi DMARC còn có thể chứa nhiều tham số như rua, ruf, pct, sp, adkim và aspf. Mỗi tham số kiểm soát một khía cạnh cụ thể của việc báo cáo hoặc thực thi chính sách.

Việc hiểu đúng các giá trị này giúp tránh hai tình huống đối lập: chính sách quá lỏng khiến tên miền vẫn bị giả mạo, hoặc chính sách quá chặt làm email hợp lệ bị từ chối.

Chính sách p=none

p=none là chế độ giám sát. Máy chủ nhận vẫn kiểm tra DMARC và có thể gửi báo cáo về cho chủ tên miền, nhưng tên miền không yêu cầu cách ly hay từ chối những thư không vượt qua xác thực.

Đây là chính sách phù hợp cho giai đoạn khởi đầu. Doanh nghiệp có thể thu thập báo cáo trong vài tuần để xác định hệ thống nào đang gửi email bằng tên miền, nguồn nào hợp lệ và nguồn nào đáng ngờ. Các dịch vụ có thể bao gồm máy chủ mail nội bộ, phần mềm CRM, nền tảng email marketing, hệ thống chăm sóc khách hàng, phần mềm kế toán và ứng dụng gửi thông báo.

Tuy nhiên, p=none không ngăn chặn thư giả mạo. Nếu duy trì chính sách này quá lâu, doanh nghiệp chỉ có khả năng quan sát mà chưa thực thi biện pháp bảo vệ ở cấp độ DMARC.

Chính sách p=quarantine

p=quarantine yêu cầu máy chủ nhận xử lý thư không vượt qua DMARC như thư đáng ngờ. Tùy hệ thống, email có thể bị chuyển vào thư rác, vùng cách ly hoặc chịu các bước kiểm tra bổ sung.

Quarantine thường được sử dụng trong giai đoạn trung gian sau khi doanh nghiệp đã xử lý phần lớn nguồn gửi hợp lệ. Quản trị viên có thể kết hợp với thẻ pct để áp dụng chính sách cho một tỷ lệ thư nhất định, chẳng hạn 25%, 50% rồi 100%.

Dù mạnh hơn none, quarantine vẫn có thể cho phép người nhận nhìn thấy thư giả trong thư mục Spam. Vì vậy, mục tiêu dài hạn của những tên miền có yêu cầu bảo vệ thương hiệu cao thường là chuyển sang reject.

Chính sách p=reject

p=reject là cấp độ thực thi mạnh nhất. Tên miền yêu cầu máy chủ nhận từ chối những thư không vượt qua DMARC. Trong nhiều trường hợp, thư bị loại bỏ ngay trong phiên SMTP thay vì được chuyển vào hộp thư của người dùng.

Reject mang lại khả năng chống giả mạo trực tiếp tốt hơn, nhưng chỉ nên triển khai sau khi doanh nghiệp đã xác minh toàn bộ nguồn gửi hợp lệ. Nếu một phần mềm gửi hóa đơn hoặc hệ thống marketing chưa được cấu hình SPF và DKIM đúng, email của hệ thống đó có thể bị từ chối.

Trước khi chuyển sang reject, HostingViet khuyến nghị theo dõi báo cáo DMARC, kiểm thử với quarantine, tăng dần tỷ lệ thực thi và duy trì ít nhất một cơ chế xác thực aligned cho từng nguồn gửi.

Cấu trúc bản ghi DMARC

Bản ghi DMARC được công bố dưới dạng TXT tại tên máy chủ _dmarc.tenmien. Ví dụ, với tên miền example.vn, bản ghi được tạo tại _dmarc.example.vn. Một cấu hình cơ bản có thể là:

v=DMARC1; p=none; rua=mailto:dmarc@example.vn;

Trong đó, v=DMARC1 khai báo phiên bản DMARC, p=none đặt chính sách giám sát và rua chỉ định địa chỉ nhận báo cáo tổng hợp. Các thẻ được ngăn cách bằng dấu chấm phẩy.

Mỗi tên miền chỉ nên có một bản ghi DMARC hợp lệ tại đúng vị trí. Nếu DNS tồn tại nhiều bản ghi DMARC độc lập, quá trình đánh giá có thể thất bại. Doanh nghiệp nên chỉnh sửa bản ghi hiện tại thay vì tạo thêm một bản ghi mới.

Ý nghĩa của các thẻ thường dùng

• v: Phiên bản giao thức, hiện sử dụng DMARC1.
• p: Chính sách áp dụng cho tên miền chính, gồm none, quarantine hoặc reject.
• rua: Địa chỉ nhận báo cáo tổng hợp, thường ở định dạng XML.
• ruf: Địa chỉ nhận báo cáo lỗi chi tiết nếu máy chủ nhận hỗ trợ.
• pct: Tỷ lệ phần trăm email chịu tác động của chính sách.
• sp: Chính sách dành riêng cho tên miền con.
• adkim: Chế độ alignment của DKIM, gồm relaxed hoặc strict.
• aspf: Chế độ alignment của SPF.
• fo: Điều kiện tạo báo cáo lỗi xác thực.

Không phải thẻ nào cũng cần xuất hiện trong bản ghi. Một bản ghi ngắn nhưng được thiết kế đúng thường hiệu quả hơn bản ghi phức tạp mà quản trị viên không theo dõi được. Với phần lớn doanh nghiệp, các thẻ quan trọng nhất trong giai đoạn đầu là v, p và rua.

Mẫu bản ghi theo từng giai đoạn

Ở giai đoạn quan sát, doanh nghiệp có thể sử dụng cấu hình:

v=DMARC1; p=none; rua=mailto:dmarc@example.vn; adkim=r; aspf=r;

Khi đã xác minh nguồn gửi, có thể chuyển sang cách ly một phần:

v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc@example.vn;

Sau khi hệ thống ổn định, cấu hình bảo vệ mạnh hơn có thể là:

v=DMARC1; p=reject; rua=mailto:dmarc@example.vn; sp=reject;

Địa chỉ nhận báo cáo cần tồn tại và có đủ dung lượng. Với tên miền gửi số lượng email lớn, số lượng tệp báo cáo có thể tăng nhanh. Doanh nghiệp nên sử dụng hộp thư riêng hoặc nền tảng phân tích DMARC thay vì dùng địa chỉ email cá nhân.

Hướng dẫn thiết lập DMARC cho tên miền

Để thiết lập DMARC an toàn, doanh nghiệp cần triển khai theo quy trình có kiểm soát. Không nên chỉ sao chép một bản ghi trên Internet rồi đặt p=reject ngay lập tức, bởi mỗi tổ chức có danh sách hệ thống gửi email khác nhau.

Quá trình triển khai thường bắt đầu từ kiểm kê nguồn gửi, chuẩn hóa SPF, kích hoạt DKIM, tạo DMARC ở chế độ none, phân tích báo cáo và tăng dần mức thực thi. Thời gian theo dõi phụ thuộc vào tần suất gửi email và độ phức tạp của hạ tầng.

Doanh nghiệp cũng cần quyền quản lý DNS của tên miền. Khi sử dụng dịch vụ đăng ký tên miền tại HostingViet, người dùng có thể quản lý các bản ghi cần thiết trong hệ thống DNS. Dịch vụ tên miền tại HostingViet có mức giá từ 25.000 đồng tùy phần mở rộng và chương trình áp dụng tại từng thời điểm.

Bước 1: Kiểm kê toàn bộ nguồn gửi email

Hãy lập danh sách tất cả hệ thống đang sử dụng tên miền trong địa chỉ From. Danh sách không chỉ gồm máy chủ email chính mà còn có website WordPress, biểu mẫu liên hệ, phần mềm CRM, hệ thống hóa đơn điện tử, nền tảng email marketing, phần mềm tuyển dụng và công cụ hỗ trợ khách hàng.

Mỗi nguồn gửi cần được xác định rõ nhà cung cấp, địa chỉ IP, tên miền Return-Path, tên miền DKIM và người phụ trách. Những hệ thống không còn sử dụng nên được loại bỏ khỏi SPF và thu hồi quyền gửi.

Đây là bước thường bị bỏ qua, dẫn đến việc email hợp lệ bị chặn khi chuyển sang quarantine hoặc reject. Báo cáo DMARC sẽ tiếp tục hỗ trợ phát hiện nguồn gửi còn thiếu, nhưng kiểm kê ban đầu giúp giảm đáng kể rủi ro.

Bước 2: Kiểm tra và tối ưu SPF

Doanh nghiệp cần bảo đảm tên miền chỉ có một bản ghi SPF. Nếu đang tồn tại nhiều bản ghi bắt đầu bằng v=spf1, hãy hợp nhất chúng thành một bản ghi hợp lệ. Các cơ chế include cần được kiểm tra để xác nhận vẫn thuộc dịch vụ đang sử dụng.

Cuối bản ghi SPF thường có cơ chế ~all hoặc -all. Softfail với ~all phù hợp trong giai đoạn kiểm thử, còn -all thể hiện rằng các nguồn không được liệt kê không có quyền gửi. Tuy nhiên, việc chọn giá trị cần dựa trên tình trạng thực tế của hạ tầng.

Đặc biệt, quản trị viên cần theo dõi giới hạn 10 lần DNS lookup. Nếu vượt giới hạn, SPF có thể trả về permerror, làm giảm khả năng vượt qua DMARC theo hướng SPF.

Bước 3: Kích hoạt DKIM cho từng dịch vụ

Mỗi nền tảng gửi email thường cung cấp một hoặc nhiều bản ghi DKIM. Quản trị viên cần thêm khóa công khai vào DNS và hoàn tất bước xác minh trong giao diện của nhà cung cấp. Sau khi kích hoạt, hãy gửi email thử để kiểm tra chữ ký DKIM.

Nên sử dụng khóa DKIM có độ dài 2048 bit nếu nhà cung cấp và DNS hỗ trợ. Đồng thời, doanh nghiệp cần có kế hoạch luân chuyển khóa định kỳ, đặc biệt khi có thay đổi nhân sự quản trị hoặc nghi ngờ khóa bị lộ.

Nếu doanh nghiệp tự vận hành hệ thống mail trên máy chủ riêng, cần cấu hình phần mềm ký DKIM, bảo vệ khóa riêng và thiết lập selector rõ ràng. Một Cloud VPS giá rẻ tốc độ cao có thể được sử dụng để triển khai các dịch vụ máy chủ tùy chỉnh. HostingViet hiện cung cấp VPS giá từ 75.000 đồng/tháng, hỗ trợ Linux, Windows và quản lý khởi tạo linh hoạt.

Bước 4: Tạo bản ghi DMARC với p=none

Sau khi SPF và DKIM đã hoạt động, hãy tạo bản ghi TXT tại _dmarc.tên-miền. Trong giai đoạn đầu, sử dụng p=none và khai báo địa chỉ nhận báo cáo tổng hợp qua thẻ rua.

Doanh nghiệp nên duy trì chế độ giám sát đủ lâu để thu thập dữ liệu đại diện cho các hoạt động gửi định kỳ. Ví dụ, hệ thống chỉ gửi hóa đơn vào cuối tháng sẽ không xuất hiện đầy đủ trong vài ngày đầu tiên.

Trong thời gian này, hãy kiểm tra tỷ lệ DMARC pass, nguồn gửi không nhận diện được, lỗi SPF, lỗi DKIM và những tên miền con đang được sử dụng. Không nên chuyển chính sách khi vẫn còn nguồn gửi hợp lệ có lượng thư lớn nhưng chưa xác thực.

Bước 5: Chuyển dần sang quarantine và reject

Khi phần lớn luồng thư hợp lệ đã đạt DMARC, doanh nghiệp có thể chuyển sang p=quarantine với pct thấp. Ví dụ, pct=10 áp dụng chính sách cho khoảng 10% thư không đạt. Sau đó, tăng dần lên 25%, 50% và 100%.

Nếu không phát hiện ảnh hưởng đáng kể đến thư hợp lệ, chính sách có thể được chuyển sang p=reject với tỷ lệ thấp rồi nâng dần. Cách triển khai này giúp hạn chế rủi ro gián đoạn trong môi trường có nhiều hệ thống gửi.

Sau khi đạt reject 100%, doanh nghiệp vẫn phải tiếp tục theo dõi báo cáo. Hạ tầng email thay đổi theo thời gian; một phần mềm mới hoặc nhà cung cấp mới có thể phát sinh lỗi nếu chưa được thêm vào quy trình xác thực.

Cách đọc báo cáo DMARC

Báo cáo tổng hợp DMARC thường được gửi dưới dạng tệp XML nén. Mỗi báo cáo cung cấp dữ liệu từ một tổ chức nhận thư trong một khoảng thời gian, thường là 24 giờ. Nội dung có thể gồm địa chỉ IP gửi, số lượng thư, kết quả SPF, kết quả DKIM và chính sách đã áp dụng.

Đọc trực tiếp XML có thể khó đối với người không chuyên. Doanh nghiệp có thể sử dụng phần mềm phân tích để chuyển dữ liệu thành biểu đồ và nhóm nguồn gửi. Dù sử dụng công cụ nào, người quản trị vẫn cần hiểu ý nghĩa của các trường chính để đưa ra quyết định đúng.

Mục tiêu của việc phân tích không chỉ là tìm email giả mạo. Báo cáo còn giúp phát hiện cấu hình sai, dịch vụ đã bị quên, nguồn gửi phát sinh ngoài quy trình và biến động bất thường về lưu lượng.

Những dữ liệu cần quan tâm

• Source IP: Địa chỉ IP của máy chủ gửi thư.
• Count: Số lượng thư được ghi nhận từ nguồn gửi đó.
• Disposition: Cách thư được xử lý như none, quarantine hoặc reject.
• DKIM result: Kết quả xác minh chữ ký DKIM.
• SPF result: Kết quả kiểm tra SPF.
• Header From: Tên miền hiển thị với người nhận.
• Envelope From: Tên miền được sử dụng trong quá trình gửi SMTP.

Một nguồn gửi có SPF pass nhưng DMARC fail có thể đang gặp lỗi alignment. Tương tự, DKIM pass nhưng tên miền d= không liên kết với Header From cũng không đủ để vượt qua DMARC.

Nếu địa chỉ IP không xác định gửi lượng thư lớn bằng tên miền doanh nghiệp và liên tục fail cả SPF lẫn DKIM, đây có thể là dấu hiệu giả mạo. Khi tên miền đang ở p=none, những thư này chưa chắc đã bị chặn, vì vậy doanh nghiệp cần tiến tới chính sách thực thi sau khi xử lý nguồn hợp lệ.

DMARC có ngăn chặn hoàn toàn phishing không?

DMARC không thể loại bỏ toàn bộ phishing vì giao thức tập trung vào việc bảo vệ tên miền khỏi hành vi giả mạo trực tiếp. Kẻ tấn công vẫn có thể sử dụng tên miền gần giống, tài khoản email miễn phí, tên hiển thị giả hoặc một tài khoản hợp lệ đã bị chiếm quyền.

Ví dụ, nếu tên miền thật là doanhnghiep.vn, kẻ xấu có thể đăng ký doanh-nghiep.vn hoặc thay một ký tự bằng ký tự có hình dáng tương tự. Email từ tên miền mới có thể vượt qua SPF, DKIM và DMARC của chính tên miền đó nhưng vẫn gây nhầm lẫn cho người nhận.

Vì vậy, DMARC cần được kết hợp với đào tạo nhận thức bảo mật, xác thực đa yếu tố, bộ lọc chống spam, giám sát tên miền tương tự, quy trình xác minh thanh toán và cơ chế bảo vệ tài khoản email.

Những rủi ro DMARC xử lý tốt

• Giả mạo trực tiếp tên miền trong trường From.
• Nguồn gửi không được ủy quyền sử dụng địa chỉ thương hiệu.
• Thiếu khả năng quan sát những hệ thống đang gửi email bằng tên miền.
• Không có chính sách thống nhất cho máy chủ nhận khi xác thực thất bại.
• Khó phát hiện lỗi SPF, DKIM và alignment trên nhiều nền tảng.

Những rủi ro cần giải pháp bổ sung

• Tài khoản email hợp lệ bị đánh cắp mật khẩu.
• Tên miền gần giống hoặc tên miền chứa lỗi chính tả.
• Email chứa đường dẫn độc hại từ một tên miền khác.
• Mã độc trong tệp đính kèm.
• Lừa đảo qua tên hiển thị nhưng không giả mạo tên miền.
• Tấn công nội bộ từ tài khoản đã được cấp quyền.

Doanh nghiệp cần coi DMARC là một thành phần trong chiến lược bảo mật email nhiều lớp. Giao thức này đặc biệt quan trọng nhưng không thay thế hoàn toàn các biện pháp bảo vệ tài khoản, thiết bị đầu cuối và người dùng.

Hạ tầng phù hợp để triển khai email và DMARC ổn định

Hiệu quả của DMARC phụ thuộc đáng kể vào mức độ kiểm soát hạ tầng email và DNS. Doanh nghiệp cần sử dụng tên miền thuộc quyền quản lý của mình, máy chủ gửi ổn định và hệ thống có khả năng kích hoạt SPF, DKIM theo đúng tiêu chuẩn.

Với doanh nghiệp không có đội ngũ kỹ thuật chuyên trách, dịch vụ email theo tên miền giúp giảm khối lượng vận hành máy chủ, sao lưu và quản lý hộp thư. Khi lựa chọn dịch vụ, cần xem xét dung lượng, số lượng tài khoản, khả năng truy cập bằng Outlook, điện thoại, webmail và chính sách sao lưu.

Tại HostingViet, Business Email One có giá từ 45.000 đồng/tháng cho một địa chỉ và 5 GB dung lượng. Business Email Start có giá từ 120.000 đồng/tháng, cung cấp 5 địa chỉ email với 15 GB dung lượng cho mỗi hộp thư. Gói Business Email 01 có giá từ 230.000 đồng/tháng, phù hợp với nhu cầu lớn hơn tùy cấu hình công bố tại thời điểm đăng ký.

Kết hợp website, tên miền và email doanh nghiệp

Một hệ thống trực tuyến cơ bản thường gồm tên miền, website và email doanh nghiệp. DNS cần được quản lý tập trung để cấu hình bản ghi A, MX, SPF, DKIM và DMARC. Khi thay đổi nhà cung cấp email hoặc nền tảng gửi marketing, các bản ghi liên quan cũng cần được cập nhật.

Đối với website, HostingViet đang cung cấp hosting giá rẻ sử dụng ổ cứng NVMe từ 25.000 đồng/tháng. Gói Hosting 1GB hỗ trợ máy chủ web LiteSpeed Enterprise, băng thông không giới hạn và có thể sử dụng cho tối đa hai website theo thông tin cấu hình hiện hành.

Website WordPress cũng có thể phát sinh email từ biểu mẫu liên hệ, thông báo đơn hàng hoặc đặt lại mật khẩu. HostingViet khuyến nghị không gửi trực tiếp bằng hàm mail mặc định nếu cần độ tin cậy cao. Thay vào đó, website nên kết nối SMTP với tài khoản email đã được xác thực và được đưa vào quy trình kiểm kê nguồn gửi DMARC.

Khi nào cần sử dụng VPS cho hệ thống email?

VPS phù hợp với doanh nghiệp cần quyền kiểm soát cao, muốn triển khai gateway, hệ thống lọc thư, ứng dụng gửi thông báo hoặc máy chủ email riêng. Tuy nhiên, vận hành mail server đòi hỏi kiến thức về bảo mật, chống spam, DNS ngược, danh tiếng IP, cập nhật phần mềm và sao lưu.

Không nên chọn VPS chỉ vì muốn tiết kiệm chi phí gửi email. Một địa chỉ IP mới hoặc cấu hình sai có thể khiến thư bị đánh dấu spam. Doanh nghiệp cần có nhân sự quản trị hoặc đơn vị hỗ trợ kỹ thuật phù hợp.

Trong trường hợp chỉ cần email giao dịch thông thường, Business Email thường đơn giản hơn. VPS nên được sử dụng khi tổ chức hiểu rõ yêu cầu kỹ thuật và cần tùy chỉnh sâu hơn so với dịch vụ email quản lý sẵn.

Câu hỏi thường gặp về DMARC

DMARC có bắt buộc phải có SPF và DKIM không?

DMARC dựa trên kết quả của SPF và DKIM. Về nguyên tắc, một email có thể vượt qua DMARC nếu chỉ một trong hai cơ chế pass và aligned. Tuy nhiên, doanh nghiệp nên triển khai cả SPF lẫn DKIM để tăng độ ổn định.

SPF có thể bị ảnh hưởng khi email được chuyển tiếp vì địa chỉ IP nguồn thay đổi. DKIM có thể thất bại nếu hệ thống trung gian sửa nội dung hoặc tiêu đề đã ký. Việc sử dụng đồng thời hai cơ chế tạo ra phương án dự phòng tốt hơn.

Nếu chưa có SPF và DKIM hợp lệ, việc công bố DMARC với chính sách mạnh có thể khiến thư chính thống bị cách ly hoặc từ chối.

Có nên đặt p=reject ngay từ đầu không?

Phần lớn doanh nghiệp không nên đặt reject ngay từ đầu. Khi chưa kiểm kê đầy đủ nguồn gửi, chính sách này có thể chặn email từ CRM, website, hệ thống hóa đơn hoặc nền tảng marketing hợp lệ.

Lộ trình phù hợp thường là p=none, sau đó p=quarantine với tỷ lệ tăng dần và cuối cùng là p=reject. Mỗi giai đoạn cần dựa trên dữ liệu báo cáo thay vì thời gian cố định.

Trường hợp tên miền mới, chưa có hoạt động gửi và toàn bộ hạ tầng được kiểm soát rõ ràng, doanh nghiệp có thể triển khai nhanh hơn nhưng vẫn cần kiểm thử trước.

DMARC có làm email vào Inbox 100% không?

Không. DMARC chỉ là một trong nhiều yếu tố ảnh hưởng đến khả năng chuyển phát. Các nhà cung cấp hộp thư còn đánh giá danh tiếng IP, danh tiếng tên miền, tỷ lệ spam, nội dung, mức độ tương tác, tần suất gửi và chất lượng danh sách người nhận.

DMARC giúp xác minh danh tính tên miền và giảm khả năng bị kẻ khác lợi dụng. Điều này hỗ trợ xây dựng uy tín gửi, nhưng không thể bù đắp cho nội dung spam hoặc danh sách email không có sự đồng ý.

Doanh nghiệp cần kết hợp DMARC với quản lý danh sách, cơ chế hủy đăng ký, kiểm soát khiếu nại và theo dõi hiệu suất gửi.

Bản ghi DMARC được đặt ở đâu?

Bản ghi DMARC được đặt trong DNS dưới dạng TXT tại _dmarc.tên-miền. Ví dụ, tên miền abc.vn sẽ tạo bản ghi tại _dmarc.abc.vn.

Một số bảng điều khiển DNS chỉ yêu cầu nhập phần _dmarc vào ô Host, trong khi hệ thống khác yêu cầu nhập đầy đủ. Người quản trị cần kiểm tra hướng dẫn của nhà cung cấp DNS để tránh tạo sai vị trí.

Sau khi lưu, có thể cần chờ theo TTL trước khi bản ghi được cập nhật trên toàn bộ hệ thống phân giải.

DMARC có mất phí không?

Bản thân tiêu chuẩn DMARC không thu phí. Doanh nghiệp có thể tạo bản ghi DNS và nhận báo cáo trực tiếp. Chi phí có thể phát sinh khi sử dụng nền tảng phân tích báo cáo, thuê chuyên gia triển khai hoặc nâng cấp hệ thống email.

Với tên miền có lượng thư nhỏ, quản trị viên kỹ thuật có thể bắt đầu bằng các công cụ kiểm tra và hộp thư nhận báo cáo. Với doanh nghiệp lớn, phần mềm phân tích giúp tiết kiệm thời gian và giảm nguy cơ bỏ sót nguồn gửi.

Chi phí triển khai cần được cân nhắc so với rủi ro tài chính, uy tín và vận hành khi tên miền bị giả mạo.

Kết luận

DMARC là gì có thể được hiểu ngắn gọn là giao thức giúp chủ sở hữu tên miền xác thực email, nhận báo cáo và quy định cách xử lý những thư không vượt qua kiểm tra SPF hoặc DKIM. DMARC đặc biệt hiệu quả trong việc chống giả mạo trực tiếp địa chỉ người gửi, bảo vệ uy tín thương hiệu và cung cấp khả năng quan sát toàn bộ hệ sinh thái gửi email.

Một quy trình triển khai an toàn cần bắt đầu bằng việc kiểm kê nguồn gửi, tối ưu SPF, kích hoạt DKIM, tạo DMARC với p=none và phân tích báo cáo. Sau khi xác minh các hệ thống hợp lệ, doanh nghiệp nên chuyển dần sang quarantine và reject để hình thành lớp bảo vệ thực tế thay vì chỉ giám sát.

Các số liệu công bố trong năm 2026 cho thấy tỷ lệ áp dụng DMARC tiếp tục tăng, nhưng vẫn còn nhiều tên miền chưa thực thi chính sách mạnh. Vì vậy, doanh nghiệp nên triển khai sớm, đồng thời duy trì giám sát lâu dài. HostingViet khuyến nghị kết hợp DMARC với email theo tên miền riêng, quản lý DNS tập trung, xác thực đa yếu tố và quy trình bảo mật nội bộ để xây dựng hệ thống giao tiếp email ổn định, chuyên nghiệp và đáng tin cậy.