Email giả tên miền công ty: SPF, DKIM, DMARC giải thích cho chủ doanh nghiệp

SPF, DKIM và DMARC là ba bản ghi trong cài đặt tên miền giúp hộp thư người nhận phân biệt thư thật từ công ty bạn với thư giả mạo địa chỉ công ty bạn. Thiếu chúng, kẻ gian có thể gửi thư trông như từ địa chỉ kế toán của bạn tới khách hàng, yêu cầu chuyển tiền sang tài khoản mới — và thư đó có thể lọt thẳng vào hộp thư chính.

Vì sao email có thể bị giả

Email ra đời từ thời mọi người tin nhau. Giao thức gửi thư cho phép người gửi tự khai địa chỉ của mình, giống như viết tên người gửi trên phong bì — không ai kiểm tra. Kẻ gian lợi dụng điều đó để khai địa chỉ công ty bạn. Ba bản ghi SPF, DKIM, DMARC được thêm vào sau này như những lớp kiểm tra, và chúng chỉ hoạt động khi chủ tên miền bật chúng.

SPF: danh sách người được phép gửi

SPF là một dòng khai báo trong tên miền, nói với thế giới: "chỉ những máy chủ này được gửi thư nhân danh tên miền của tôi". Khi một hộp thư nhận được thư ghi là từ công ty bạn, nó kiểm tra xem thư có đến từ máy chủ trong danh sách không. Không có trong danh sách thì thư bị nghi ngờ.

Điểm cần nhớ: danh sách phải đủ. Nếu bạn gửi thư từ dịch vụ email văn phòng, từ phần mềm bán hàng, từ công cụ gửi thư khuyến mãi, tất cả đều phải được khai báo.

DKIM: chữ ký trên từng lá thư

DKIM gắn một chữ ký số vào mỗi thư gửi đi. Tên miền của bạn công bố khoá để kiểm tra chữ ký đó. Hộp thư người nhận kiểm tra: chữ ký hợp lệ nghĩa là thư đúng từ bạn và không bị sửa trên đường đi. Kẻ gian không có khoá bí mật nên không ký được.

DMARC: nói cho người nhận biết phải làm gì

SPF và DKIM kiểm tra, nhưng không nói người nhận nên làm gì khi thư không đạt. DMARC làm việc đó. Nó có ba mức:

• Chỉ theo dõi: thư không đạt vẫn được giao, nhưng bạn nhận báo cáo về những thư đó.
• Cách ly: thư không đạt bị đưa vào thư rác.
• Từ chối: thư không đạt bị chặn hẳn.

DMARC còn gửi báo cáo định kỳ cho bạn: ai đang gửi thư nhân danh tên miền của bạn, từ đâu, đạt hay không. Đây là cách duy nhất bạn biết có kẻ đang giả mạo mình.

Lợi ích phụ: thư của bạn ít vào thư rác hơn

Ba bản ghi này không chỉ để chống giả mạo. Các nhà cung cấp hộp thư lớn ngày càng đòi hỏi thư đến phải được xác thực; thư từ tên miền không có SPF, DKIM, DMARC dễ bị đưa vào thư rác hơn, kể cả thư hoàn toàn thật. Nếu khách hay kêu không nhận được báo giá, hoá đơn, xác nhận đơn hàng của bạn, rất có thể nguyên nhân nằm ở đây. Bật đủ ba bản ghi thường cải thiện rõ tỷ lệ thư tới hộp thư chính.

Nói cách khác, đây là việc vừa phòng thủ vừa có lợi trực tiếp cho kinh doanh — một lý do tốt để không trì hoãn.

Bật an toàn: đi từng bước

1. Liệt kê mọi nơi gửi thư nhân danh tên miền: email văn phòng, hệ thống hoá đơn, phần mềm bán hàng, công cụ gửi thư hàng loạt.
2. Bật SPF và DKIM theo hướng dẫn của từng dịch vụ.
3. Bật DMARC ở mức chỉ theo dõi và đọc báo cáo trong vài tuần.
4. Sửa những nguồn thư thật chưa đạt mà báo cáo chỉ ra.
5. Siết dần lên cách ly, rồi từ chối khi đã chắc mọi thư thật đều đạt.

Nhảy thẳng lên mức từ chối khi chưa khai đủ nguồn là cách nhanh nhất để hoá đơn gửi khách biến mất không dấu vết.

Nếu bạn không rành kỹ thuật, đây là việc nên nhờ người làm website hoặc nhà cung cấp email, nhưng hãy tự kiểm tra kết quả: có nhiều công cụ kiểm tra trực tuyến miễn phí cho biết tên miền đã có đủ SPF, DKIM, DMARC chưa và đang ở mức nào. Một lần kiểm tra mất vài phút; hãy làm lại mỗi khi thêm một dịch vụ gửi thư mới, vì dịch vụ mới chưa được khai báo là nguyên nhân phổ biến nhất khiến thư thật bị chặn.

Những gì ba bản ghi không làm được

Chúng bảo vệ đúng tên miền của bạn, không bảo vệ tên gần giống. Kẻ gian có thể đăng ký một tên khác một chữ và gửi thư từ đó — thư hoàn toàn hợp lệ về kỹ thuật. Phòng loại này cần hai việc: mua trước các biến thể dễ bị lợi dụng, và dạy nhân viên, khách hàng quen nhìn kỹ địa chỉ người gửi, đặc biệt khi thư yêu cầu chuyển tiền hay đổi số tài khoản. Một quy tắc đơn giản: mọi yêu cầu đổi tài khoản nhận tiền đều phải được xác nhận qua điện thoại với số đã biết.

Tên miền ngắn, dễ nhận ra cũng giúp phần này: khách dễ nhận thấy một địa chỉ lệch khi tên thật của bạn đơn giản. Nếu tên hiện tại dài và dễ bị nhái, thử bộ cố vấn tên miền để tìm một tên gọn hơn.