Kiểm tra SPF, DKIM và DMARC
Kiểm tra xác thực email của tên miền: các bản ghi SPF, DKIM và DMARC, kèm cách khắc phục những phần còn thiếu
Kết quả
Nhập tên miền để kiểm tra xác thực email.
SPF
Những máy chủ được phép gửi thư cho tên miền.
DKIM
Chữ ký chứng minh thư không bị thay đổi.
DMARC
Cách bên nhận xử lý thư không vượt qua kiểm tra.
Giới thiệu về Kiểm tra SPF, DKIM và DMARC
Công cụ này đọc ba bản ghi quyết định thư từ một tên miền có đáng tin cậy không: SPF, DKIM và DMARC. Một tên miền, một lần kiểm tra, đủ ba kết quả, mỗi kết quả có trạng thái đạt, cảnh báo hoặc không đạt cùng lý do dễ hiểu.
Công cụ phát hiện những lỗi âm thầm khiến thư vào thư rác: bản ghi SPF vượt giới hạn 10 lần tra cứu, bản ghi SPF thứ hai, khóa DKIM 1024 bit hoặc chính sách DMARC không chặn gì.
Khi thiếu DMARC, bạn nhận được bản ghi khởi đầu để sao chép, và nhà cung cấp thư của tên miền được nhận diện từ các máy chủ thư.
Tính năng chính
- Cả ba trong một lần: SPF, DKIM và DMARC được kiểm tra cùng nhau, kèm điểm tổng thể.
- Số lần tra cứu SPF: theo các mục include để đếm mọi lần tra cứu DNS so với giới hạn 10, lỗi SPF tiềm ẩn phổ biến nhất.
- DKIM khi chưa biết bộ chọn: công cụ thử các tên mà dịch vụ thư lớn sử dụng; bạn cũng có thể nhập tên riêng.
- Độ mạnh của khóa: hiển thị độ dài của từng khóa DKIM, kèm cảnh báo cho khóa dưới 2048 bit.
- Rà soát chính sách DMARC: giải thích chính sách, phạm vi áp dụng và địa chỉ nhận báo cáo, kèm bản ghi đề xuất khi chưa có.
- Nhà cung cấp thư: Google Workspace, Microsoft 365, Zoho và các dịch vụ khác được nhận diện từ máy chủ thư.
Cách dùng
- Nhập tên miền: phần sau @ trong địa chỉ email, chẳng hạn example.com.
- Thêm bộ chọn nếu bạn biết: không bắt buộc; đó là giá trị s= trong tiêu đề DKIM-Signature của thư đã gửi.
- Nhấn Kiểm tra: cả ba bản ghi được đọc trong vài giây.
- Đọc từng thẻ: xanh là ổn, vàng cam cần chú ý, đỏ là lỗi hoặc thiếu.
- Sửa và kiểm tra lại: sao chép bản ghi đề xuất vào DNS, chờ bản ghi được công bố rồi chạy lại kiểm tra.
Các trường hợp sử dụng phổ biến
- Thư vào thư rác: tìm bản ghi thiếu hoặc lỗi gây ra vấn đề.
- Quy tắc cho bên gửi hàng loạt: xác nhận đã có SPF, DKIM và DMARC trước khi gửi đến các nhà cung cấp hộp thư lớn.
- Sau khi đổi nhà cung cấp thư: đảm bảo nhà cung cấp cũ đã được xóa khỏi SPF và nhà cung cấp mới ký bằng DKIM.
- Bảo vệ chống giả mạo: xem liệu ai đó có thể gửi thư giả mạo thuyết phục dưới tên miền của bạn không.
- Kiểm tra khách hàng và nhà cung cấp: kiểm tra tên miền đối tác trước khi tin thư tự nhận đến từ tên miền đó.
Câu hỏi thường gặp
SPF, DKIM và DMARC làm gì?
SPF liệt kê các máy chủ được phép gửi thư cho tên miền. DKIM thêm chữ ký chứng minh thư không bị thay đổi. DMARC cho bên nhận biết cần làm gì khi thư không vượt qua các kiểm tra đó và gửi báo cáo đến đâu.
Tại sao SPF không đạt khi có quá nhiều lần tra cứu?
Bên nhận dừng sau 10 lần tra cứu DNS khi đọc bản ghi SPF và các mục include của nó. Mỗi include, a và mx đều được tính, kể cả include nằm trong include. Khi vượt giới hạn, SPF không đạt với mọi thư.
Tại sao không tìm thấy khóa DKIM?
Khóa DKIM nằm dưới tên bộ chọn do dịch vụ thư đặt. Nếu tên của bạn không thuộc các tên phổ biến, hãy mở tiêu đề của thư bạn đã gửi và nhập giá trị s= từ dòng DKIM-Signature.
Tôi nên dùng chính sách DMARC nào?
Bắt đầu với p=none và địa chỉ nhận báo cáo, đọc báo cáo trong vài tuần, rồi chuyển sang quarantine và cuối cùng là reject khi tất cả bên gửi hợp lệ của bạn đều đạt.
Thay đổi DNS mất bao lâu để hiển thị?
Thường là vài phút, đôi khi đến vài giờ tùy thời gian tồn tại của bản ghi. Chạy lại kiểm tra sau khi thay đổi đã được công bố.
Kết quả đạt có đảm bảo thư của tôi vào hộp thư đến không?
Không. Các bản ghi này chứng minh ai gửi thư; nội dung, uy tín gửi thư và tỷ lệ khiếu nại vẫn quyết định nơi thư được chuyển đến.
Mẹo hay
- Giữ một bản ghi SPF: gộp mọi bên gửi vào một bản ghi thay vì thêm bản ghi thứ hai.
- Xóa bên gửi cũ: các mục include cho dịch vụ không còn dùng lãng phí lượt tra cứu và mở rộng những bên có thể gửi dưới danh nghĩa bạn.
- Luân phiên khóa DKIM: thay khóa hằng năm và xóa bộ chọn cũ khi không còn gì ký bằng chúng.
- Đọc báo cáo DMARC: báo cáo hiển thị mọi dịch vụ gửi dưới tên miền của bạn, kể cả những dịch vụ bạn đã quên.
- Bảo vệ tên miền không dùng: tên miền không gửi thư nên công bố v=spf1 -all và chính sách DMARC reject.