Kiểm tra SPF, DKIM, DMARC

Email công ty có dễ bị giả danh, thư có hay vào hộp thư rác không? Nhập tên miền để biết thiếu gì và chép bản ghi DNS cần thêm.

  • Miễn phí
  • Không cần đăng ký
  • Tra DNS ngay trên trình duyệt

Thử:

Chưa có kết quảNhập tên miền rồi bấm Kiểm tra.

Tra DNS từ trình duyệt Hỏi thẳng DNS công cộng của Cloudflare (dự phòng Google) bằng DNS-over-HTTPS, không qua máy chủ Dorabot.

Trả lời nhanh: tên miền gửi email cần đủ 3 bản ghi DNS: SPF (TXT tại tên miền, ví dụ v=spf1 include:_spf.google.com ~all), DKIM (TXT tại selector._domainkey, tạo trong trang quản trị email) và DMARC (TXT tại _dmarc, bắt đầu v=DMARC1; p=none; rua=mailto:… rồi nâng lên quarantine/reject). Thiếu một trong ba, thư dễ vào thư rác và tên miền dễ bị mạo danh.

Ba bước là xong

  1. Nhập tên miền

    Gõ tên miền hoặc dán một địa chỉ email của công ty.

  2. Xem từng mục

    MX, SPF, DKIM, DMARC: đạt, cần sửa hay thiếu, kèm giải thích dễ hiểu.

  3. Thêm bản ghi DNS

    Chép bản ghi gợi ý, thêm vào trang quản lý DNS (nhà cung cấp tên miền hoặc Cloudflare), kiểm lại sau ít phút.

Kiểm những gì

Nhận ra nhà cung cấp

Google Workspace, Microsoft 365, Zoho Mail: gợi ý đúng include SPF và chỗ bật DKIM.

Đếm lượt tra SPF

Tự mở từng include để đếm tổng lượt tra DNS, báo khi vượt 10 (SPF lỗi).

Dò 50+ selector DKIM

google, selector1/2, default, mail, k1, zoho, s1… và selector bạn nhập; báo độ dài khoá.

DMARC từng bước

Đọc p=, pct=, rua=; gợi ý lộ trình none → quarantine → reject; có BIMI, MTA-STS.

Hướng dẫn chi tiết

Thêm SPF

Vào trang quản lý DNS của tên miền, thêm bản ghi TXT, tên (host) là @, giá trị theo nhà cung cấp email:

  • Google Workspace: v=spf1 include:_spf.google.com ~all
  • Microsoft 365: v=spf1 include:spf.protection.outlook.com ~all
  • Zoho Mail: v=spf1 include:zohomail.com ~all
  • Máy chủ thư riêng / hosting: v=spf1 mx a ~all hoặc ip4: địa chỉ máy chủ gửi.

Dùng thêm dịch vụ gửi thư (email marketing, hoá đơn điện tử, phần mềm bán hàng), hãy chèn include: của họ vào cùng một bản ghi, ví dụ v=spf1 include:_spf.google.com include:dichvu.example ~all.

Bật DKIM

DKIM được tạo trong trang quản trị email (Google Admin, Microsoft Defender, Zoho Admin…): hệ thống sinh khoá, bạn thêm bản ghi TXT hoặc CNAME vào DNS rồi bấm bật ký thư. Chọn khoá 2048 bit nếu được.

Thêm DMARC theo từng bước

  1. Thêm TXT tên _dmarc: v=DMARC1; p=none; rua=mailto:[email protected] (tạo hộp thư nhận báo cáo).
  2. Đọc báo cáo 2–4 tuần, bổ sung SPF/DKIM cho mọi dịch vụ gửi thư thật.
  3. Nâng lên p=quarantine (thư giả vào thư rác), sau đó p=reject (từ chối hẳn).

Tên miền không dùng email

Tên miền chỉ chạy website, hoặc tên miền mua để giữ thương hiệu, vẫn có thể bị dùng làm địa chỉ gửi thư lừa đảo. Chặn hẳn bằng: SPF v=spf1 -all, DMARC v=DMARC1; p=reject và (tuỳ chọn) MX rỗng 0 ..

Hỏi đáp

SPF, DKIM, DMARC là gì, nói đơn giản?

SPF: danh sách máy chủ được phép gửi thư thay tên miền của bạn. DKIM: chữ ký số trên mỗi thư, chứng minh thư không bị sửa và đúng là từ tên miền đó. DMARC: quy định máy chủ nhận phải làm gì với thư không đạt SPF/DKIM (cho qua, vào thư rác, từ chối) và gửi báo cáo cho bạn. Có đủ cả ba thì kẻ gian rất khó giả danh email công ty bạn.

Vì sao thư công ty tôi hay vào hộp thư rác?

Thường do thiếu SPF hoặc DKIM, SPF thiếu dịch vụ gửi thư (phần mềm hoá đơn, email marketing), hoặc chưa có DMARC. Gmail và Yahoo yêu cầu người gửi số lượng lớn phải có đủ SPF, DKIM và DMARC. Kiểm ở đây, sửa theo bản ghi gợi ý, đợi DNS cập nhật (vài phút đến vài giờ) rồi kiểm lại.

Không tìm thấy DKIM có phải chưa cài DKIM?

Chưa chắc. Bản ghi DKIM nằm ở <selector>._domainkey.tên-miền và không có cách liệt kê tất cả selector. Công cụ thử hơn 50 selector hay gặp (Google, Microsoft 365, Zoho, Brevo, Mailchimp…). Muốn chắc chắn, mở một thư đã gửi → Xem thư gốc → tìm s= trong dòng DKIM-Signature, nhập vào ô Selector.

Nên đặt DMARC p=reject ngay không?

Không nên với tên miền đang gửi thư. Bắt đầu bằng p=none kèm rua=mailto:… để nhận báo cáo vài tuần, bảo đảm mọi dịch vụ gửi thư thật đều đạt SPF hoặc DKIM, rồi mới nâng lên p=quarantine và p=reject. Tên miền không dùng để gửi thư thì đặt p=reject ngay.

Công cụ có gửi tên miền của tôi về Dorabot không?

Không. Trình duyệt hỏi thẳng máy chủ DNS công cộng của Cloudflare (dự phòng Google) bằng DNS-over-HTTPS. Dorabot chỉ ghi nhận thống kê ẩn danh: tên miền đã kiểm và kết quả đạt/không đạt, không có email hay nội dung thư.

Có thể dùng nhiều bản ghi SPF không?

Không. Mỗi tên miền chỉ được một bản ghi bắt đầu bằng v=spf1. Muốn thêm dịch vụ, chèn include:… vào cùng bản ghi. Tổng số lượt tra DNS (include, a, mx, ptr, exists, redirect, tính cả bên trong include) không quá 10.

Bộ công cụ bảo mật miễn phí

Mẹo an toàn và nơi báo link lừa đảo

Công cụ liên quan

Khám phá thêm công cụ miễn phí của Dorabot

🆓 Phần mềm miễn phí thay thế Thay Photoshop, Office, AutoCAD, WinRAR… bằng phần mềm miễn phí, mã nguồn mở; có tiếng Việt không. 🪪 Làm ảnh thẻ online Tự tách nền, căn mặt, cắt đúng cỡ 3x4, 4x6, hộ chiếu, visa; xếp sẵn bản in 10x15, A4. Ảnh sang PDF Gộp nhiều ảnh JPG, PNG thành một file PDF, chọn khổ giấy, lề.