DMARC quyết định điều gì
SPF và DKIM đều xác minh một thông tin về miền, nhưng không cơ chế nào kiểm tra địa chỉ trong dòng From, là địa chỉ người đọc nhìn thấy. DMARC liên kết các cơ chế này với địa chỉ đó. Một thư vượt qua DMARC khi SPF hoặc DKIM xác minh thành công cho một miền khớp với miền From, và bản ghi cho bên nhận biết phải xử lý thế nào với thư không vượt qua.
Bản ghi được lưu trong DNS dưới dạng bản ghi TXT tại _dmarc theo sau là miền của bạn. Khi tên đó không có bản ghi, bên nhận sẽ tra cứu miền tổ chức, tức miền đã đăng ký, ví dụ example.com đối với news.example.com. Vì vậy, một miền phụ có thể được bảo vệ mà không cần bản ghi riêng.
Cách đọc chính sách DMARC
p=none yêu cầu bên nhận không thực hiện hành động nào và chỉ gửi báo cáo. Đây là mức mà mọi người nên bắt đầu, nhưng có quá nhiều miền giữ nguyên mức này trong nhiều năm. Khi chính sách này còn được áp dụng, bất kỳ ai cũng có thể gửi thư với miền của bạn trong dòng From và bên nhận được yêu cầu cho thư đi qua.
p=quarantine chuyển thư không vượt qua kiểm tra vào thư rác, còn p=reject từ chối thư ngay khi nhận. Gmail và Yahoo yêu cầu người gửi thư hàng loạt công bố bản ghi DMARC từ tháng 2 năm 2024. Về hình thức, bản ghi có p=none đáp ứng yêu cầu đó, nhưng công cụ kiểm tra vẫn đánh dấu là cảnh báo.
Các báo cáo không bao giờ đến
Theo mặc định, các địa chỉ rua nhận báo cáo tổng hợp mỗi ngày một lần từ từng bên nhận thấy thư của bạn. Nếu một địa chỉ nằm trên miền khác với miền của bản ghi, RFC 7489 yêu cầu miền kia công bố bản ghi ủy quyền cho biết miền đó chấp nhận báo cáo thay cho miền của bạn. Công cụ kiểm tra sẽ tra cứu bản ghi này cho từng địa chỉ bên ngoài. Nếu không có bản ghi, bên nhận sẽ loại bỏ báo cáo.
Câu hỏi
Làm cách nào để thêm bản ghi DMARC?
Công bố bản ghi TXT tại _dmarc theo sau là miền của bạn, với v=DMARC1 và một chính sách, ví dụ v=DMARC1; p=none; rua=mailto:dmarc@example.com. Bắt đầu với p=none, đọc các báo cáo trong vài tuần, sau đó chuyển sang quarantine rồi đến reject. Kiểm tra bản ghi tại đây sau khi DNS đã cập nhật.
p=none có vấn đề không?
Ở bước đầu, p=none thực hiện đúng chức năng: thu thập báo cáo mà không ảnh hưởng đến việc phân phối email. Nhờ đó, bạn tìm được các dịch vụ đang gửi email thay bạn nhưng chưa được xác thực. p=none trở thành vấn đề nếu được giữ nguyên, vì mục đích của các báo cáo là giúp bạn chuyển sang cách ly rồi từ chối.
Tôi có cần bản ghi riêng cho từng tên miền phụ không?
Tên miền phụ không có bản ghi riêng sẽ dùng bản ghi của tên miền tổ chức, còn thẻ sp trong bản ghi đó đặt chính sách cho các tên miền phụ. Vì vậy, một bản ghi thường bao phủ tất cả.
Căn chỉnh thoải mái hay nghiêm ngặt?
Hãy dùng căn chỉnh thoải mái, trừ khi bạn có lý do để dùng căn chỉnh nghiêm ngặt. Với căn chỉnh thoải mái, chữ ký DKIM từ mail.example.com được tính là hợp lệ cho các địa chỉ From tại example.com. Căn chỉnh nghiêm ngặt sẽ phá vỡ điều đó, đồng thời ảnh hưởng đến nhiều cấu hình mà nhà cung cấp ký bằng tên miền phụ.
"DMARC policy not enabled" nghĩa là gì?
Điều này có nghĩa là bản ghi DMARC của tên miền có p=none, hoặc tên miền hoàn toàn không có bản ghi DMARC. Với p=none, bên nhận vẫn chuyển phát thư không vượt qua kiểm tra như bình thường và chỉ gửi báo cáo đến địa chỉ rua, vì vậy chưa có ai bị ngăn gửi thư dưới danh nghĩa tên miền của bạn.
Hướng dẫn đầy đủ: DMARC policy not enabled
Một tên miền có thể có nhiều bản ghi DMARC không?
Không. Khi _dmarc chứa hai bản ghi TXT bắt đầu bằng v=DMARC1, bên nhận sẽ loại bỏ cả hai và coi như tên miền không có bản ghi DMARC. Hãy giữ lại một bản ghi và chuyển các tag cần thiết từ bản ghi còn lại vào đó.
Nên dùng quarantine hay reject?
Trước tiên hãy dùng quarantine. Bên nhận coi email không vượt qua kiểm tra là đáng ngờ và thường đưa vào thư mục spam, vì vậy một dịch vụ hợp lệ mà bạn bỏ sót chỉ khiến email vào nhầm thư mục thay vì bị mất. Chuyển sang reject khi báo cáo cho thấy không có email nào của bạn bị lỗi trong vài tuần.