← Blog

Chống giả mạo tên miền email: SPF, DKIM, DMARC cho công ty nhỏ

Kẻ xấu không cần chiếm được tài khoản email của công ty bạn để lừa đối tác — chỉ cần gửi một email có địa chỉ "giống" tên miền công ty (ví dụ ketoan@cong-ty-ban.com.vn thay cho congtyban.com.vn) là đủ khiến nhiều người tin. Ba bản ghi kỹ thuật dưới đây giúp hạn chế việc tên miền thật của công ty bị người khác mượn để gửi thư giả.

Hiểu đơn giản, không cần biết kỹ thuật

• SPF — danh sách các máy chủ được phép gửi email dưới danh tên miền của công ty. Thư gửi từ máy chủ không có trong danh sách sẽ bị nghi ngờ.
• DKIM — một "con dấu" điện tử gắn vào mỗi email gửi đi, giúp nơi nhận xác nhận thư đúng là từ máy chủ của công ty, không bị ai chỉnh sửa trên đường đi.
• DMARC — quy định nơi nhận nên làm gì với thư không qua được SPF hoặc DKIM (bỏ vào spam, chặn hẳn, hay vẫn nhận), và gửi báo cáo cho công ty biết ai đang gửi thư mượn danh tên miền của mình.

Cả ba đều là bản ghi DNS khai báo một lần ở nơi quản lý tên miền (nhà cung cấp domain), không cần cài phần mềm, không ảnh hưởng tới việc gửi/nhận email bình thường nếu khai đúng.

Kiểm tra công ty mình đã có chưa

Dùng một công cụ kiểm tra DNS miễn phí (tìm "MXToolbox SPF/DKIM/DMARC check" hoặc tương tự), nhập tên miền công ty để xem đã có đủ ba bản ghi chưa. Nếu dùng Google Workspace hoặc Microsoft 365, cả hai đều có trang hướng dẫn khai báo SPF/DKIM/DMARC riêng cho domain đã gắn với dịch vụ của họ — nên làm theo đúng hướng dẫn của nhà cung cấp email đang dùng.

Thứ tự nên làm

1. Khai SPF trước — nhanh nhất, tác dụng rõ ngay.
2. Khai DKIM theo hướng dẫn của Google Workspace hoặc Microsoft 365 (thường chỉ cần dán một đoạn mã nhà cung cấp cho sẵn vào DNS).
3. Khai DMARC ở mức theo dõi trước (chính sách "p=none") để xem báo cáo trong vài tuần, tránh thư hợp lệ bị chặn nhầm do cấu hình sai.
4. Khi đã yên tâm không có thư hợp lệ bị ảnh hưởng, nâng chính sách DMARC lên mức chặn ("p=reject" hoặc "p=quarantine") để thư giả danh tên miền công ty thật sự bị chặn ở nơi nhận.

Việc này không thay được

SPF/DKIM/DMARC chặn thư giả danh tên miền của công ty bạn gửi ra ngoài, nhưng không chặn được thư giả danh tên miền khác giống tên công ty (ví dụ thêm dấu gạch ngang, đổi đuôi .vn thành .com) gửi vào hộp thư nhân viên. Phần đó vẫn cần nhân viên được đào tạo nhận diện lừa đảo để tự cảnh giác.

Muốn rà soát thêm các điểm an ninh tài khoản khác của công ty? Dùng thử miễn phí ngay trong trình duyệt, không gửi dữ liệu ra ngoài.