SPF vs DMARC vs DKIM — Giải Thích Xác Thực Email
Ba giao thức, một mục tiêu: ngăn chặn giả mạo email
SPF, DMARC và DKIM là ba trụ cột của xác thực email. SPF nói ai có thể gửi. DKIM chứng minh tin nhắn không bị thay đổi. DMARC đặt chính sách phải làm gì khi kiểm tra thất bại. Cả ba cùng lúc = rủi ro giả mạo gần bằng không. Thiếu một = kẻ tấn công chỉ cần phá một ổ khóa.
SPF là bản ghi TXT DNS liệt kê các máy chủ gửi được ủy quyền. Nếu một máy chủ không trong danh sách cố gửi, SPF thất bại. Nhưng vấn đề là: SPF có giới hạn 10 truy vấn DNS. Nhiều tên miền lớn đạt giới hạn này và thất bại âm thầm. Đó là lý do SPF một mình là không đủ. Chỉ 29,6% tên miền chúng tôi kiểm tra có SPF — phần lớn không có xác thực người gửi nào.
DMARC xây dựng trên SPF và DKIM bằng cách thêm chính sách: yêu cầu máy chủ nhận từ chối hoặc cách ly thư giả mạo. Đây là giao thức thực sự ngăn chặn giả mạo. Không có DMARC, một email giả mạo vượt qua SPF hoặc DKIM (hoặc cả hai) sẽ được phân phối. Chỉ 17,6% tên miền có cấu hình nó. Nếu bạn chỉ cấu hình một thứ, hãy chọn DMARC — ngay cả không có SPF, DMARC=policy vẫn cho máy chủ nhận biết lập trường của bạn.
DKIM ký các tin nhắn đi bằng khóa riêng. Máy chủ nhận xác minh chữ ký bằng khóa công khai trong DNS. Nó chứng minh nội dung tin nhắn không bị thay đổi trong quá trình truyền. Đây là giao thức khó thiết lập nhất (cần quản lý khóa) và ít phổ biến nhất — chỉ 9,4% tên miền chúng tôi kiểm tra có DKIM.
| Giao Thức | Mục Đích | Dữ Liệu Của Chúng Tôi | Khuyến Nghị | |
|---|---|---|---|---|
| SPF | SPF | Xác minh người gửi | 29.6% đã cấu hình | Bắt buộc nhưng chưa đủ |
| DMARC | DMARC | Thực thi chính sách | 17.6% đã cấu hình | Quan trọng nhất — chọn cái này |
| DKIM | DKIM | Toàn vẹn tin nhắn | 9.4% đã cấu hình | Tốt nhưng không bắt buộc |
v=DMARC1; p=reject; pct=100; rua=mailto:mailauth-reports@google.comNếu chỉ chọn một giao thức, hãy chọn DMARC. Nó là giao thức duy nhất yêu cầu máy chủ nhận xử lý thư giả mạo. SPF không có DMARC chỉ là gợi ý. DKIM không có DMARC chứng minh tính toàn vẹn nhưng không chứng minh ý định. Cả ba cùng lúc là lý tưởng — nhưng chỉ DMARC vẫn tốt hơn SPF+DKIM mà không có chính sách.
Tự Mình Thử Xem
Sử dụng công cụ miễn phí của chúng tôi để xác minh bất kỳ địa chỉ email nào theo thời gian thực
Xác Minh Email Ngay