Tại sao email của bạn vượt qua SPF và DKIM nhưng vẫn thất bại DMARC? Giải mã kỹ thuật xác thực email

Bài viết được dịch và tổng hợp từ tin tức gốc. Bạn có thể đọc bài viết gốc bằng tiếng Anh tại đây.

Điểm tin nhanh:

• DMARC thất bại thường do sự không khớp giữa domain trong Envelope From và Header From.
• SPF và DKIM chỉ xác thực các domain riêng lẻ, trong khi DMARC yêu cầu sự liên kết (alignment) giữa chúng.
• Việc cấu hình đúng SPF, DKIM và DMARC là bắt buộc để tránh bị các bộ lọc spam chặn đứng.

Việc gửi email trong kỷ nguyên bảo mật hiện đại giống như một cuộc chiến không hồi kết với các bộ lọc spam. Bạn đã dành hàng giờ để thiết lập các bản ghi DNS, đảm bảo SPF (Sender Policy Framework) và DKIM (DomainKeys Identified Mail) đều trả về kết quả 'PASS'. Tuy nhiên, khi kiểm tra báo cáo DMARC (Domain-based Message Authentication, Reporting, and Conformance), bạn vẫn thấy trạng thái 'FAIL'. Đây không phải là một lỗi hệ thống ngẫu nhiên, mà là một vấn đề về sự liên kết (alignment) mà hầu hết các lập trình viên đều bỏ qua.

Hiểu về cơ chế xác thực email

Để hiểu tại sao DMARC thất bại, chúng ta cần phân biệt rõ hai loại địa chỉ người gửi trong một email:

1. Envelope From (Return-Path): Địa chỉ được sử dụng trong quá trình giao tiếp SMTP giữa các máy chủ mail. Đây là nơi nhận các thông báo lỗi (bounce messages).
2. Header From: Địa chỉ hiển thị trong ứng dụng email (như Outlook, Gmail) mà người dùng nhìn thấy.

SPF kiểm tra xem IP gửi có nằm trong danh sách được phép của domain trong Envelope From hay không. DKIM kiểm tra chữ ký số của email. DMARC, mặt khác, đóng vai trò là lớp kiểm soát cuối cùng, yêu cầu sự đồng nhất giữa các domain này.

Tại sao DMARC thất bại dù SPF và DKIM đều PASS?

Nguyên nhân chính nằm ở khái niệm Alignment (Sự liên kết). DMARC yêu cầu domain trong Header From phải khớp với domain đã được xác thực bởi SPF hoặc DKIM.

Bảng so sánh các trạng thái xác thực

Lưu ý: Nếu bạn sử dụng các dịch vụ gửi mail bên thứ ba (như SendGrid, Mailgun), họ thường đặt Envelope From là domain của họ để quản lý bounce, trong khi Header From là domain của bạn. Điều này gây ra lỗi DMARC Alignment nếu không được cấu hình Custom Return-Path.

Các bước khắc phục lỗi DMARC

Để giải quyết vấn đề này, bạn cần đảm bảo hệ thống của mình tuân thủ các nguyên tắc sau:

1. Cấu hình Custom Return-Path: Hãy yêu cầu nhà cung cấp dịch vụ email cho phép bạn tạo một CNAME trỏ tới domain của họ. Điều này giúp Envelope From trùng khớp với domain của bạn.
2. Kiểm tra DKIM Signing: Đảm bảo rằng chữ ký DKIM được áp dụng cho domain chính xác mà bạn đang sử dụng trong Header From.
3. Sử dụng công cụ kiểm tra: Trước khi triển khai trên diện rộng, hãy sử dụng các công cụ như mxtoolbox hoặc các dịch vụ phân tích báo cáo DMARC để xem chính xác email nào đang bị từ chối.

Nếu bạn đang gặp khó khăn trong việc cấu hình hệ thống gửi mail, hãy tham khảo thêm Hướng dẫn kỹ thuật chuyên sâu về cấu hình SPF: Chặn đứng lỗi 550 SPF Check Failed để nắm vững nền tảng trước khi tối ưu DMARC.

Đánh giá & Lời khuyên Thực tiễn

Từ góc nhìn của một kỹ sư hệ thống, việc triển khai DMARC không chỉ là vấn đề kỹ thuật mà còn là vấn đề uy tín thương hiệu.

• Ưu điểm: Bảo vệ domain khỏi bị giả mạo (spoofing), tăng tỷ lệ vào inbox.
• Nhược điểm: Cấu hình sai có thể làm mất hoàn toàn khả năng gửi mail của hệ thống.
• Lời khuyên: Luôn bắt đầu với chính sách p=none trong bản ghi DMARC. Điều này cho phép bạn thu thập dữ liệu báo cáo mà không chặn bất kỳ email nào. Sau khi phân tích dữ liệu và đảm bảo mọi nguồn gửi hợp lệ đều PASS, hãy chuyển dần sang p=quarantine và cuối cùng là p=reject.

Việc xây dựng một hệ thống gửi mail tin cậy cũng cần kết hợp với tư duy bảo mật từ đầu, giống như cách bạn áp dụng Bảo mật từ tư duy thiết kế: Chiến lược Secure as You Build cho lập trình viên hiện đại.

Câu hỏi thường gặp (FAQ)

Tại sao tôi không nên đặt p=reject ngay lập tức?

Việc đặt p=reject ngay lập tức có thể chặn nhầm các email hợp lệ từ các dịch vụ bên thứ ba mà bạn chưa cấu hình đúng, dẫn đến gián đoạn kinh doanh.

Làm sao để biết email nào đang thất bại DMARC?

Bạn cần thiết lập thẻ rua trong bản ghi DMARC để nhận báo cáo định kỳ từ các nhà cung cấp dịch vụ mail (như Google, Microsoft) về các email gửi từ domain của bạn.

Sự khác biệt giữa SPF và DKIM là gì?

SPF dựa trên IP của máy chủ gửi, còn DKIM dựa trên chữ ký mã hóa gắn kèm trong nội dung email để đảm bảo nội dung không bị thay đổi.

Kết luận

Việc DMARC thất bại dù SPF và DKIM đã vượt qua là một lời nhắc nhở rằng bảo mật email yêu cầu sự đồng bộ giữa các thành phần. Bằng cách hiểu rõ cơ chế Alignment và cấu hình đúng Custom Return-Path, bạn sẽ kiểm soát hoàn toàn danh tiếng domain của mình. Nếu bạn thấy bài viết này hữu ích, hãy chia sẻ nó với đồng nghiệp và đừng quên theo dõi hi_dev để cập nhật những kiến thức kỹ thuật chuyên sâu mới nhất.