Bạn vừa đăng ký một tài khoản mới, điền đủ thông tin rồi ngồi chờ email xác nhận. Đợi mãi vẫn không thấy gì trong hộp thư đến. Mở thư rác ra thì nó nằm đó, nội dung hoàn toàn bình thường. Chuyện này đội ngũ bên mình gặp khá thường xuyên, và mỗi lần thấy người dùng bỏ lỡ một thư quan trọng, chúng tôi lại tiếc. Phần lớn thời gian, lỗi không nằm ở nội dung mà nằm ở một lớp cấu hình kỹ thuật chưa được thiết lập đúng.
Vì sao để email vào Inbox lại khó đến vậy?
Nhiều người nghĩ chỉ cần viết nội dung tử tế là thư sẽ tới đích. Thực tế không đơn giản như thế. Gmail hay Outlook xem xét rất nhiều yếu tố ở tầng kỹ thuật trước khi quyết định thư đi đâu. Nội dung chỉ là một phần nhỏ trong số đó.
Có một điều chúng tôi rút ra sau nhiều lần xử lý sự cố: một bức thư đẹp nhưng không chứng minh được người gửi là ai thì vẫn dễ bị nghi ngờ. Hộp thư không có cách nào nhìn vào trái tim của người viết. Nó chỉ có thể tin vào những gì được xác minh bằng kỹ thuật.
Hệ thống gửi thư xác nhận và thông báo của website này đi qua MONA Mail. Trong quá trình vận hành, chúng tôi nhận thấy phần lớn sự cố vào thư rác không đến từ nội dung, mà đến từ cách tên miền được khai báo trên DNS. Vì vậy bài viết này tập trung vào ba lớp nền tảng: SPF, DKIM và DMARC. Tên gọi nghe khô khan, nhưng ý chính thì bạn hoàn toàn có thể nắm sau một buổi đọc.
Hình dung đơn giản: thư cần giấy tờ như một bưu phẩm
Hãy tưởng tượng một bưu phẩm không ghi rõ người gửi, hoặc có người lạ đến nói họ gửi thay cho một cửa hàng nào đó. Gần như chắc chắn bạn sẽ nghi ngờ và có thể từ chối nhận. Hộp thư của bạn suy nghĩ theo cách đó.
Các nhà cung cấp email không muốn để kẻ gian mạo danh địa chỉ của người khác. Ai cũng từng nhận thư lừa đảo giả danh một ngân hàng hay một sàn thương mại điện tử, nên họ phải cảnh giác. Người gửi buộc phải chứng minh mình đúng là chủ tên miền. Việc này được thực hiện qua ba lớp: SPF, DKIM và DMARC. Gần như nhà cung cấp lớn nào cũng kiểm tra cả ba.
SPF: danh sách những ai được phép gửi thay
SPF là một bản ghi khai báo trong hệ thống tên miền. Nó cho biết máy chủ nào được quyền gửi thư đứng tên tên miền của bạn. Hình dung một cửa hàng ủy quyền cho vài người giao hàng cụ thể và báo trước tên họ cho bưu điện. Khi có người lạ đến nhận thay, bưu điện đối chiếu với danh sách đó.
Khi thư đến, hộp thư so địa chỉ máy chủ gửi với danh sách SPF. Nếu khớp, thư đáng tin hơn. Nếu không khớp, thư bị nghi ngờ. Cơ chế này đơn giản, nhưng nó chỉ trả lời được một câu hỏi: máy chủ này có quyền gửi hay không. Nó không kiểm tra nội dung thư có bị ai sửa giữa đường hay không.
Lỗi chúng tôi gặp nhiều nhất là đổi nhà cung cấp email nhưng quên thêm máy chủ mới vào SPF. Thư vẫn gửi đi được, chỉ là bị đánh dấu lạ. Có chủ website từng hoang mang tưởng hệ thống hỏng, trong khi chỉ thiếu đúng một dòng khai báo.
DKIM: chữ ký số đóng dấu lên từng bức thư
Nếu SPF là danh sách người được gửi, DKIM giống con dấu đóng lên từng bức thư. Cơ chế này dựa trên một cặp khóa. Khóa bí mật nằm trên máy chủ gửi, còn khóa công khai được đăng trong DNS để bất kỳ ai cũng kiểm tra được.
Mỗi thư đi ra đều được ký bằng khóa bí mật. Người nhận lấy khóa công khai để xác minh chữ ký. Nếu hai khóa khớp, thư được xác nhận là thật và nội dung chưa bị chỉnh sửa trên đường đi. Bạn không cần hiểu toán học phía sau, chỉ cần biết con dấu này rất khó làm giả.
Điểm này quan trọng hơn bạn nghĩ. Nếu nội dung bị sửa giữa chừng, chữ ký sẽ không còn khớp và hộp thư nhận ra ngay có điều bất thường. Vì vậy trước khi gửi thư thật cho khách, chúng tôi luôn kiểm tra DKIM đã hoạt động đúng. Gửi mà thiếu chữ ký thì nguy cơ vào thư rác tăng lên rõ rệt.
DMARC: quy tắc xử lý do chủ tên miền đặt ra
DMARC nằm trên hai lớp trước. Nó dựa vào kết quả của SPF và DKIM để quyết định cần làm gì với thư không đạt chuẩn. Người quản lý tên miền thiết lập quy tắc này, đồng thời nhận báo cáo về những ai đang gửi thư mạo danh mình.
Có ba mức chính sách. Mức đầu chỉ theo dõi và không tác động tới thư. Mức thứ hai đưa thư đáng ngờ vào thư rác. Mức thứ ba từ chối thư hoàn toàn. Mức càng nghiêm thì tên miền càng được bảo vệ khỏi kẻ mạo danh, nhưng nếu cấu hình sai, chính thư hợp lệ của bạn cũng có thể bị chặn oan.
Vì vậy chúng tôi thường khuyên bắt đầu ở chế độ theo dõi. Chạy một thời gian, đọc báo cáo, sửa hết các nguồn gửi lạ rồi mới siết chặt dần. Đặt mức từ chối ngay từ đầu là cách nhanh nhất để tự gây khó cho mình.
Những sai lầm thường gặp khiến thư không vào Inbox
Từ kinh nghiệm xử lý nhiều trường hợp, có vài lỗi lặp đi lặp lại. Lỗi đầu tiên là dùng chung một tên miền cho nhiều dịch vụ gửi thư mà không kiểm soát được từng dịch vụ đang gửi gì. Khi mỗi dịch vụ tự gửi theo cách riêng, hộp thư khó phân biệt đâu là thư thật.
Lỗi thứ hai là nội dung dồn quá nhiều liên kết hoặc cụm từ quảng cáo. Một thư xác nhận đăng ký mà chứa cả chục liên kết khuyến mãi thì gần như chắc chắn vào thư rác, dù phần kỹ thuật đã đúng. Thư giao dịch nên gọn, rõ mục đích.
Lỗi thứ ba đặc biệt hay gặp ở website mới. Một tài khoản chưa có lịch sử gửi mà đột nhiên gửi hàng nghìn thư trong ngày đầu sẽ khiến hộp thư cảnh giác. Bên mình từng hỗ trợ một website bán hàng mới mở, gửi số lượng lớn thư xác nhận ngay từ đầu, và gần như toàn bộ rơi vào thư rác. Cách khắc phục là tăng lượng gửi từ từ để hệ thống dần nhận ra đây là nguồn đáng tin.
Hệ thống gửi thư của website đang được cấu hình thế nào?
Hiện tại website này gửi thư xác nhận và thông báo qua MONA Mail. Gói miễn phí cho phép gửi 3.000 email mỗi tháng, đủ dùng cho website quy mô nhỏ và vừa. Máy chủ gửi đặt tại Việt Nam và thanh toán bằng VND, nên việc đối soát và xử lý sự cố thuận tiện hơn cho đội ngũ trong nước.
Chúng tôi chọn cách này vì mỗi thư xác nhận là một phần trải nghiệm của người dùng. Thư không tới nơi thì người dùng có thể bỏ đi, và đội ngũ là người gánh hậu quả đầu tiên. Một dịch vụ gửi thư đáng tin giúp phần việc này bớt căng thẳng, để chúng tôi tập trung vào sản phẩm thay vì chữa cháy hộp thư.
Nếu bạn là lập trình viên và muốn tự kiểm tra cách tích hợp, có thể xem tài liệu API và SDK của MONA Mail để nắm các bước cấu hình cụ thể. Phần kỹ thuật không quá phức tạp, chỉ cần làm đúng thứ tự: khai báo SPF, bật DKIM, rồi mới đến DMARC.
Về phía tin tức công nghệ, cũng nên theo dõi các thay đổi chính sách của Gmail và Outlook. Những nhà cung cấp này thường siết yêu cầu xác thực theo từng giai đoạn, và một thay đổi nhỏ trong quy định có thể khiến lượng thư vào thư rác tăng bất thường. Bạn có thể đọc thêm về cách tin tức công nghệ được tiêu thụ và cập nhật tại Việt Nam để hiểu bối cảnh rộng hơn.
Thiết lập SPF, DKIM, DMARC mất bao lâu và cần chuẩn bị gì?
Tin vui là phần lớn công việc chỉ là thêm vài bản ghi vào DNS. Bạn không cần viết dòng code nào. Vào trang quản trị tên miền, dán các bản ghi do nhà cung cấp email đưa ra và lưu lại. Điều cần chuẩn bị là quyền truy cập nơi quản lý tên miền, cùng một danh sách rõ ràng các dịch vụ đang gửi thư thay mặt bạn.
Sau đó bạn cần chờ DNS cập nhật. Thường mất từ vài phút đến vài giờ, đôi khi lâu hơn tùy nhà cung cấp tên miền. Trong lúc chờ, đừng sửa đi sửa lại liên tục, vì như vậy chỉ làm mọi thứ rối thêm và khó biết bản ghi nào đang có hiệu lực.
Khi nào nên nhờ người có kinh nghiệm? Nếu tên miền đang dùng nhiều dịch vụ gửi thư cùng lúc, hoặc bạn chưa quen quản trị DNS, thì nhờ người xem giúp sẽ tiết kiệm cả tuần loay hoay. Cấu hình đúng ngay từ đầu thường rẻ hơn nhiều so với việc mất khách vì thư không tới tay họ.
Làm sao để biết email của bạn đã đạt chuẩn?
Cách đơn giản nhất là gửi thử thư đến vài hộp thư khác nhau, ví dụ một tài khoản Gmail, một Outlook và một hộp thư nội địa. Xem thư nằm ở Inbox hay thư rác. Làm vài lần, bạn sẽ có bức tranh khá rõ về việc cấu hình đã ổn hay chưa.
Ngoài ra, có thể dùng các công cụ kiểm tra miễn phí để xem trạng thái SPF, DKIM và DMARC của tên miền. Công cụ sẽ báo bản ghi nào đúng, bản ghi nào thiếu hoặc sai cú pháp, giúp bạn sửa đúng chỗ thay vì đoán mò.
Đừng quên theo dõi báo cáo DMARC định kỳ. Báo cáo cho biết ai đang gửi thư mạo danh tên miền của bạn. Nếu số lượng lạ tăng bất thường, đó là tín hiệu nên xem lại cấu hình, và cũng có thể là dấu hiệu ai đó đang lợi dụng thương hiệu của bạn.
Câu hỏi thường gặp
Đã có SPF thì có cần DKIM không?
Nên có. SPF chỉ kiểm tra máy chủ gửi, còn DKIM kiểm tra nội dung có bị sửa giữa đường hay không. Hai lớp bổ trợ cho nhau, thiếu một trong hai đều kém an toàn hơn đáng kể.
DMARC có làm thư hợp lệ của tôi bị chặn không?
Không nếu bạn bắt đầu ở chế độ theo dõi. Chỉ khi chuyển sang mức từ chối thì thư không đạt chuẩn mới bị chặn. Hãy đi từng bước và xem báo cáo trước khi siết chặt, như vậy rủi ro gần như bằng không.
Đổi nhà cung cấp email thì cần làm gì?
Cập nhật danh sách SPF để thêm máy chủ mới và thiết lập DKIM với khóa của nhà cung cấp mới. Sau đó gửi thử vài thư để kiểm tra trước khi chuyển hẳn, tránh tình trạng đổi xong mới phát hiện thư không tới nơi.