Cấu hình SPF, DKIM, DMARC để email theo tên miền không vào spam

Cấu hình SPF, DKIM, DMARC là ba bước quan trọng nhất để email gửi từ tên miền của bạn không vào thư mục spam của Gmail, Outlook. Bài viết giải thích ngắn gọn từng bản ghi, cách bật trên cPanel và cách tự thêm khi dùng DNS ở nơi khác.

Ba bản ghi này làm gì?

• SPF: khai báo máy chủ nào được phép gửi thư thay tên miền của bạn.
• DKIM: ký số mỗi thư gửi đi; bên nhận dùng khoá công khai trong DNS để kiểm tra thư không bị giả mạo, sửa đổi.
• DMARC: nói cho bên nhận biết phải làm gì với thư không vượt qua SPF / DKIM, và gửi báo cáo về cho bạn.

Gmail và Yahoo hiện yêu cầu bên gửi số lượng lớn phải có đủ SPF, DKIM và DMARC; kể cả gửi ít, có đủ ba bản ghi vẫn giúp thư vào hộp thư chính tốt hơn.

Cách 1: Bật trên cPanel (tên miền dùng nameserver của hosting)

1. Vào cPanel → Email → Email Deliverability.
2. Tên miền có vấn đề sẽ hiện cảnh báo. Bấm Repair (hoặc Manage) để cPanel tự tạo bản ghi SPF và DKIM đúng.

Nếu tên miền đang dùng nameserver của hosting, việc sửa có hiệu lực ngay.

Cách 2: Tự thêm bản ghi khi DNS nằm ở nơi khác

Khi tên miền dùng DNS ở Cloudflare hay nhà đăng ký, Email Deliverability chỉ gợi ý giá trị đúng; bạn chép sang trang quản lý DNS.

SPF (bản ghi TXT tại @)

v=spf1 +a +mx +ip4:IP_MAY_CHU_HOSTING ~all

Mỗi tên miền chỉ có một bản ghi SPF. Nếu bạn gửi thêm qua dịch vụ khác (Google Workspace, dịch vụ email marketing), gộp vào cùng một bản ghi bằng include: theo hướng dẫn của dịch vụ đó, ví dụ v=spf1 +a +mx include:_spf.google.com ~all.

DKIM (bản ghi TXT tại default._domainkey)

Chép nguyên giá trị cPanel hiển thị, dạng v=DKIM1; k=rsa; p=MIIBIjANBg…. Chuỗi rất dài, chép đủ không thiếu ký tự.

DMARC (bản ghi TXT tại _dmarc)

Bắt đầu ở chế độ theo dõi, chưa chặn thư:

v=DMARC1; p=none; rua=mailto:[email protected]

Sau vài tuần đọc báo cáo, thấy mọi nguồn gửi hợp lệ đều đạt, nâng lên p=quarantine rồi p=reject để chặn hẳn thư giả mạo tên miền.

Kiểm tra kết quả

• Xem bản ghi SPF (TXT của tên miền chính) bằng công cụ kiểm tra DNS. DKIM và DMARC nằm ở tên phụ có dấu gạch dưới, kiểm tra bằng lệnh nslookup -type=TXT _dmarc.tenmien.com hoặc dig TXT default._domainkey.tenmien.com.
• Gửi một thư tới hộp thư Gmail, mở thư → dấu ba chấm → Hiển thị bản gốc: các dòng SPF, DKIM, DMARC phải là PASS.

Thư vẫn vào spam?

• Nội dung giống thư rác: tiêu đề viết hoa toàn bộ, quá nhiều link, chỉ có ảnh.
• Gửi số lượng lớn đột ngột từ hosting: dùng dịch vụ gửi thư chuyên dụng cho email marketing.
• Website bị hack và gửi thư rác, làm IP máy chủ bị đánh giá xấu. Xem cách xử lý website bị hack.
• WordPress gửi thư bằng hàm PHP mặc định: dùng plugin SMTP đăng nhập bằng email theo tên miền.

Kết luận

Ba bản ghi TXT là đủ để thư từ tên miền của bạn được tin cậy hơn. Chưa có email theo tên miền? Xem bài tạo email theo tên miền trên cPanel và các gói Hosting.