Softonic

Trình kiểm tra bản ghi DMARC

Bước 1 / 2
Tiếp theo

DMARC là bản ghi TXT tại địa chỉ _dmarc.yourdomain.com, có nhiệm vụ thông báo cho các nhà cung cấp hộp thư cách xử lý các tin nhắn không vượt qua kiểm tra SPF hoặc DKIM. Thiết lập chính sách sai có thể chặn các email hợp lệ; nếu bỏ sót hoàn toàn bản ghi này, hệ thống sẽ dễ bị tấn công giả mạo. Công cụ kiểm tra sẽ truy vấn bản ghi và hiển thị từng thẻ trong một bảng dễ đọc, để bạn tự rà soát chính sách.

Cách kiểm tra bản ghi DMARC

  1. 1

    Nhập tên miền

    Nhập tên miền gốc, ví dụ như `example.com`. Công cụ sẽ truy vấn `_dmarc.example.com` để lấy bản ghi TXT.

  2. 2

    Đánh giá từng thẻ một

    Mỗi thẻ DMARC có trong bản ghi (v, p, sp, adkim, aspf, pct, rua, ruf, fo) đều được hiển thị kèm giá trị của nó.

  3. 3

    Xem lại chính sách

    Xem thẻ `p` để biết chính sách là `none`, `quarantine` hay `reject`, rồi so sánh `pct`, `rua` và các thẻ căn chỉnh với khuyến nghị bên dưới.

  4. 4

    Xác minh bản ghi của bạn

    So sánh bản ghi thô với nội dung nhà cung cấp DNS của bạn đang công bố để xác nhận chính sách đúng như bạn dự định.

Tổng quan các thẻ DMARC

Thẻ Ý nghĩa Giá trị điển hình
v Phiên bản, luôn là DMARC1 v=DMARC1
p Chính sách cho thư không vượt qua kiểm tra none, quarantine, reject
sp Chính sách cho các tên miền phụ mặc định kế thừa từ p
pct Tỷ lệ phần trăm thư mà chính sách áp dụng 1–100, mặc định là 100
adkim Chế độ căn chỉnh DKIM r (linh hoạt) hoặc s (nghiêm ngặt)
aspf Chế độ căn chỉnh SPF r (linh hoạt) hoặc s (nghiêm ngặt)
rua Địa chỉ nhận báo cáo tổng hợp mailto:dmarc@...
ruf Địa chỉ nhận báo cáo pháp chứng mailto:forensic@...
fo Tùy chọn báo cáo pháp chứng 0, 1, d, s
ri Khoảng thời gian báo cáo tính bằng giây mặc định là 86400 (một ngày)

Lộ trình triển khai

Hãy triển khai theo ba giai đoạn, chứ không phải nhảy thẳng một bước.

  1. p=none với rua đã được cấu hình. Thu thập báo cáo trong 4–6 tuần để xác định các người gửi hợp lệ nhưng không vượt qua kiểm tra căn chỉnh SPF/DKIM.
  2. p=quarantine; pct=25. Thắt chặt dần theo từng bước: 25%, 50%, 75% rồi 100% trong vài tuần.
  3. p=reject. Áp dụng đầy đủ. Thư giả mạo sẽ bị từ chối ngay tại MTA của bên nhận.

Đừng bao giờ bắt đầu ngay từ p=reject khi chưa có báo cáo: nếu không, bạn chỉ biết mình đã vô tình chặn những người gửi hợp lệ nào khi các yêu cầu hỗ trợ bắt đầu đổ về.

Các lỗi cấu hình DMARC thường gặp

  • Thiếu rua. Bạn đã có chính sách nhưng không có cách nào biết được nó đang từ chối những gì.
  • pct dưới 100 trong khi dùng p=reject. Về mặt ngữ nghĩa là bất thường; việc kết hợp “từ chối” với “áp dụng một phần” gây nhầm lẫn cho bên nhận.
  • Thừa một dấu chấm phẩy ở cuối hoặc thiếu v=DMARC1. Lỗi cú pháp khiến bản ghi trở nên vô hình đối với các trình phân tích.
  • Địa chỉ báo cáo nằm ở tên miền khác mà không có bản ghi ủy quyền _report._dmarc tương ứng trên tên miền đích.
  • Có nhiều bản ghi DMARC trên cùng một tên miền. Chỉ được phép có một; bên nhận sẽ coi bản ghi trùng lặp là lỗi và quay về mặc định p=none.

Giải thích báo cáo

Báo cáo tổng hợp là các tệp XML được gửi hằng ngày đến địa chỉ rua của bạn. Các công cụ như MxToolbox, Postmark, Valimail và Dmarcian sẽ phân tích chúng thành bảng điều khiển trực quan. Báo cáo pháp chứng (ruf) là bản sao của từng thư riêng lẻ, giúp gỡ lỗi các sự cố cụ thể; tuy nhiên, nhiều nhà cung cấp dịch vụ Internet đã vô hiệu hóa chúng vì lý do quyền riêng tư.

Câu hỏi thường gặp

SPF xác định những máy chủ nào được phép gửi thư thay mặt cho tên miền của bạn; DKIM ký mã hóa cho các email gửi đi. DMARC kết nối hai cơ chế này với nhau: nó chỉ dẫn bên nhận cách xử lý khi cả SPF và DKIM đều thất bại, đồng thời cung cấp cơ chế báo cáo. Để email đến được hộp thư một cách đáng tin cậy trong môi trường hiện đại, bạn cần cả ba.

DMARC bảo vệ tên miền trong phong bì thư nhưng không bảo vệ tên hiển thị. Kẻ tấn công gửi “Example Corp attacker@gmail.com” không giả mạo tên miền của bạn, mà chỉ mạo danh thương hiệu của bạn. Việc giả mạo tên hiển thị bị các bộ lọc khác chặn ở phía bên nhận, chứ không phải bởi DMARC.

Có, nhưng hãy nhớ bao quát tất cả các nguồn gửi: nền tảng tiếp thị, dịch vụ gửi thư giao dịch, bộ phận hỗ trợ khách hàng và lời mời lịch. Mỗi nguồn đều cần được căn chỉnh qua SPF hoặc DKIM thì DMARC mới vượt qua.

Lệnh tra cứu là một truy vấn DNS công cộng và được lưu tạm thời trong bộ nhớ đệm nhằm giảm tải hệ thống. Tên miền không được lưu trữ lâu dài, và không có mã nhận dạng người dùng nào được gắn kèm với truy vấn này.

Công cụ liên quan

Tìm địa chỉ IP

Tra cứu địa chỉ IPv4 hoặc IPv6 công khai để xem quốc gia, khu vực, thành phố, tọa độ, ISP, ASN, tổ chức và múi giờ ước tính.

Trình kiểm tra endpoint API

Kiểm tra endpoint HTTP hoặc HTTPS cho phép CORS ngay trong trình duyệt. Xem trạng thái cuối, header được công khai, thời gian và bản xem trước body có giới hạn.

Trình kiểm tra HTTP/2 và HTTP/3

Phân tích cục bộ header phản hồi đã dán để nhận biết phiên bản HTTP quan sát được và quảng bá HTTP/3 qua Alt-Svc.

Máy tính CIDR

Tính toán địa chỉ mạng, phạm vi phát sóng, phạm vi máy chủ, IP có thể sử dụng và mặt nạ mạng con cho bất kỳ khối CIDR IPv4 nào.

Trình kiểm thử CORS

Gửi một yêu cầu OPTIONS preflight tới bất kỳ URL nào và kiểm tra Access-Control-Allow-Origin, các tiêu đề và phương thức mà máy chủ trả về. Gỡ lỗi cross-origin thật nhanh.

Trình phát hiện thông tin trình duyệt

Xem trình duyệt của bạn báo gì: user agent, engine, phiên bản, OS, loại thiết bị, độ phân giải màn hình, timezone, ngôn ngữ và IP công khai.

Công cụ này có phiên bản bằng các ngôn ngữ khác