Kiểm tra khả năng truy cập email

Kiểm tra khả năng phân phối email

Kiểm tra DNS miền người gửi, đừng chờ thư bị trả lại mới kiểm tra

MX/A SPF DKIM DMARC DNSBL

Miền người gửi *

IP xuất

IP máy chủ gửi email, dùng để kiểm tra xem có trong danh sách đen DNSBL không. Để trống thì bỏ qua mục này. Có thể tìm thấy trong tiêu đề Received: from của email, hoặc hỏi nhà cung cấp SMTP.

Bộ chọn DKIM

Tiền tố truy vấn khóa công khai DKIM, dùng để xác minh chữ ký email. Để trống thì tự động phát hiện các bộ chọn phổ biến (google, default, s1, k1…). Có thể tìm thấy trong tiêu đề DKIM-Signature: s= của bất kỳ email đã gửi nào.

Kiểm tra cấu hình người gửi

Khả năng gửi email đến hộp thư người nhận của bạn không bị từ chối hoặc đánh dấu là thư rác. Nó phụ thuộc vào một loạt các bản ghi DNS: MX xác nhận tên miền của bạn tồn tại và có máy chủ email, SPF tuyên bố ai có thể gửi email thay mặt bạn, DKIM sử dụng chữ ký mã hóa để chứng minh email không bị sửa đổi, và DMARC kết hợp cả ba điều trên đồng thời xây dựng chiến lược xử lý. Nếu IP gửi vẫn nằm trong danh sách đen DNSBL, cho dù có bản ghi xác thực tốt đến mấy cũng không cứu được.

Lỗi cấu hình sẽ không đưa ra bất kỳ cảnh báo nào - bạn chỉ thấy email bị trả lại, tỷ lệ hiển thị hộp thư thấp, email đăng ký người dùng biến mất vào hộp thư rác. Chỉ một lần không cấu hình SPF là đủ khiến tên miền của bạn bị mạo danh gửi thư; một DMARC p=none lỗi thời cho phép email mạo danh chạy tự do; một IP gửi bị đưa vào danh sách đen khiến tất cả email biến mất không dấu vết. Nghiêm trọng hơn, những vấn đề này thường chỉ được phát hiện sau khi bạn đã mất người dùng.

Công cụ này thực hiện trước các kiểm tra mà người nhận sẽ thực hiện trước khi gửi email. Nhập tên miền người gửi (và IP gửi tùy chọn cùng selector DKIM), bạn có thể xem xem bốn bản ghi DNS quan trọng đã được xuất bản đúng chưa và IP gửi có sạch không. Kết quả từng kiểm tra tương ứng trực tiếp với mã lỗi email trả lại thực tế, cho bạn biết đâu là sự cố và cách sửa.

Kiểm tra trước khi gửi thư, không phải chờ thư bị trả lại - tự kiểm tra trước khi máy thu kiểm tra bạn

Kiểm tra 5 hạng mục trong một lần: Phân giải DNS, SPF, DKIM, DMARC, danh sách đen IP

Không để lại dấu vết: Chỉ truy vấn DNS, không gửi bất kỳ email nào, không lưu trữ miền và IP

Ánh xạ trực tiếp mã lỗi trả thư: Kết quả từng kiểm tra tương ứng với mã bounce thực tế, biết phải sửa gì

Khi nào sử dụng

Trước khi gửi thư lần đầu cho tên miền mới - Xác nhận MX, SPF, DKIM, DMARC đều đã được xuất bản đúng

Khi thư bị trả lại — tra cứu mã trả lại để xác định vấn đề về DNS, xác thực hoặc IP

Sau khi thay đổi bản ghi DNS — Xác minh rằng thay đổi đã có hiệu lực và không gây ra vấn đề mới

Sau khi chuyển máy chủ email hoặc nhà cung cấp SMTP — Kiểm tra xem IP mới có sạch không

Tra cứu lỗi trả lại thư

Lỗi trả thư phổ biến và các mục kiểm tra tương ứng:

Lỗi trả thư	Nguyên nhân gốc	Mục kiểm tra của công cụ này	Hướng sửa lỗi
554 5.1.8 Domain not found	Tên miền người gửi không có bản ghi DNS	Phân giải DNS tên miền	Thêm bản ghi MX/A/AAAA
550 DNSBL (như r1401)	IP gửi nằm trên danh sách đen thời gian thực	Danh sách đen IP	Yêu cầu xóa hoặc thay đổi IP
550 5.7.26 Xác thực thất bại	Thiếu hoặc không thành công SPF/DKIM/DMARC	SPF + DKIM + DMARC	Xuất bản và siết chặt bản ghi xác thực

Mẫu bản ghi DNS

Bốn mẫu bản ghi DNS quan trọng. Vui lòng thay thế yourdomain.com và include của nhà cung cấp.

MX (trong bản ghi MX của yourdomain.com):

yourdomain.com. IN MX 10 mail.yourdomain.com.

SPF (trong bản ghi TXT của yourdomain.com):

v=spf1 include:_spf.google.com include:mail.zoho.com -all

DMARC (trong bản ghi TXT của _dmarc.yourdomain.com):

v=DMARC1; p=reject; rua=mailto:[email protected]; adkim=s; aspf=s

DKIM (trong bản ghi TXT của <selector>._domainkey.yourdomain.com):

v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC...

Đề xuất DMARC nên bắt đầu với p=none để thu thập báo cáo, sau đó dần nâng cấp lên quarantine, reject.

Kiến thức về DNS và xác thực email

Các bản ghi DNS được công cụ kiểm tra và ảnh hưởng của chúng đến việc gửi email:

Phân giải DNS miền (MX / A / AAAA)

MX thông báo cho người nhận máy chủ thư nào xử lý email cho miền của bạn. A/AAAA phân giải miền thành địa chỉ IPv4/IPv6. Nếu miền gửi không có bản ghi DNS nào, người nhận sẽ từ chối với mã 554 5.1.8 Domain not found – miền đó hoàn toàn không tồn tại trong DNS.

SPF (Khung chính sách người gửi)

Bản ghi TXT được xuất bản trên miền, liệt kê các IP/máy chủ được phép gửi email thay bạn. Người nhận sẽ so sánh IP gửi với danh sách này. Nếu không có SPF, bất kỳ ai cũng có thể mạo nhận miền của bạn để gửi email.

Giá trị phổ biến và rủi ro

-all: Từ chối cứng: Từ chối trực tiếp người gửi không được ủy quyền. Là phương pháp tốt nhất, có mức độ bảo mật cao nhất.
~all: Từ chối mềm: Đánh dấu là đáng ngờ nhưng không từ chối. Có thể sử dụng trong giai đoạn chuyển tiếp, nhưng sử dụng lâu dài sẽ làm giảm độ tin cậy của miền.
?all: Trung lập: Không đưa ra khẳng định, tương đương như không thiết lập SPF. Nguy cơ bị mạo danh cao.
+all: Cho phép tất cả: Bất kỳ địa chỉ IP nào cũng có thể gửi email thay cho bạn. Cực kỳ nguy hiểm, không nên sử dụng.

DKIM (Xác thực email bằng khóa tên miền)

Chữ ký mã hóa thêm cho email đi. Khóa công khai được công bố dưới dạng bản ghi TXT tại <selector>._domainkey.tên_miền_của_bạn.com. Người nhận sử dụng khóa công khai này để xác minh chữ ký và đảm bảo email không bị sửa đổi. Khác với SPF, bạn phải biết selector mới có thể truy vấn khóa công khai.

Giá trị phổ biến và rủi ro

v=DKIM1: Nhận dạng phiên bản, bắt buộc. Nếu thiếu sẽ không được xác định là bản ghi DKIM.
k=rsa: Loại khóa, RSA là phổ biến nhất. Nếu thiếu, mặc định là rsa.
p=...: Khóa công khai RSA, bắt buộc. Nếu p= trống hoặc thiếu, có nghĩa là thu hồi selector này.
t=s: Chế độ nghiêm ngặt: Chữ ký phải khớp chính xác với tên miền. Ngăn chặn lạm dụng chữ ký của tên miền phụ.

DMARC (Xác thực email dựa trên tên miền)

Bản ghi TXT chiến lược được công bố tại _dmarc.tên_miền_của_bạn.com, liên kết SPF và DKIM. Báo cho người nhận cách xử lý khi cả hai đều không thành công, còn có thể chỉ định địa chỉ nhận báo cáo tổng hợp.

Giá trị phổ biến và rủi ro

p=none: Chỉ giám sát: Không thực hiện xử lý, chỉ nhận báo cáo. Là điểm khởi đầu an toàn, nhưng không có bảo vệ thực tế, email giả mạo vẫn được chuyển phát.
p=quarantine: Cách ly: Email không được xác thực được gửi vào thùng rác. Bảo vệ mức trung bình, phù hợp cho giai đoạn xác minh.
p=reject: Từ chối: từ chối trực tiếp thư không được xác thực. Là phương pháp bảo vệ mạnh nhất, là mục tiêu cuối cùng. Nếu bỏ qua cấp này, thư giả mạo có thể vào hộp thư đến.
rua=: Địa chỉ nhận báo cáo tập trung. Dùng để giám sát tình trạng thất bại khi gửi thư, không ảnh hưởng xử lý nhưng giúp dễ dàng truy tìm nguyên nhân.
adkim=s / aspf=s: Căn chỉnh nghiêm ngặt: yêu cầu tên miền của DKIM/SPF phải hoàn toàn trùng với tiêu đề From. Ngăn chặn việc sử dụng phụ miền để giả mạo.

DNSBL (Danh sách đen DNS)

Danh sách đen IP thời gian thực thông qua truy vấn DNS. Nhà nhận sẽ so sánh IP gửi của bạn với các danh sách như Spamhaus, Barracuda, SpamCop... Nếu trùng khớp sẽ từ chối (550 DNSBL). IP đã gửi thư rác, bị xâm nhập, hoặc nằm trong vùng chia xấu đều có thể bị đưa vào danh sách.

Giá trị phổ biến và rủi ro

zen.spamhaus.org: Danh sách đen công cộng lớn nhất, có phạm vi phủ sóng rộng nhất. Việc bị đánh dấu sẽ có ảnh hưởng lớn nhất, gần như tất cả các bên nhận thư đều kiểm tra.
b.barracudacentral.org: Danh sách đen dành cho doanh nghiệp, được nhiều thiết bị bảo mật sử dụng. Có ảnh hưởng trung bình.
bl.spamcop.net: Dựa trên báo cáo của người dùng. Có thể có liệt kê sai, nhưng ảnh hưởng ở mức trung bình.
dnsbl.sorbs.net: Danh sách đen nhỏ, có ảnh hưởng hạn chế nhưng vẫn được sử dụng.

Câu hỏi thường gặp

Tại sao email vẫn bị trả lại dù SPF đã thành công?

Chỉ riêng SPF thành công không đủ. Các nhà cung cấp như Gmail còn kiểm tra DKIM và DMARC. Nếu DKIM bị thiếu hoặc căn chỉnh DMARC thất bại, email vẫn sẽ bị từ chối. Khuyến nghị kiểm tra cả ba mục cùng lúc.

Làm thế nào để tìm selector DKIM của tôi?

Xem tài liệu nhà cung cấp dịch vụ email. Các selector phổ biến: google (Google Workspace), selector1/selector2 (Microsoft 365), default, s1, k1. DKIM-Signature trong tiêu đề email: s=... cũng sẽ hiển thị selector hiện tại.

Phải làm gì nếu IP của tôi bị đưa vào danh sách đen?

Đi đến trang gỡ bỏ của nhà cung cấp danh sách đen (ví dụ: spamhaus.org/lookup) để yêu cầu gỡ bỏ và đảm bảo rằng IP này không gửi thư rác. Nếu bạn dùng IP chia sẻ, hãy liên hệ nhà cung cấp để đổi IP.

Tên miền có thể phân giải nhưng không có bản ghi MX, thì có vấn đề không?

Chưa chắc chắn là có vấn đề. Tên miền chỉ gửi (dùng dịch vụ SMTP bên thứ ba) có thể không có MX nhưng có bản ghi A. Chỉ cần SPF/DMARC trỏ đúng đến nhà cung cấp, email thường sẽ gửi đến được.

Công cụ này có gửi email không?

Không. Công cụ này chỉ truy vấn bản ghi DNS (TXT, MX, A, AAAA) và kiểm tra xem IP xuất có nằm trong cơ sở dữ liệu DNSBL công cộng hay không. Nó không gửi bất kỳ email nào cũng không lưu trữ tên miền và IP của bạn.

Kiểm tra bao lâu một lần?

Nên kiểm tra trong các trường hợp sau: lần đầu gửi email từ tên miền mới, sau khi sửa đổi bản ghi DNS, sau khi đổi nhà cung cấp dịch vụ email, trước khi sự kiện gửi email hàng loạt. Bảo trì hàng tháng là đủ cho việc duy trì thông thường.

Có thể kiểm tra tên miền của người khác không?

Có. Bản ghi DNS là công khai, việc kiểm tra bất kỳ tên miền nào không liên quan đến vấn đề riêng tư. Tuy nhiên, lưu ý rằng kết quả công cụ chỉ dùng để chẩn đoán cấu hình gửi thư của chính bạn.

Tại sao email vẫn đi vào thùng rác dù đã chuyển thành công SPF và DKIM?

Ngoài chứng thực, tỷ lệ inbox còn bị ảnh hưởng bởi uy tín IP (DNSBL), sự tăng đột biến lượng gửi, nội dung bị đánh dấu là spam, chính sách của người nhận và các yếu tố khác. Đề nghị bạn kiểm tra trước xem IP có nằm trong danh sách đen không, và dần tích lũy uy tín gửi tốt.