Quy định mới về email cho SaaS: Hướng dẫn tuân thủ SPF, DKIM và DMARC

Các nhà cung cấp email lớn đã chuyển từ việc lọc mềm sang từ chối cứng đối với những người gửi không tuân thủ quy định. Từ đầu năm 2024, Gmail và Yahoo đã áp dụng các yêu cầu dành cho người gửi số lượng lớn, trong khi Microsoft tham gia vào tháng 5 năm 2025. Những thay đổi này ảnh hưởng đến bất kỳ đội ngũ phần mềm nào gửi tin nhắn tự động đến hộp thư của người dùng, đòi hỏi phải cấu hình DNS chính xác và tách biệt luồng email để duy trì khả năng gửi thư thành công.

Chuyện gì đã xảy ra

Bối cảnh gửi email đã thay đổi đáng kể trong hai năm qua khi các nhà cung cấp lớn thắt chặt bảo mật chống lại giả mạo và spam. Vào tháng 2 năm 2024, Google và Yahoo đã giới thiệu các yêu cầu mới dành cho người gửi số lượng lớn, vượt xa việc đơn thuần đưa vào thư mục spam sang từ chối hoàn toàn thư không được xác thực. Microsoft cũng làm tương tự cho người dùng Outlook.com vào tháng 5 năm 2025, triển khai các kiểm tra nghiêm ngặt tương tự. Mục tiêu là đảm bảo rằng mọi email đến hộp thư của người tiêu dùng đều có thể được xác minh bằng mật mã học là xuất phát từ tên miền đã tuyên bố.

Các quy tắc này áp dụng nghiêm ngặt nhất cho những người gửi truyền hơn 5.000 tin nhắn mỗi ngày đến tài khoản người tiêu dùng của một nhà cung cấp. Tuy nhiên, các yêu cầu kỹ thuật về xác thực áp dụng cho tất cả người gửi, bất kể khối lượng. Các nhà cung cấp sử dụng những tín hiệu này để xác định uy tín, nghĩa là ngay cả các startup nhỏ cũng có thể gặp vấn đề về khả năng gửi thư nếu bỏ qua thiết lập cơ bản. Một đợt ra mắt sản phẩm đột ngột hoặc chiến dịch marketing có thể đẩy một người gửi khối lượng thấp vượt ngưỡng ngay lập tức, kích hoạt việc thực thi nghiêm ngặt mà không có cảnh báo trước.

Cốt lõi của những cập nhật này xoay quanh ba giao thức xác thực dựa trên DNS: SPF, DKIM và DMARC. Các nhà cung cấp hiện yêu cầu sự liên kết giữa các bản ghi này và địa chỉ "From" (Người gửi) hiển thị. Nếu người gửi phong bì kỹ thuật không khớp với tên miền mà người dùng nhìn thấy, tin nhắn sẽ thất bại trong xác thực. Microsoft đã trở nên đặc biệt nghiêm khắc, trả về các mã lỗi cụ thể như 550 5.7.515 khi mức độ xác thực không đủ, buộc các nhà phát triển phải sửa các bản ghi DNS thay vì chỉnh sửa nội dung email.

Chi tiết quan trọng

• Ngưỡng người gửi số lượng lớn: Khoảng 5.000 tin nhắn mỗi ngày đến hộp thư người tiêu dùng của một nhà cung cấp sẽ kích hoạt phân loại người gửi số lượng lớn nghiêm ngặt.
• Giới hạn SPF: Bản ghi SPF không được vượt quá 10 lần tra cứu DNS; vượt quá điều này gây ra lỗi vĩnh viễn tương đương với việc không có bản ghi SPF.
• Kích thước khóa DKIM: Sử dụng khóa 2048-bit ở những nơi được hỗ trợ, và đảm bảo mọi công cụ gửi thay mặt bạn đều ký bằng tên miền cụ thể của bạn.
• Chính sách DMARC: Bắt đầu với p=none để giám sát, sau đó chuyển sang p=quarantine hoặc p=reject khi sự liên kết đã được xác nhận.
• Tiêu chuẩn hủy đăng ký: Email marketing phải bao gồm các tiêu đề hủy đăng ký một cú nhấp chuột theo RFC 8058, với các lựa chọn từ chối được xử lý trong vòng hai ngày.
• Tách biệt luồng: Email giao dịch và email marketing nên sử dụng các tên miền phụ khác nhau để cô lập rủi ro về uy tín.

Bối cảnh

Để hiểu các yêu cầu này, cần biết cách xác thực email hoạt động. SPF (Sender Policy Framework - Khung chính sách người gửi) là một bản ghi văn bản DNS liệt kê các địa chỉ IP được ủy quyền gửi thư cho tên miền của bạn. DKIM (DomainKeys Identified Mail - Thư được xác định bởi Khóa Tên miền) thêm chữ ký số vào mỗi tin nhắn, mà máy thu xác minh bằng cách sử dụng khóa công khai được công bố trong DNS của bạn. DMARC (Domain-based Message Authentication, Reporting, and Conformance - Xác thực, Báo cáo và Tuân thủ Thư dựa trên Tên miền) liên kết chúng lại bằng cách kiểm tra xem tên miền trong tiêu đề "From" có liên kết với các tên miền đã vượt qua kiểm tra SPF hoặc DKIM hay không.

Sự liên kết là điểm thất bại phổ biến nhất. Nếu nhà cung cấp email của bạn ký tin nhắn bằng tên miền riêng của họ thay vì tên miền của bạn, DMARC sẽ thất bại ngay cả khi SPF và DKIM về mặt kỹ thuật đạt. Đây là lý do tại sao việc sử dụng một tên miền phụ chuyên dụng để gửi, chẳng hạn như mail.example.com, là rất quan trọng. Nó cho phép bạn kiểm soát các bản ghi DNS và đảm bảo rằng kết quả xác thực khớp với địa chỉ người gửi hiển thị. Nếu không có sự liên kết này, các nhà cung cấp như Outlook sẽ từ chối hoàn toàn tin nhắn.

Tại sao điều này quan trọng

Đối với các đội ngũ vận hành phần mềm tự lưu trữ hoặc sản phẩm SaaS, khả năng gửi email thành công gắn liền trực tiếp với sự tin tưởng và giữ chân người dùng. Nếu email đặt lại mật khẩu rơi vào thư rác hoặc bị từ chối, người dùng không thể truy cập tài khoản của họ, dẫn đến vé hỗ trợ và tỷ lệ rời bỏ cao. Sự chuyển đổi từ lọc mềm sang từ chối cứng có nghĩa là không còn cơ hội thứ hai cho các tin nhắn cấu hình sai. Một khi tên miền bị đánh dấu vì xác thực kém hoặc tỷ lệ khiếu nại cao, việc khôi phục uy tín sẽ khó khăn và tốn thời gian.

Sự ổn định vận hành cũng phụ thuộc vào việc tách biệt các luồng email. Các chiến dịch marketing thường tạo ra tỷ lệ khiếu nại spam cao hơn so với tin nhắn giao dịch. Nếu cả hai loại email đều đến từ cùng một tên miền hoặc cụm IP, một bản tin được đón nhận kém có thể làm hỏng uy tín của các thông báo hệ thống quan trọng. Bằng cách cô lập các luồng này, bạn đảm bảo rằng các thử nghiệm marketing không gây nguy hiểm cho việc gửi các cảnh báo bảo mật và biên lai thanh toán. Sự tách biệt này giờ đây là một thực tiễn tốt nhất được áp dụng bởi các thuật toán của nhà cung cấp.

Hơn nữa, việc giám sát các chỉ số này cung cấp các dấu hiệu cảnh báo sớm về các vấn đề hạ tầng. Các công cụ như Google Postmaster Tools và báo cáo tổng hợp DMARC tiết lộ liệu các dịch vụ trái phép có đang gửi thư dưới tên miền của bạn hay không, hoặc nếu các công cụ hợp pháp bị cấu hình sai. Bỏ qua những tín hiệu này có thể dẫn đến việc bị đưa vào danh sách đen đột ngột. Việc quản lý chủ động các bản ghi DNS và uy tín người gửi không còn là tùy chọn cho bất kỳ đội ngũ nào dựa vào email để giao tiếp với người dùng.

Bạn có thể làm gì

• Kiểm toán bản ghi DNS: Xác minh rằng bạn chỉ có một bản ghi SPF cho mỗi tên miền và nó bao gồm tất cả các dịch vụ gửi hiện tại mà không vượt quá 10 lần tra cứu.
• Triển khai giám sát DMARC: Công bố một bản ghi DMARC với p=none và một địa chỉ email báo cáo để nhận các tệp tổng hợp XML hàng ngày từ các nhà cung cấp.
• Tách biệt tên miền gửi: Cấu hình các tên miền phụ riêng biệt cho email giao dịch và email marketing để cô lập uy tín và ngăn ngừa nhiễm chéo.
• Kích hoạt hủy đăng ký một cú nhấp chuột: Thêm các tiêu đề RFC 8058 vào tất cả email marketing, đảm bảo liên kết hủy đăng ký xử lý các yêu cầu ngay lập tức mà không cần đăng nhập.
• Kiểm tra DNS ngược: Nếu tự lưu trữ máy chủ mail của bạn, hãy đảm bảo mọi IP gửi đều có bản ghi PTR giải ngược về hostname chính xác.
• Theo dõi tỷ lệ khiếu nại: Sử dụng Google Postmaster Tools và Microsoft SNDS để theo dõi các khiếu nại spam, giữ chúng dưới 0,1% để tránh bị giới hạn tốc độ.

Hãy giữ trạng thái tên miền và chứng chỉ của bạn luôn hiển thị để ngăn chặn các sự cố không liên quan làm trầm trọng thêm các vấn đề về email.