SPF đạt vẫn có thể đi cùng DMARC lỗi nếu tên miền được xác thực không căn chỉnh với tên miền trong From mà người đọc nhìn thấy. Hãy kiểm tra một email thật từ đúng đường gửi. Việc DNS có bản ghi DMARC không chứng minh thư cụ thể đã vượt qua kiểm tra tại máy chủ nhận.
Giữ nguyên bản gốc để kiểm tra
Lấy phần đầu thư đầy đủ từ tài khoản nhận có vấn đề. Đừng chuyển tiếp thư rồi phân tích bản chuyển tiếp vì đường đi và kết quả xác thực có thể thay đổi. Với Gmail trên máy tính, mở thư, chọn trình đơn thêm của thư và chức năng hiển thị bản gốc; tài liệu Google có hướng dẫn lấy phần đầu thư cho nhiều ứng dụng.
- Ghi tên miền trong From, thời gian nhận và nguồn hộp thư. Không dùng tên người gửi hiển thị thay cho địa chỉ From.
- Đọc Authentication-Results do hệ thống nhận tin cậy tạo, tìm kết quả SPF, DKIM và DMARC. Ghi tên miền smtp.mailfrom và header.d nếu có, thay vì chỉ chụp chữ pass.
- Xác định SPF hoặc DKIM nào đã đạt rồi đối chiếu tên miền tương ứng với From. Chế độ căn chỉnh nghiêm ngặt và nới lỏng có yêu cầu khác nhau; đừng chỉ nhìn hai chuỗi có từ giống nhau.
- Nếu chỉ tên miền của nhà cung cấp được xác thực, hỏi nền tảng về DKIM hoặc tên miền gửi tùy chỉnh. Dùng giá trị dành riêng cho tài khoản và thử bằng thư mới sau khi cấu hình được xác nhận.
Ví dụ giả định về tên miền nền tảng
Giả sử From là donhang@shop.example, SPF đạt cho bounce.vendor.example và DKIM đạt với d=vendor.example. Các kết quả đó xác nhận tên miền nền tảng, chưa xác nhận căn chỉnh với shop.example. Nếu không có cơ chế đạt và căn chỉnh khác, DMARC có thể lỗi. Đây là tên miền minh họa; không sao chép chúng vào DNS hay dùng khóa DKIM từ một bài hướng dẫn.
Ngược lại, thư chuyển tiếp có thể làm SPF lỗi trong khi DKIM đạt và vẫn căn chỉnh. Vì vậy cần đọc DMARC thực tế và đường đi, không quyết định từ riêng một dòng SPF. Với hệ thống trung gian sửa nội dung, nhờ quản trị viên phân tích bản gốc và cấu hình liên quan thay vì xóa hàng loạt bản ghi để thử.
DMARC đạt chưa phải kết luận về hộp thư
Sau khi sửa, kiểm tra riêng từng nguồn như hệ thống đơn hàng, chăm sóc khách và bản tin. Một đường gửi đạt không chứng minh tất cả nguồn đều đúng. Lưu kết quả xác thực cùng vị trí thư quan sát được; đừng gộp chúng thành một điểm bảo đảm. Chính sách nhận, nội dung và phản hồi người dùng vẫn có thể ảnh hưởng việc phân loại.
Trước khi đổi chính sách xử lý DMARC, cần biết các nguồn gửi hợp lệ và cách quay lại cấu hình trước đó. Không công bố phần đầu thư đầy đủ nếu chứa địa chỉ hoặc đường dẫn nội bộ. Bài này cung cấp cách đọc bằng chứng, không thay cho việc xác minh quyền quản trị tên miền và hướng dẫn chính thức của nhà cung cấp.
Tài liệu chính thức
RFC 9989: DMARC, tháng 05/2026
Google: Kiểm tra nguồn gốc bằng phần đầu thư đầy đủ
Google: Nguyên tắc dành cho người gửi email
Bắt đầu kiểm tra email bằng nội dung mẫu không chứa dữ liệu khách hàng. Chỉ chọn dịch vụ nhận đang có trên giao diện; kết quả là quan sát của lần thử, không bảo đảm vị trí thư của người nhận thật.
Đọc phương pháp kiểm tra và giới hạn