- Thư của bạn chưa được xác thực. Máy chủ nhận không thể xác nhận rằng tin nhắn thực sự đến từ miền của bạn. Thông thường, đó là do thiếu một bản ghi, một công cụ mới (CRM, lập hóa đơn, bản tin, biểu mẫu trang web, bộ phận hỗ trợ, thậm chí là máy quét) chưa bao giờ được thêm vào đó, hoặc bản ghi SPF đã vượt quá giới hạn và ngừng hoạt động mà không có thông báo.
- Thông điệp này trông giống như thư rác. Các công cụ rút gọn liên kết, nhiều hình ảnh và ít chữ, chữ in hoa, chữ ký có sáu biểu tượng, tệp đính kèm mà không ai yêu cầu, hoặc tiêu đề được viết giống như một quảng cáo. Các bộ lọc sẽ chấm điểm từng yếu tố này.
- Danh tiếng của tên miền của bạn đã bị ảnh hưởng. Một hộp thư đã bị xâm nhập và gửi thư rác trong suốt một cuối tuần, ai đó đã gửi một bản cập nhật đến 400 người nhận từ Outlook với tất cả mọi người đều được thêm vào phần Bcc, hoặc thư của bạn được gửi đi qua một máy chủ dùng chung với một “hàng xóm” xấu.
- Phía người nhận. Một quy tắc, hộp thư đầy, một email được chuyển tiếp đến địa chỉ cá nhân, hoặc một bộ lọc đã từng nhận diện địa chỉ của bạn là thư rác. Tình huống này ít phổ biến hơn mọi người nghĩ, và chỉ người nhận mới có thể khắc phục được.
Tại sao email công ty của bạn lại bị chuyển vào thư rác và cách khắc phục triệt để
Bốn lý do khiến email doanh nghiệp bị chuyển vào thư mục rác, vai trò thực sự của SPF, DKIM và DMARC, những yêu cầu mới của Gmail và Outlook đối với mọi người gửi, cùng một quy trình kiểm tra bạn có thể thực hiện trong 20 phút.
8 phút đọcCập nhật
Câu trả lời ngắn
Trong 10 trường hợp thì có tới 9 trường hợp nguyên nhân là do xác thực: tên miền của bạn không thông báo cho hệ thống rằng những dịch vụ nào được phép gửi email thay mặt bạn, hoặc một công cụ mới đã được thêm vào mà không cập nhật các bản ghi này. Gmail và Outlook hiện yêu cầu bản ghi SPF, DKIM và DMARC từ mọi người gửi, và họ sẽ tự động chuyển email vào thư rác khi có bất kỳ lỗi nào xảy ra. Hãy sửa các bản ghi, bật DKIM trên mọi công cụ gửi email dưới tên miền của bạn, bắt đầu theo dõi DMARC, và hầu hết các vấn đề về việc gửi email sẽ được giải quyết trong vòng một hoặc hai ngày.
Bốn lý do, theo thứ tự mức độ khả năng
SPF, DKIM và DMARC thực sự hoạt động như thế nào
Cả ba đều là các bản ghi văn bản nhỏ trong DNS của miền của bạn. Không ai trong công ty của bạn nhìn thấy chúng, nhưng mọi máy chủ thư mà bạn gửi thư đến đều kiểm tra chúng.
| Ghi lại | Nói một cách đơn giản | Sẽ xảy ra vấn đề gì nếu thiếu nó |
|---|---|---|
| SPF | Danh sách các dịch vụ được phép gửi email dưới tên miền của bạn, ví dụ như Microsoft 365 và công cụ lập hóa đơn của bạn. | Thư từ một dịch vụ không có trong danh sách sẽ không gửi được. Danh sách có hơn mười mục tra cứu sẽ không hoạt động cho bất kỳ mục nào. |
| DKIM | Một chữ ký số được thêm vào mỗi tin nhắn, chứng minh rằng tin nhắn đó xuất phát từ miền của bạn và không bị thay đổi trong quá trình truyền tải. | Các tin nhắn đến không có chữ ký và trông không khác gì một tin nhắn giả mạo. |
| DMARC | Hướng dẫn của bạn dành cho người nhận: phải làm gì khi một tin nhắn tự xưng là của bạn không vượt qua các kiểm tra nêu trên, và gửi báo cáo đến đâu. | Người nhận sẽ không thể biết được, và bất kỳ ai cũng có thể gửi email dưới danh nghĩa của bạn mà bạn không hề hay biết. |
Có một chi tiết rất quan trọng: sự phù hợp. Tên miền trong địa chỉ người gửi mà người nhận nhìn thấy phải khớp với tên miền đã vượt qua kiểm tra SPF hoặc DKIM. Một công cụ bản tin gửi thư dưới tên miền của bạn nhưng ký bằng tên miền của chính nó sẽ vượt qua kiểm tra DKIM cho chính nó nhưng vẫn không vượt qua kiểm tra DMARC cho bạn.
Gmail, Outlook và Yahoo hiện yêu cầu những gì
Kể từ năm 2024, các nhà cung cấp hộp thư lớn đã công bố các quy tắc thay vì chỉ dựa vào phỏng đoán, và vào cuối năm 2025, Google đã tăng cường thực thi với nhiều trường hợp từ chối hơn. Các yêu cầu được công bố của họ, tính đến tháng 10 năm 2026:
| Yêu cầu | Gmail (tất cả người gửi) | Outlook.com và Yahoo |
|---|---|---|
| SPF và DKIM | Cả hai đều được thiết lập | Cả hai đều được thiết lập dành cho những ai gửi khoảng 5.000 tin nhắn mỗi ngày trở lên; và được kỳ vọng mạnh mẽ từ tất cả những người còn lại |
| Bản ghi DMARC | Đã xuất bản, ít nhất p=none | Đã được công bố, ít nhất p=none, tuân thủ SPF hoặc DKIM |
| Từ các lĩnh vực liên quan | Có, với SPF hoặc DKIM | Có |
| DNS ngược và TLS | Bắt buộc | Dự kiến |
| Tỷ lệ khiếu nại thư rác | Dưới 0,3%, mục tiêu là 0,1 | Được giữ ở mức thấp; Microsoft theo dõi chặt chẽ danh tiếng |
| Hủy đăng ký chỉ với một cú nhấp chuột | Thư tiếp thị từ các nhà gửi hàng loạt | Thư tiếp thị từ các nhà gửi hàng loạt |
Các quy tắc này chính thức áp dụng cho thư được gửi đến các địa chỉ Gmail, Outlook.com và Yahoo cá nhân. Trên thực tế, Microsoft 365 và Google Workspace cũng áp dụng các kiểm tra tương tự đối với hộp thư doanh nghiệp, do đó, cách khắc phục là như nhau bất kể khách hàng của bạn sử dụng dịch vụ nào.
Kiểm tra trong 20 phút
- Liệt kê tất cả các dịch vụ gửi email dưới tên miền của bạn. Microsoft 365 hoặc Google Workspace; các công cụ CRM, lập hóa đơn và tính lương; nền tảng bản tin; biểu mẫu liên hệ trên trang web; bộ phận hỗ trợ; các công cụ lịch và đặt lịch; và chiếc máy in có chức năng quét và gửi trực tiếp vào email. Hầu hết các tên miền đều có từ năm đến tám dịch vụ như vậy.
- Xem bản ghi SPF của bạn. Phải có chính xác một bản ghi. Bản ghi này phải bao gồm tất cả các dịch vụ trong danh sách, không vượt quá mười lần tra cứu DNS và kết thúc bằng -all hoặc ~all. Nếu có bản ghi SPF thứ hai hoặc lần tra cứu thứ mười một, tất cả các yêu cầu sẽ bị từ chối.
- Bật tính năng DKIM ở mọi nơi. Trong Microsoft 365, cài đặt này nằm trong cổng thông tin Defender, trong phần Cài đặt xác thực email; trong Google Workspace, nằm trong phần Ứng dụng, Google Workspace, Gmail, Xác thực email. Mỗi công cụ của bên thứ ba đều có cài đặt DKIM riêng, cung cấp cho bạn hai hoặc ba bản ghi DNS để thêm vào.
- Xuất bản DMARC ở cấp độ giám sát. Một bản ghi với p=none và địa chỉ báo cáo hiện tại chưa thay đổi gì, nhưng chỉ trong vài ngày, các báo cáo sẽ hiển thị mọi dịch vụ đang gửi email dưới danh nghĩa của bạn, bao gồm cả những dịch vụ bạn đã quên và bất kỳ ai đang mạo danh bạn.
- Gửi một bài kiểm tra và xem kết quả. Gửi email đến tài khoản Gmail cá nhân, mở tin nhắn, chọn “Hiển thị bản gốc” và tìm các mục SPF: PASS, DKIM: PASS và DMARC: PASS. Outlook.com cũng hiển thị thông tin tương tự trong phần tiêu đề tin nhắn. Nếu có một mục nào đó hiển thị “FAIL”, điều đó sẽ cho bạn biết chính xác bản ghi nào cần sửa.
- Tăng cường bảo mật DMARC theo từng bước. Sau hai đến bốn tuần có báo cáo sạch, chuyển sang p=quarantine, sau đó là p=reject. Khi ở trạng thái reject, không ai có thể gửi email dưới danh nghĩa của bạn và người nhận sẽ tin tưởng email của bạn hơn.
Các vấn đề trông giống như xác thực nhưng thực chất không phải
- Một hộp thư bị xâm phạm. Nếu tỷ lệ gửi thư giảm đột ngột chỉ trong một đêm, trước hết hãy kiểm tra nhật ký đăng nhập và các quy tắc hộp thư đến của các tài khoản bị ảnh hưởng. Kẻ tấn công thường thêm một quy tắc để ẩn các phản hồi và gửi thư rác từ tài khoản thật.
- Gửi thư hàng loạt từ một hộp thư thông thường. Outlook và Gmail được thiết kế dành cho các cuộc trò chuyện, không phải các chiến dịch tiếp thị. Việc cập nhật thông tin cho hàng trăm liên hệ nên được thực hiện qua một công cụ chuyên dụng, gửi từ một tên miền phụ như news.yourcompany.com để đảm bảo rằng bất kỳ sự cố nào xảy ra tại đó cũng không ảnh hưởng đến tên miền chính của bạn.
- Nhiều chữ ký và công cụ rút gọn liên kết. Ít hình ảnh hơn, không có liên kết rút gọn và văn bản được viết một cách tự nhiên như do con người viết.
- Một tên miền hoàn toàn mới. Các tên miền không có lịch sử sẽ bị xem là đáng ngờ trong vài tuần đầu tiên. Hãy bắt đầu với khối lượng thấp và các cuộc trò chuyện thực tế.
- Danh sách được mua hoặc thu thập tự động. Tỷ lệ khiếu nại trên 0,3% sẽ khiến bạn bị loại khỏi danh sách khách hàng tốt của các nhà cung cấp trong một tuần, và không có cách nào khắc phục được điều này.
Hãy sắp xếp theo thứ tự
- Thêm mọi công cụ mới gửi email vào SPF và DKIM ngay trong ngày thiết lập
- Hãy đọc các báo cáo DMARC hàng tháng, hoặc nhờ ai đó đọc giúp bạn
- Giữ các email tiếp thị và giao dịch trên các tên miền phụ riêng biệt
- Theo dõi tỷ lệ khiếu nại trong Google Postmaster Tools và các công cụ dành cho người gửi của Microsoft
- Kiểm tra xem ai có thể tạo quy tắc hộp thư đến và chuyển tiếp email, vì đây là những thứ đầu tiên mà kẻ tấn công sẽ thay đổi
Câu hỏi thường gặp
Những điều mọi người hay hỏi chúng tôi
Câu trả lời ngắn cho những điều mà nhà sáng lập và người phụ trách tài chính hỏi chúng tôi nhiều nhất.
Hỏi chúng tôi điều khácThông thường, có bốn nguyên nhân: một công cụ mới bắt đầu gửi email dưới tên miền của bạn mà không được thêm vào SPF, bản ghi SPF đã vượt quá giới hạn mười lần tra cứu, một hộp thư bị xâm phạm hoặc một nhà cung cấp đã tăng cường thực thi, như Google đã làm vào cuối năm 2025. Kiểm tra 20 phút ở trên sẽ giúp bạn xác định nguyên nhân.
Đúng vậy. Hiện nay, Google yêu cầu mọi người gửi thư đến các địa chỉ Gmail phải có bản ghi DMARC, còn Outlook.com thì yêu cầu điều này đối với những người gửi thư quy mô lớn. Bản ghi với giá trị p=none không thay đổi gì cả và không tốn chi phí, đồng thời đây là cách duy nhất để biết ai đang gửi thư dưới danh nghĩa của bạn.
Không phải ở mức p=none. Các vấn đề chỉ xuất hiện nếu bạn chuyển sang cách ly hoặc từ chối trước khi mọi dịch vụ hợp lệ đều được thông qua, đó là lý do tại sao chúng tôi đọc các báo cáo trong vài tuần đầu tiên.
Đúng vậy. Các bản ghi này nằm trong DNS của miền của bạn và áp dụng cho bất kỳ nền tảng và công cụ nào gửi email của bạn. Chỉ có vị trí bạn bật DKIM là khác nhau.
Bởi vì Microsoft 365 có trong SPF và DKIM của bạn, còn CRM thì không, hoặc CRM ký bằng tên miền riêng của nó thay vì tên miền của bạn. Mỗi công cụ đều có cài đặt DKIM để khắc phục vấn đề này.
Các bản ghi có thể được sửa chữa trong vòng một ngày đối với hầu hết các tên miền. Quá trình điều chỉnh DMARCđể từ chối email một cách an toàn mất vài tuần để phân tích báo cáo, và danh tiếng bị tổn hại sẽ phục hồi sau vài tuần gửi email hợp lệ.
SF3 Technologies hỗ trợ như thế nào
Chúng tôi sẽ xác định mọi dịch vụ gửi email dưới tên miền của bạn, khắc phục lỗi SPF, kích hoạt DKIM trên Microsoft 365 và Google Workspace cùng các công cụ khác, thiết lập chính sách DMARC và điều chỉnh để từ chối email không hợp lệ trong quá trình phân tích báo cáo, đảm bảo email của bạn được gửi đến đúng địa chỉ và không ai có thể gửi email dưới danh nghĩa của bạn. Các bản ghi này sẽ được lưu trữ trong hệ thống DNS và tài khoản của bạn, hoàn toàn nằm dưới sự kiểm soát của bạn.
Các yêu cầu đối với người gửi được Google và Microsoft công bố vào tháng 10 năm 2026 và có thể thay đổi theo thời gian. Vui lòng kiểm tra các hướng dẫn hiện hành dành cho người gửi của từng nhà cung cấp trước khi dựa vào ngưỡng quy định.