SPF là gì?

SPF (Sender Policy Framework) là phương thức xác thực email dựa vào tên miền, SPF cho phép chủ sở hữu tên miền chỉ định rõ máy chủ/email server nào được phép gửi email dưới tên miền đó. SPF hoạt động dựa trên bản ghi TXT (Text Record) được công bố trong DNS (Domain Name System). Khi một email được gửi ra ngoài, hệ thống nhận sẽ kiểm tra địa chỉ IP của máy gửi xem có được phép gửi email theo email SPF record hay không.

SPF hoạt động như thế nào?

SPF là một cơ chế xác thực email giúp máy chủ nhận biết liệu một email có thực sự được gửi từ máy chủ được phép hay không. Khi một email được gửi đi, hệ thống email của người nhận sẽ dựa vào email SPF record được cấu hình trong DNS domain của người gửi để kiểm tra xem email đó có hợp lệ không.

Để dễ hình dung, có thể xem SPF giống như một “danh sách trắng” khai báo: “Đây là danh sách các máy chủ được phép gửi email thay mặt domain của tôi. Máy chủ nào không nằm trong danh sách này thì không phải mail thật.”

Quy trình hoạt động của SPF email diễn ra như sau:

Email được gửi đi

Khi gửi một email từ domain của doanh nghiệp, hệ thống sẽ đóng gói email và đính kèm thông tin máy chủ gửi (IP hoặc dịch vụ gửi email).

Máy chủ nhận kiểm tra DNS của domain gửi

Ngay khi email đến máy chủ nhận, hệ thống sẽ tự động truy vấn DNS của domain để tìm bản ghi SPF tương ứng. Bản ghi này nằm ở dạng TXT và thường có cấu trúc như: v=spf1 include:_spf.google.com ~all

Đối chiếu thông tin người gửi với SPF record

Máy chủ nhận sẽ so sánh IP hoặc dịch vụ gửi email với danh sách được phép trong record SPF.

Nếu IP trùng khớp: email được xem là hợp lệ và có khả năng được chuyển vào inbox.

Nếu IP không nằm trong SPF email record: email có thể bị đánh dấu spam, cảnh báo spoofing hoặc bị từ chối.

Máy chủ nhận đánh giá mức độ tin cậy

Tùy vào chính sách SPF (ví dụ: -all, ~all, ?all), email sẽ được xử lý theo mức độ nghiêm ngặt khác nhau.

-all: từ chối hoàn toàn nếu máy chủ không hợp lệ

~all: cảnh báo mềm, có thể vào spam

?all: kiểm tra thông tin nhưng không chặn

Tại sao doanh nghiệp cần triển khai SPF? 

Bảo vệ thương hiệu và ngăn chặn giả mạo (spoofing – mạo danh email)

Những kẻ tấn công thường mạo danh domain của doanh nghiệp để gửi email lừa đảo chuyển khoản, đánh cắp dữ liệu hoặc phát tán mã độc. Khi doanh nghiệp cấu hình SPF đúng cách, máy chủ nhận có thể xác minh được email có thực sự được gửi từ hệ thống được ủy quyền hay không. Điều này giúp giảm đáng kể nguy cơ giả mạo và bảo vệ danh tiếng thương hiệu trước các chiêu thức tấn công như phishing (lừa đảo qua email) và BEC (Business Email Compromise – tấn công chiếm quyền giao dịch email).

Cải t