Bảo mật email & DNS

Nếu không có SPF và DMARC, bất kỳ ai cũng có thể gửi email lừa đảo có vẻ như đến từ miền của bạn. Nếu không có khóa đăng ký, tên miền của bạn có thể bị tấn công. Cả hai đều vô hình cho đến khi thiệt hại được thực hiện.

Ludwig Makhyan · Nhà sáng lập, WebsiteCoach

Chuyển đến phần

Tổng quan Hồ sơ giải thích Ai hành động trên đó

Tổng quan điều hành

Tên miền của bạn là tài sản thương hiệu. Nếu không có bản ghi bảo mật DNS thích hợp, kẻ tấn công có thể gửi email lừa đảo trông giống hệt như email đến từ công ty của bạn — nhắm mục tiêu vào khách hàng, đối tác hoặc nhân viên của bạn. Nếu không có khóa công ty đăng ký (mã EPP), kẻ tấn công có quyền truy cập vào tài khoản công ty đăng ký của bạn có thể chuyển hoàn toàn miền của bạn.

Tác động kinh doanh

Các cuộc tấn công giả mạo email sử dụng các miền không được bảo vệ là nguyên nhân hàng đầu gây ra gian lận xâm phạm email doanh nghiệp (BEC), mà FBI báo cáo đã khiến các doanh nghiệp thiệt hại 2,7 tỷ USD vào năm 2022. Một vụ cướp miền thành công có thể khiến trang web của bạn ngoại tuyến trong nhiều ngày và phá hủy thứ hạng trên công cụ tìm kiếm được xây dựng qua nhiều năm. Thực thi DMARC (p=reject) chặn lớp tấn công này ở cấp máy chủ thư.

Nguồn: Bản ghi DNS được truy xuất qua Cloudflare DNS qua HTTPS API.

Giải thích về bản ghi DNS

Tín hiệu DNS/email này ảnh hưởng đến khả năng gửi, bảo vệ chống giả mạo, độ tin cậy của miền hoặc vệ sinh kiểm soát chứng chỉ.

Bản ghi SPF - tồn tại, hợp lệ và nghiêm ngặt
DMARC — cấp chính sách (không có/cách ly/từ chối)
DMARC rua= địa chỉ báo cáo tổng hợp
DKIM — 18 bộ chọn phổ biến đã được thăm dò
Bản ghi MX - thư đến được định cấu hình
CAA - hạn chế của cơ quan cấp chứng chỉ
TLS-RPT — Báo cáo lỗi TLS
MTA-STS - thực thi TLS cho thư đến
BIMI — logo thương hiệu trong ứng dụng email
Nhà cung cấp dịch vụ lưu trữ và định vị máy chủ
Điểm khả năng giao hàng tổng hợp (0–100)

Kế hoạch hành động cụ thể theo vai trò

Điều hành / Pháp lýBảo vệ thương hiệu và tuân thủ

→Phê duyệt chính sách DMARC p=từ chối sau giai đoạn giám sát (thường là 30–60 ngày đối với p=none)
→Xác nhận tài khoản đăng ký tên miền đã bật 2FA và khóa EPP đang hoạt động
→Bao gồm việc tuân thủ xác thực email trong đánh giá bảo hiểm mạng

CNTT / DevOpscấu hình DNS

→Thêm bản ghi SPF TXT: v=spf1 include:your-mail-provider.com -all
→Thêm bản ghi DMARC TXT vào _dmarc.yourdomain.com với địa chỉ báo cáo rua=
→Kích hoạt cả 3 mã khóa EPP tại nhà đăng ký tên miền
→Định cấu hình DKIM trong dịch vụ gửi email của bạn và xuất bản khóa DNS

Kỹ sư bảo mậtGiám sát và thực thi

→Thiết lập phân tích cú pháp báo cáo tổng hợp DMARC (Valimail, Postmark DMARC, MXToolbox)
→Nâng cấp DMARC từ p=none → p=quarantine → p=reject khi báo cáo xác nhận sự liên kết
→Giám sát các nguồn gửi mới xuất hiện trong báo cáo DMARC - có thể chỉ ra các dịch vụ email hoặc CNTT ngầm

Câu hỏi thường gặp

Bảo mật email & DNS là gì?

Tại sao Bảo mật email & DNS lại quan trọng?

Tài liệu tham khảo chính thức

Chủ đề liên quan

Tiêu đề bảo mật HTTP Thông tin miền

Kiểm tra điểm Bảo mật DNS của bạn ngay bây giờ

Kiểm tra miễn phí trong 60 giây - không cần tài khoản.

Chạy kiểm toán miễn phí