Chuyên mục “Kiến thức thực chiến” — nơi tôi chia sẻ những thứ công nghệ mình tự tay làm khi xây thương hiệu và phễu bán hàng, kể lại bằng ngôn ngữ của người ngoại đạo để bạn — một người kinh doanh, không phải dân IT — cũng làm được.
Vì sao email của bạn vào Spam (dù nội dung không hề dở)?
Tôi vẫn nhớ cái buổi tối ngồi dựng phễu email cho thương hiệu cá nhân. Từng chữ tôi chăm chút, chuỗi thư nuôi khách xếp gọn gàng, lòng thầm nghĩ chỉ việc bấm nút là khách sẽ đọc. Rồi trên nền tảng gửi thư hiện lên một dải cảnh báo vàng: “Authenticate your domain to avoid bouncing or spam issues” (xác thực tên miền để tránh bị dội thư hoặc rơi vào spam). Ngay cột DKIM, nó ghi lạnh lùng: “No DKIM authentication” (chưa có xác thực DKIM). Tôi khựng lại. DNS, DKIM — mấy chữ này nghe như dành riêng cho dân IT, mà tôi thì làm tài chính.
Nhưng đây là sự thật tôi phát hiện, và muốn nói thẳng với bạn ngay: email rơi vào Spam thường không phải vì nội dung dở. Bạn viết hay đến mấy, mà tên miền gửi chưa được xác thực thì người gác cổng — Gmail, Yahoo của người nhận — không tin bạn là người gửi thật, và lẳng lặng ném thư vào hộp rác. Từ tháng 2/2024, Gmail và Yahoo còn bắt buộc điều này với người gửi số lượng lớn.
Hãy hình dung. Bạn bỏ cả tuần viết một chuỗi email nuôi khách, mà khách không hề thấy. Công sức phí sạch — không phải vì bạn viết kém, mà vì lá thư chưa qua nổi cửa.
Điều an ủi: tôi, một người ngoại đạo, cuối cùng vẫn tự tay làm được. Hóa ra chỉ là thêm ba bản ghi vào tên miền. Để hiểu vì sao, hãy bắt đầu từ hình ảnh một lá thư đi qua bưu điện.
Email là lá thư, Gmail là người gác cổng hỏi 3 câu
Có một sự thật ít người để ý: gửi email dễ giả mạo đến mức đáng sợ. Tôi ngồi soạn một cái thư, gõ vào dòng người gửi “From: sếp@congty.com” — thế là xong, chẳng ai hỏi mật khẩu của sếp tôi cả. Nó y như chuyện tôi cầm bút, viết tên người khác lên phong bì rồi thả vào thùng thư. Không ai chặn tay tôi ở khâu viết. Chính vì viết quá dễ, nên khâu nhận mới phải siết.
Hãy hình dung thế này. Email của bạn là lá thư đi qua bưu điện. Nhà cung cấp email của người nhận — Gmail, Outlook, Yahoo — là người gác cổng đứng trước hòm thư nhà người ta. Trước khi cho lá thư vào trong (Inbox — hộp thư đến), người gác cổng ấy hỏi đúng ba câu:
- Bưu tá này có được ủy quyền gửi thay tên miền đó không?
- Lá thư còn niêm phong thật, chưa bị ai bóc ra sửa dọc đường chứ?
- Nếu có gì đáng ngờ, tôi phải xử lý sao?
Trả lời trót lọt cả ba, thư của bạn được đặt ngay ngắn vào Inbox. Vướng một câu, người gác cổng chau mày, và lá thư bị hất sang thùng rác (Spam). Ba câu ấy chính là tấm “hộ chiếu sạch” cho mỗi email bạn gửi đi.
Vậy ba câu hỏi đó, gọi cho đúng tên kỹ thuật, là gì?
SPF, DKIM, DMARC là gì? (giải thích không dọa)
Tôi từng nghĩ chúng là ba con quái vật kỹ thuật, đọc tên thôi đã muốn gọi thợ. Hóa ra mỗi cái chỉ trả lời gọn một câu — và bạn hoàn toàn tự làm được.
SPF (Sender Policy Framework — Khung chính sách người gửi) là một danh sách bạn công bố, ghi rõ những máy chủ được phép gửi thư nhân danh tên miền của bạn. Nó trả lời: “Ai được phép gửi thay tôi?”. DKIM (DomainKeys Identified Mail — Thư định danh bằng khóa tên miền) là một chữ ký số niêm phong từng lá thư, trả lời: “Thư này có thật, còn nguyên vẹn, chưa bị ai bóc ra sửa dọc đường không?”. Đừng sợ chữ “khóa” — khóa công khai dán lên DNS là chuyện bình thường, nó vốn không phải thứ để giấu; cái bí mật nằm ở nền tảng gửi. Còn DMARC (Domain-based Message Authentication, Reporting & Conformance — Xác thực, báo cáo và tuân thủ thư theo tên miền) là chính sách, trả lời: “Nếu một thư trượt cả SPF lẫn DKIM thì xử sao, và ai đang mạo danh tôi — báo cáo về đâu?”.
| Lớp | Là gì | Trả lời câu hỏi nào |
|---|---|---|
| SPF | Danh sách máy chủ được phép gửi thay tên miền | Ai được phép gửi thay tôi? |
| DKIM | Chữ ký số niêm phong từng lá thư | Thư thật không, có bị sửa không? |
| DMARC | Chính sách khi thư đáng ngờ (p=none giám sát · p=quarantine cho vào spam · p=reject chặn hẳn) + báo cáo kẻ mạo danh | Trượt thì làm gì, báo về đâu? |
Bảng thì gọn, nhưng bạn chỉ cần thuộc đúng một câu:
SPF = ai được gửi, DKIM = thư thật không bị sửa, DMARC = làm gì khi nghi ngờ. Ba lớp bổ sung nhau — thiếu một là hở.
Khoảnh khắc “à ra thế”: chỉ là 3 bản ghi TXT — và vì sao bắt buộc từ 2/2024
Tôi thú thật, lúc thấy cột DKIM báo lỗi, phản xạ đầu tiên của tôi là đi tìm người. Chắc phải nhờ một bạn IT, chắc phải trả phí, chắc phải chờ. Tôi cứ đinh ninh sau cái cảnh báo màu vàng ấy là cả một mê cung máy chủ mà một người làm tài chính như tôi không có cửa chạm vào.
Hóa ra không. Cái gọi là “xác thực tên miền” nghe rợn người ấy, bóc ra chỉ là thêm 3 bản ghi TXT (bản ghi văn bản trên DNS) vào trang quản lý tên miền — mỗi lớp một dòng, đúng ba câu hỏi của người gác cổng: một dòng SPF, một dòng DKIM, một dòng DMARC. Tôi tự tay làm cho hai tên miền, dán từng bản ghi, kiểm cái đuôi khóa DKIM kết thúc bằng “IDAQAB” là biết đã đủ. Đó đúng là khoảnh khắc “à ra thế” — thứ mình sợ nhất hóa ra bé xíu.
Và đây là lý do đừng khất. Từ tháng 2/2024, Gmail và Yahoo bắt buộc người gửi email số lượng lớn phải có đủ cả ba: SPF, DKIM, DMARC. Thiếu một lớp là thư bị chặn hoặc quăng thẳng vào spam — hết “du di”. Dán xong, phần còn lại tự chạy: DNS lan truyền thường chỉ khoảng một phút với nhà cung cấp nhanh (có thể tới vài giờ), rồi GetResponse tự dò và đổi trạng thái sang “Authenticated” — không có nút xác nhận thủ công nào; giao diện ghi tối đa 48 giờ, còn tôi chỉ chờ vài giờ.
Làm một lần, xong. Nhưng tôi nói thật: ba bản ghi này mới gỡ được rào cản kỹ thuật ở cổng — điều kiện cần, chưa phải đủ để chắc chân vào Inbox. Còn vài yếu tố nữa quyết định lá thư được đón hay bị hắt, tôi nói thẳng ở cuối bài.
Cách thêm 3 bản ghi SPF, DKIM, DMARC vào DNS (nguyên tắc chung)
Tôi kể bạn nghe cách tôi đã làm, gọn thôi, để bạn tin rằng mình cũng làm được. Nguyên tắc vỏn vẹn một dòng: lấy bản ghi từ nền tảng gửi email, dán vào trang quản DNS (Domain Name System — hệ thống phân giải tên miền, nơi “khai báo” cho cả thế giới biết về tên miền của bạn) của nhà cung cấp tên miền. Không code, không server. Thêm ba bản ghi TXT, thế thôi.
Cụ thể, chuỗi DKIM (chữ ký số) tôi lấy ngay trong GetResponse: vào Emails and domains → Authenticate, bấm nút Copy. Rồi mở trang quản DNS, vào DNS Records → Add a new record, dán vào. Xong DKIM thì thêm nốt SPF (danh sách máy chủ được phép gửi thay bạn) và DMARC (chính sách xử lý khi nghi ngờ).
Vài mẹo tôi rút ra sau khi tự tay làm cho 2 tên miền:
- Đừng bao giờ gõ tay chuỗi DKIM. Nó dài như một lá thư niêm phong — sai một ký tự là hỏng cả con dấu. Luôn Copy, rồi soi cái đuôi: kết thúc bằng IDAQAB là biết đã dán đủ.
- DMARC lần đầu cứ để
p=none— chỉ giám sát, không chặn. An toàn tuyệt đối, không sợ chặn nhầm email thật của chính mình. - Kiểm bằng lệnh tra DNS thật (hỏi thẳng Google DNS 8.8.8.8) mới chắc, vì giao diện nền tảng đôi khi hiển thị sai.
Một điều phải nói thẳng: địa chỉ @gmail.com miễn phí thì bạn không xác thực được — DNS đó là của Google, đâu phải của bạn. Muốn làm email marketing tử tế, phải gửi từ tên miền riêng.
Ba bản ghi, làm một lần, xong đời. Nhưng ráp chúng thành cả một phễu email chạy trơn tru lại là câu chuyện khác — chỗ đó tôi học bài bản từ gốc.
Sự thật tôi phải nói thẳng, mini-FAQ và bước tiếp theo
Tôi không hứa với bạn điều mà chính tôi cũng không dám tin: xác thực xong ba lớp không có nghĩa là 100% email vào Inbox (hộp thư đến). Ba bản ghi TXT chỉ gỡ được cái rào cản kỹ thuật — chúng cho người gác cổng thấy bưu tá của bạn có giấy ủy quyền, lá thư có niêm phong thật, chưa ai bóc ra sửa. Nhưng để được mời hẳn vào phòng khách, bạn còn cần thêm: uy tín tên miền, nội dung không spammy, nút hủy đăng ký rõ ràng, và quan trọng nhất — chỉ gửi cho người thật đã đồng ý nhận. Điều kiện cần, chưa phải điều kiện đủ. Tôi nói thẳng để sau này bạn khỏi trách “làm đủ rồi mà thư vẫn nằm trong rác”.
Ba câu tôi hay bị hỏi nhất:
SPF, DKIM, DMARC là gì? — SPF: ai được gửi. DKIM: thư thật, không bị sửa. DMARC: nghi ngờ thì xử lý sao. Thiếu một lớp là hở một khe.
Xác thực xong có chắc vào Inbox? — Không chắc 100%. Nó gỡ rào kỹ thuật; phần còn lại nằm ở uy tín và cách bạn gửi.
Địa chỉ @gmail.com xác thực được không? — Không, vì bạn đâu sở hữu DNS của Google. Muốn làm email marketing tử tế, phải gửi từ tên miền riêng.
Thêm bản ghi xong bao lâu thì chạy? — DNS thường lan truyền trong khoảng một phút tới vài giờ; GetResponse tự dò và tự đổi sang “Authenticated”, không cần bạn bấm xác nhận.
Hôm nay bạn làm được ngay: mở phần quản DNS, thêm ba bản ghi, xong. Còn nếu bạn muốn dựng cả hệ thống — phễu bán hàng, email marketing, bộ não thứ hai — thì tôi học từ gốc trong khóa IPS của thầy Phạm Thành Long (tìm hiểu khóa IPS tại đây). Cứ theo dõi tôi, tôi chia sẻ đều những gì mình tự tay làm.
Người viết: Nguyễn Thị Việt Hà — chuyên gia tài chính–kế toán gần 20 năm, Cử nhân Giỏi Đại học Luật Hà Nội, Thạc sĩ Quản lý Kinh tế, sở hữu Chứng chỉ hành nghề về Thuế của Bộ Tài chính, Trưởng ban Định hướng Thành viên BNI THANGLONG Chapter. Tôi viết bài này từ trải nghiệm tự tay làm — không phải dân IT chuyên nghiệp, nên tôi hiểu đúng nỗi lúng túng của người mới bắt đầu. Tâm – Trí – Tín: tử tế, hiểu biết, đáng tin.