Email vào Spam? 5 bước cấu hình SPF, DKIM, DMARC chuẩn 2026

Bạn gửi báo giá cho khách, chờ mãi không thấy phản hồi. Gọi điện hỏi lại thì khách bảo: “Email của anh/chị nằm trong thư mục Spam”. Đây là tình huống rất nhiều doanh nghiệp Việt Nam gặp phải, và nó gây thiệt hại thật: mất đơn hàng, chậm hợp đồng, khách hàng mất niềm tin vào thương hiệu.

Tình trạng email vào Spam không phải do “xui” hay do nội dung có chữ “khuyến mãi”. Từ năm 2024, Gmail, Yahoo và sau đó là Outlook.com đều siết chặt quy định: email gửi đi phải được xác thực bằng SPF, DKIM và DMARC. Tên miền nào chưa cấu hình đúng sẽ dễ bị đưa vào Spam, thậm chí bị từ chối hẳn.

Bài viết này tổng hợp từ tài liệu chính thức của Google (Gmail Email sender guidelines), Microsoft (Outlook Postmaster) và các tiêu chuẩn kỹ thuật RFC. HATENA sẽ giải thích dễ hiểu nguyên nhân khiến email doanh nghiệp vào Spam, kèm hướng dẫn cấu hình SPF, DKIM, DMARC từng bước mà bạn có thể tự kiểm tra ngay hôm nay.

1. Vì sao email vào Spam? 7 nguyên nhân phổ biến nhất

Bộ lọc thư rác của Gmail hay Outlook không dựa vào một yếu tố duy nhất. Chúng chấm điểm dựa trên danh tính người gửi, uy tín tên miền và IP, phản hồi của người nhận và cả định dạng thư. Dưới đây là các nguyên nhân HATENA gặp nhiều nhất khi hỗ trợ khách hàng doanh nghiệp:

1.1. Tên miền chưa cấu hình SPF, DKIM, DMARC

Đây là nguyên nhân số một. Theo hướng dẫn của Gmail, từ ngày 1/2/2024, mọi người gửi email đến tài khoản Gmail cá nhân bắt buộc phải có SPF hoặc DKIM. Email không được xác thực có thể bị đánh dấu Spam hoặc bị từ chối với mã lỗi 5.7.26.

Nhiều doanh nghiệp mua tên miền, tạo email trên hosting nhưng chưa bao giờ kiểm tra các bản ghi DNS này. Email vẫn “gửi được”, nhưng tình trạng email vào Spam xảy ra thường xuyên vì bên nhận không xác minh được người gửi.

1.2. Form liên hệ trên website gửi mail bằng hàm PHP mặc định

Website WordPress mặc định gửi thông báo đơn hàng, form liên hệ bằng hàm mail() của máy chủ hosting. Thư được gửi từ IP của hosting nhưng lại ghi người gửi là info@tenmiencuaban.vn. Khi IP đó không nằm trong SPF và thư không có chữ ký DKIM, Gmail coi đây là thư giả mạo.

1.3. Có hai bản ghi SPF hoặc SPF vượt quá 10 lượt tra cứu DNS

Theo tiêu chuẩn RFC 7208, mỗi tên miền chỉ được có một bản ghi SPF. Khi đổi nhà cung cấp email, nhiều người thêm bản ghi mới mà quên xóa bản cũ. Kết quả là SPF bị lỗi PermError và mất tác dụng hoàn toàn.

Ngoài ra, SPF giới hạn tối đa 10 lượt tra cứu DNS (gồm các cơ chế include, a, mx, exists, redirect). Doanh nghiệp dùng cùng lúc Google Workspace, phần mềm CRM, công cụ email marketing, phần mềm hóa đơn… rất dễ vượt giới hạn này.

1.4. Gửi chung IP với “hàng xóm” xấu

Hosting giá rẻ thường dùng chung một IP cho hàng trăm website. Google cho biết hoạt động của mọi người gửi trên IP dùng chung đều ảnh hưởng đến uy tín của IP đó. Chỉ cần một website bị hack và phát tán thư rác, cả IP có thể bị đưa vào danh sách đen (blacklist). Khi đó, dù bạn cấu hình đúng mọi thứ, email vào Spam vẫn có thể xảy ra.

1.5. Tỷ lệ bị báo cáo Spam cao

Gmail yêu cầu giữ tỷ lệ bị báo cáo Spam trong Postmaster Tools dưới 0,3% và khuyến nghị lý tưởng là dưới 0,1%. Gửi email quảng cáo cho danh sách mua sẵn, hoặc gửi cho người chưa từng đăng ký, là cách nhanh nhất để vượt ngưỡng này, khiến cả những email quan trọng như báo giá, hóa đơn cũng bị vào Spam.

1.6. Thiếu bản ghi PTR (reverse DNS) hoặc không dùng TLS

Gmail yêu cầu IP gửi thư phải có bản ghi PTR hợp lệ: IP phân giải ngược ra một tên máy chủ, và tên máy chủ đó phân giải xuôi lại đúng IP. Kết nối gửi thư cũng phải dùng TLS. Các máy chủ mail tự dựng (VPS tự cài Postfix, Exim) hay thiếu hai điều này.

1.7. Nội dung và tên hiển thị gây hiểu lầm

Gmail khuyến cáo không dùng tiêu đề bắt đầu bằng “Re:” hoặc “Fwd:” khi thư không phải là thư trả lời, không chèn nội dung khuyến mãi vào tên người gửi, không dùng HTML/CSS để ẩn nội dung. Email chỉ có một ảnh lớn, ít chữ, chứa nhiều đường link rút gọn cũng dễ bị nghi ngờ.

2. Quy định mới của Gmail và Outlook về xác thực email

Để hiểu vì sao email vào Spam ngày càng nhiều, bạn cần nắm các quy định mà những nhà cung cấp hộp thư lớn nhất đang áp dụng. Bảng dưới tóm tắt từ tài liệu chính thức:

Với Outlook.com, Hotmail và Live.com, Microsoft ban đầu thông báo sẽ đưa thư không đạt chuẩn vào thư mục Junk. Sau đó, Microsoft cập nhật: thư số lượng lớn không đạt chuẩn sẽ bị từ chối với mã lỗi 550 5.7.515.

Lưu ý: Ngưỡng 5.000 thư/ngày nghe có vẻ chỉ dành cho doanh nghiệp lớn. Tuy vậy, Google khuyến nghị mọi tên miền nên cấu hình đủ cả SPF, DKIM và DMARC. Doanh nghiệp nhỏ cũng nên làm đủ ba bản ghi để tránh email vào Spam và chống kẻ gian giả mạo tên miền.

3. SPF, DKIM, DMARC là gì? Giải thích dễ hiểu

Hãy hình dung email như một bức thư chuyển phát. Để bưu điện tin rằng thư thật sự do công ty bạn gửi, cần ba lớp xác minh:

• SPF (Sender Policy Framework): Danh sách các “bưu cục” (máy chủ, IP) được phép gửi thư thay mặt tên miền của bạn. Thư đến từ máy chủ không có trong danh sách sẽ bị nghi ngờ.
• DKIM (DomainKeys Identified Mail): Con dấu niêm phong điện tử. Máy chủ gửi ký thư bằng khóa bí mật, máy chủ nhận dùng khóa công khai trong DNS để kiểm tra. Nếu thư bị sửa trên đường đi, con dấu sẽ không khớp.
• DMARC (Domain-based Message Authentication, Reporting and Conformance): Chính sách bạn công bố để báo cho bên nhận biết phải làm gì với thư không vượt qua SPF/DKIM: cho qua (none), đưa vào Spam (quarantine) hay từ chối (reject). DMARC còn gửi báo cáo để bạn biết ai đang gửi thư dưới tên miền của mình.

Theo Google, để vượt qua DMARC, thư phải được xác thực bởi SPF hoặc DKIM, và tên miền xác thực phải trùng với tên miền ở dòng From. Đây là điểm nhiều người cấu hình thiếu: SPF “pass” nhưng là SPF của tên miền nhà cung cấp, không phải tên miền doanh nghiệp, nên DMARC vẫn “fail”.

4. Hướng dẫn cấu hình SPF, DKIM, DMARC từng bước để email không vào Spam

Bạn thực hiện các bước dưới đây trong trang quản lý DNS của nơi bạn mua tên miền hoặc nơi đang trỏ nameserver (ví dụ: Cloudflare, trang quản trị tên miền của nhà đăng ký, cPanel/DirectAdmin của hosting).

Bước 1: Liệt kê tất cả các dịch vụ đang gửi email bằng tên miền của bạn

Trước khi tạo bản ghi, hãy liệt kê đầy đủ:

• Hộp thư chính: Google Workspace, Microsoft 365, email trên hosting…
• Website: form liên hệ, thông báo đơn hàng WooCommerce.
• Công cụ email marketing: Mailchimp, Brevo, Getresponse…
• Phần mềm CRM, phần mềm kế toán, hóa đơn điện tử gửi thư bằng tên miền công ty.

Google lưu ý: nếu dịch vụ bên thứ ba không có trong SPF, thư từ dịch vụ đó sẽ dễ bị đánh dấu Spam hơn.

Bước 2: Tạo (hoặc gộp) bản ghi SPF

Tạo một bản ghi TXT tại tên miền gốc (Host/Name để trống hoặc @). Một số ví dụ thực tế:

• Chỉ dùng Google Workspace: v=spf1 include:_spf.google.com ~all
• Chỉ dùng Microsoft 365: v=spf1 include:spf.protection.outlook.com -all
• Google Workspace + máy chủ hosting gửi form website (IP ví dụ 203.0.113.10): v=spf1 ip4:203.0.113.10 include:_spf.google.com ~all

Quy tắc quan trọng:

• Chỉ có một bản ghi bắt đầu bằng v=spf1. Nếu có nhiều dịch vụ, gộp tất cả vào một dòng.
• ~all (softfail) an toàn khi mới triển khai. -all (fail) chặt chẽ hơn, chỉ nên dùng khi chắc chắn đã liệt kê đủ nguồn gửi.
• Không vượt quá 10 lượt tra cứu DNS. Ưu tiên dùng ip4/ip6 cho máy chủ cố định vì chúng không tính lượt tra cứu.

Bước 3: Bật DKIM cho tên miền

Khóa DKIM do nhà cung cấp email tạo ra, bạn chỉ cần sao chép vào DNS:

• Google Workspace: Vào Admin console → Apps → Google Workspace → Gmail → Authenticate email. Chọn tên miền, tạo bản ghi mới (chọn độ dài khóa 2048-bit nếu nhà cung cấp DNS hỗ trợ). Thêm bản ghi TXT có tên google._domainkey, sau đó quay lại bấm Start authentication.
• Microsoft 365: Thêm hai bản ghi CNAME selector1._domainkey và selector2._domainkey theo giá trị trong Microsoft Defender portal, sau đó bật ký DKIM cho tên miền.
• Email trên hosting (cPanel, DirectAdmin): Thường có mục Email Deliverability hoặc DKIM. Bật tính năng và sao chép bản ghi nếu DNS không quản lý tại hosting.

Google lưu ý: gửi đến Gmail cá nhân yêu cầu khóa DKIM tối thiểu 1024-bit và khuyến nghị dùng 2048-bit để an toàn hơn.

Bước 4: Tạo bản ghi DMARC và tăng dần mức chính sách

Tạo bản ghi TXT với tên _dmarc. Giai đoạn đầu, dùng chế độ chỉ giám sát:

v=DMARC1; p=none; rua=mailto:dmarc-report@tenmiencuaban.vn

Trong 2-4 tuần đầu, hãy đọc báo cáo gửi về địa chỉ rua để phát hiện nguồn gửi hợp lệ nhưng chưa được xác thực (thường là phần mềm hóa đơn, CRM). Khi mọi nguồn hợp lệ đã pass, nâng dần chính sách:

1. p=quarantine; pct=25: Đưa 25% thư không đạt vào Spam.
2. p=quarantine; pct=100: Áp dụng cho toàn bộ thư không đạt.
3. p=reject: Từ chối hẳn thư giả mạo tên miền của bạn.

Không nên đặt p=reject ngay từ đầu, vì nếu bạn quên một nguồn gửi hợp lệ, chính email của doanh nghiệp sẽ bị chặn.

Bước 5: Cấu hình website gửi mail qua SMTP có xác thực

Với website WordPress, thay vì dùng hàm mail() mặc định, hãy cài plugin SMTP (ví dụ WP Mail SMTP) và kết nối tới chính hộp thư doanh nghiệp hoặc dịch vụ gửi thư chuyên dụng. Khi đó thư từ form liên hệ, đơn hàng sẽ được ký DKIM và gửi từ máy chủ đã có trong SPF.

Đây là bước hay bị bỏ quên nhất, khiến khách điền form nhưng doanh nghiệp không nhận được thông báo, hoặc email xác nhận đơn hàng của khách vào Spam.

5. Cách kiểm tra email đã được xác thực đúng chưa

Sau khi thêm bản ghi DNS, chờ từ vài phút đến vài giờ để DNS cập nhật, rồi kiểm tra theo các cách sau để chắc chắn tình trạng email vào Spam đã được khắc phục:

5.1. Xem “Hiển thị bản gốc” trong Gmail

Gửi một email từ hộp thư doanh nghiệp đến một tài khoản Gmail. Mở thư, bấm dấu ba chấm → Hiển thị bản gốc (Show original). Gmail sẽ hiển thị kết quả SPF, DKIM, DMARC. Cả ba đều cần ở trạng thái PASS.

5.2. Dùng Google Admin Toolbox

Công cụ Check MX và Dig trong Google Admin Toolbox giúp kiểm tra bản ghi MX, SPF, DKIM, DMARC và bản ghi PTR của tên miền. Đây là công cụ Google trực tiếp giới thiệu trong hướng dẫn dành cho người gửi email.

5.3. Theo dõi Google Postmaster Tools

Nếu doanh nghiệp gửi nhiều email (bản tin, thông báo đơn hàng), hãy đăng ký Postmaster Tools. Công cụ này cho biết tỷ lệ bị báo Spam, uy tín tên miền/IP và tỷ lệ thư được xác thực khi gửi đến Gmail. Lưu ý: Google không theo dõi tỷ lệ mở thư, nên tỷ lệ mở thấp chưa chắc là dấu hiệu bị vào Spam.

5.4. Kiểm tra IP và tên miền có nằm trong danh sách đen không

Google khuyến nghị kiểm tra định kỳ trạng thái tên miền trên Google Safe Browsing. Bạn cũng nên tra IP máy chủ gửi thư trên các công cụ kiểm tra blacklist phổ biến. Nếu IP hosting dùng chung bị liệt vào danh sách đen, hãy liên hệ nhà cung cấp để đổi IP hoặc chuyển sang dịch vụ email chuyên dụng.

6. Thói quen gửi thư giúp email doanh nghiệp không vào Spam lâu dài

Cấu hình kỹ thuật chỉ là điều kiện cần. Để uy tín tên miền tăng dần theo thời gian, hãy áp dụng các nguyên tắc sau (tổng hợp từ hướng dẫn của Gmail):

• Chỉ gửi cho người đã đồng ý nhận: Không mua danh sách email. Tại Việt Nam, Nghị định 91/2020/NĐ-CP về chống tin nhắn rác, thư điện tử rác cũng yêu cầu chỉ gửi thư quảng cáo khi người nhận đã đồng ý trước.
• Tách địa chỉ gửi theo loại thư: Ví dụ hoadon@ cho hóa đơn, tintuc@ cho bản tin. Không chèn quảng cáo vào email hóa đơn, xác nhận đơn hàng.
• Tăng số lượng gửi từ từ: Tên miền mới không nên gửi hàng nghìn thư ngay ngày đầu. Bắt đầu với nhóm khách hàng tương tác tốt, tăng dần mỗi tuần.
• Cho phép hủy đăng ký dễ dàng: Có link hủy đăng ký rõ ràng trong thân thư. Người nhận không tìm được nút hủy sẽ bấm “Báo cáo spam”.
• Dọn danh sách định kỳ: Loại bỏ địa chỉ bị trả về (bounce) nhiều lần và người lâu không tương tác.
• Tên hiển thị rõ ràng: Dùng tên công ty hoặc tên nhân viên, không dùng kiểu “KHUYẾN MÃI SỐC” hay chèn emoji giả biểu tượng xác minh.
• Không dùng Gmail cá nhân để gửi thư số lượng lớn với tên hiển thị của doanh nghiệp. Google xếp đây vào hành vi giả mạo tên hiển thị.

7. Khi nào nên dùng dịch vụ email doanh nghiệp chuyên nghiệp?

Email doanh nghiệp miễn phí đi kèm hosting phù hợp với nhu cầu rất cơ bản. Doanh nghiệp nên cân nhắc nâng cấp khi gặp một trong các dấu hiệu sau:

• Tình trạng email vào Spam vẫn lặp lại với báo giá, hợp đồng dù đã cấu hình DNS.
• IP hosting dùng chung bị đưa vào danh sách đen nhiều lần.
• Hộp thư đầy, giới hạn dung lượng thấp, không có ứng dụng di động ổn định.
• Cần quản lý tập trung: tạo/khóa tài khoản khi nhân viên nghỉ việc, chuyển giao dữ liệu.
• Cần bảo mật cao hơn: xác thực hai lớp (2FA), chống lừa đảo, lưu trữ thư theo quy định.

Nếu bạn chưa chắc tên miền của mình đã cấu hình đúng, đội kỹ thuật HATENA có thể kiểm tra miễn phí SPF, DKIM, DMARC và đề xuất phương án phù hợp. Tham khảo dịch vụ Email doanh nghiệp của chúng tôi, hoặc xem thêm dịch vụ tên miền và Web Hosting nếu bạn đang chuẩn bị chuyển đổi hạ tầng.

8. Câu hỏi thường gặp về email vào Spam

Đã cấu hình SPF, DKIM, DMARC nhưng email vẫn vào Spam thì sao?

Xác thực giúp chứng minh “thư thật do bạn gửi”, nhưng không đảm bảo thư được vào hộp chính. Hãy kiểm tra tiếp: uy tín IP (blacklist), tỷ lệ báo cáo Spam trong Postmaster Tools, nội dung thư và danh sách người nhận. Tên miền mới đăng ký cũng cần thời gian để xây dựng uy tín.

Email doanh nghiệp nhỏ, gửi ít thư có cần DMARC không?

Gmail chỉ bắt buộc DMARC với người gửi trên 5.000 thư/ngày, nhưng Google khuyến nghị mọi tên miền đều nên có. DMARC còn giúp ngăn kẻ gian giả mạo email công ty bạn để lừa khách hàng, đối tác chuyển tiền. Chi phí cấu hình gần như bằng không.

Có thể dùng hai bản ghi SPF cho hai nhà cung cấp không?

Không. Hai bản ghi SPF làm SPF bị lỗi hoàn toàn. Bạn phải gộp các include vào một bản ghi duy nhất.

Sau khi thêm bản ghi DNS bao lâu thì có hiệu lực?

Thường từ vài phút đến vài giờ, tùy giá trị TTL. Trong một số trường hợp có thể mất đến 48 giờ để thay đổi cập nhật trên toàn bộ hệ thống DNS.

Email vào Spam có ảnh hưởng đến SEO website không?

Không ảnh hưởng trực tiếp đến thứ hạng Google. Tuy nhiên, nếu website bị hack và bị lợi dụng để phát tán thư rác, tên miền có thể bị đưa vào danh sách cảnh báo. Khi đó cả email lẫn website đều bị ảnh hưởng. Đây là lý do nên kết hợp chăm sóc, bảo mật website định kỳ.

Kết luận

Tình trạng email vào Spam phần lớn đến từ việc tên miền chưa được xác thực đúng. Chỉ với ba bản ghi DNS là SPF, DKIM, DMARC, cộng với việc cấu hình SMTP cho website và thói quen gửi thư đúng chuẩn, doanh nghiệp có thể cải thiện rõ rệt tỷ lệ email đến hộp thư chính của khách hàng.

Hãy dành 10 phút gửi thử một email doanh nghiệp đến Gmail và xem “Hiển thị bản gốc” ngay hôm nay. Nếu thấy chữ FAIL hoặc thiếu DKIM, DMARC, hãy liên hệ HATENA để được hỗ trợ kiểm tra và cấu hình.

Tài liệu tham khảo

• Google: Email sender guidelines (Hướng dẫn dành cho người gửi email đến Gmail)
• Google Workspace: Thiết lập DKIM
• Google Workspace: Thiết lập DMARC
• Microsoft Outlook Postmaster: Yêu cầu đối với người gửi số lượng lớn
• RFC 7208: Sender Policy Framework (SPF)

Liên hệ HATENA để được tư vấn khắc phục email vào Spam và cấu hình email doanh nghiệp

CÔNG TY TNHH CÔNG NGHỆ PHẦN MỀM HATENA

📞 Hotline: 0934 217 611

📧 Email: hatenasolution@gmail.com

📍 Địa chỉ: Tầng 15, Khối A Tòa nhà Sông Đà, đường Phạm Hùng, Phường Từ Liêm, Thành phố Hà Nội, Việt Nam

HATENA – Đồng hành cùng doanh nghiệp trên hành trình xây dựng và phát triển hệ thống công nghệ số.