Một buổi sáng, phụ huynh gọi hỏi vì sao không nhận được thư xác nhận

Sáng nào đội ngũ bên mình cũng nhận vài cuộc gọi từ phụ huynh. Gần đây có một chị gọi lên hỏi: con đã nộp hồ sơ xong rồi, vậy mà sao không thấy thư xác nhận nhập học đâu. Chúng tôi nhờ chị mở hộp thư kiểm tra lại, và đúng như dự đoán, lá thư đang nằm lặng lẽ trong thư mục Spam.

Nghe qua thì chuyện nhỏ, nhưng hậu quả thì không nhỏ chút nào. Thư xác nhận, lịch thi hay thông báo học phí mà không tới tay người nhận thì nhà trường buộc phải gọi lại từng người một. Phụ huynh lo lắng, sinh viên có thể lỡ hạn nộp hồ sơ. Lặp lại vài lần như vậy, niềm tin vào các thông báo của trường cũng bị bào mòn dần.

Tin tốt là phần lớn lỗi này hoàn toàn xử lý được. Bạn không cần là dân kỹ thuật chuyên nghiệp. Chỉ cần hiểu đúng cơ chế đứng phía sau mỗi lá thư là đã đi được nửa đường.

Email đi từ máy chủ đến hộp thư người nhận như thế nào

Hãy hình dung một lá thư giấy. Trên phong bì có tên người gửi, có dấu bưu cục, và có cả niêm phong để biết thư chưa bị mở giữa đường. Email vận hành theo đúng logic ấy, chỉ khác là mọi thứ diễn ra trên mạng.

Khi thư đến Gmail hay Outlook, hệ thống của họ sẽ tự đặt một câu hỏi: người gửi này có thật sự là người họ nói không? Nó đối chiếu địa chỉ máy chủ gửi, chữ ký số và những chính sách mà tên miền đã khai báo sẵn từ trước. Nếu các kiểm tra này không khớp, thư rất dễ bị đẩy sang Spam dù nội dung hoàn toàn hợp lệ.

Nói cách khác, người nhận không đọc nội dung trước tiên. Họ kiểm tra danh tính trước, rồi mới quyết định có cho thư vào hộp thư đến hay không.

SPF: danh sách máy chủ được phép gửi thay cho tên miền

SPF thực chất là một danh sách. Tên miền của trường khai báo sẵn những máy chủ nào được quyền gửi thư nhân danh mình. Khi thư đến, hộp thư so địa chỉ máy chủ gửi với danh sách đó. Nếu khớp thì tiếp tục xét các bước sau, còn không khớp thì hệ thống sẽ nghi ngờ đây là mạo danh.

Lấy một ví dụ cụ thể: website của trường gửi thông báo thông qua một dịch vụ bên ngoài. Dịch vụ đó bắt buộc phải có tên trong danh sách SPF. Thiếu đúng một dòng, thư vẫn đúng nội dung nhưng vẫn bị coi là đáng ngờ.

Lỗi chúng tôi gặp nhiều nhất là đổi nhà cung cấp gửi thư rồi quên cập nhật SPF. Gỡ dịch vụ cũ khỏi danh sách thì thường ít ai quên, nhưng thêm dịch vụ mới vào thì hay bị bỏ sót. Kết quả là thư từ hệ thống mới bị nghi ngờ ngay từ ngày đầu tiên chạy.

DKIM: chữ ký số chứng minh thư không bị sửa giữa đường

Nếu SPF trả lời câu hỏi “ai được gửi”, thì DKIM trả lời câu hỏi “thư có bị sửa đổi không”. Mỗi thư được ký bằng một khóa riêng, giữ bí mật trên máy chủ gửi. Khóa công khai tương ứng được đăng lên DNS của tên miền.

Người nhận lấy khóa công khai ra kiểm tra chữ ký. Nếu khớp thì nội dung vẫn nguyên vẹn từ lúc gửi. Nếu không khớp, nghĩa là thư đã bị chỉnh sửa trên đường đi, hoặc chữ ký đó là giả.

Bạn nên bật DKIM ngay từ đầu, đừng để dành “tính sau”. Thư gửi trong lúc chưa có DKIM thường bị ghi nhận là thiếu uy tín, và điểm trừ đó không tự biến mất theo thời gian.

Cần cẩn thận khi dán khóa vào đúng bản ghi DNS. Chỉ sai một ký tự khi sao chép là chữ ký sẽ không kiểm tra được, và DKIM coi như vô hiệu. Sau khi thêm xong, hãy gửi một thư thử và mở phần tiêu đề thư để xem dòng xác thực DKIM đã đạt hay chưa.

DMARC: quy tắc dặn hộp thư phải làm gì khi kiểm tra thất bại

DMARC là lớp đứng trên cùng, tổng hợp kết quả của SPF và DKIM. Nó trả lời một câu hỏi rất thực tế: nếu cả hai kiểm tra đều không qua, hộp thư nên xử lý thư đó thế nào?

Có ba mức chính sách. Mức theo dõi chỉ ghi nhận và gửi báo cáo về cho bạn, không tác động gì đến thư. Mức cách ly sẽ đẩy thư nghi ngờ vào Spam. Mức từ chối thì loại thư hẳn khỏi hộp thư người nhận.

Đội ngũ thường khuyên bắt đầu ở mức theo dõi. Trong vài tuần, báo cáo DMARC sẽ cho bạn thấy ai đang gửi thư nhân danh tên miền, kể cả những dịch vụ đã bị bạn quên từ lâu. Khi mọi nguồn hợp lệ đã qua kiểm tra, lúc đó bạn mới nên siết dần chính sách.

Báo cáo DMARC lúc đầu trông khá rối mắt, nhưng không quá khó đọc. Chỉ cần nhìn vào cột nguồn gửi và tỉ lệ đạt, bạn sẽ biết ngay dịch vụ nào cần chỉnh lại cấu hình.

So sánh các cách gửi thư thông báo cho website trường học

Có vài cách gửi thư, và mỗi cách đều có một đánh đổi riêng. Gửi trực tiếp từ hộp thư cá nhân nghe thì nhanh gọn, nhưng khó kiểm soát và rất dễ bị chặn khi số lượng thư tăng lên.

Dùng máy chủ chung của gói hosting rẻ tiền hơn nhiều. Tuy vậy, uy tín gửi thư của máy chủ dùng chung thường thấp, vì nhiều website cùng chia sẻ một dải địa chỉ. Chỉ cần một website hàng xóm gửi spam, cả dải có thể bị đánh giá kém theo.

Dùng dịch vụ API chuyên gửi thư giao dịch là lựa chọn phổ biến hơn cho trường học. Phần thiết lập SPF và DKIM thường có hướng dẫn sẵn, và bạn theo dõi được thư đã gửi, đã mở hay bị trả về ra sao.

Chúng tôi chọn MONA Mail để gửi thư xác nhận và thông báo

Hệ thống gửi email của website hiện đang dùng MONA Mail cho các thư xác nhận và thông báo tự động. Chúng tôi chọn nó vì ba lý do khá thực tế: máy chủ gửi đặt tại Việt Nam, thanh toán bằng VND, và khi thêm tên miền bạn buộc phải cấu hình DKIM, nên khó bỏ sót bước quan trọng này.

Gói miễn phí cho phép gửi 3.000 email mỗi tháng. Với nhu cầu thông báo của một nhà trường trong giai đoạn đầu, con số đó là đủ dùng. Nếu bạn muốn tự tích hợp vào hệ thống riêng, hướng dẫn kỹ thuật chi tiết nằm trong tài liệu API và SDK của MONA Mail, phần này được trình bày khá dễ theo.

Checklist tự kiểm tra trước khi bật gửi thư thật

Trước khi cho thư thật chạy, bạn nên rà lại nhanh các điểm sau:

• Bản ghi SPF đã chứa đúng dịch vụ đang sử dụng.
• DKIM đã được xác thực, và thư thử có chữ ký hợp lệ.
• DMARC đã được thiết lập ở mức theo dõi, kèm địa chỉ nhận báo cáo.
• Gửi thư thử tới vài hộp thư Gmail và Outlook khác nhau, rồi xem thư nằm ở Hộp thư đến hay Spam.

Cả bốn bước này chỉ mất chừng nửa giờ. Nhưng chúng sẽ giúp bạn tiết kiệm cả tuần gọi điện giải thích lặp đi lặp lại cho phụ huynh và sinh viên.

Sai lầm thường gặp khiến thư của trường vẫn bị Spam

Sai lầm đầu tiên là gửi hàng loạt thư quảng cáo từ cùng một địa chỉ với thư xác nhận nhập học. Hộp thư không phân biệt được hai loại này, nên uy tín của cả địa chỉ đều bị kéo xuống. Tốt nhất nên tách riêng địa chỉ cho thông báo giao dịch và thư tiếp thị.

Sai lầm thứ hai là nội dung thư toàn hình ảnh, ít chữ, hoặc nhét các liên kết rút gọn khó hiểu. Người nhận sẽ thấy đáng ngờ, và hộp thư cũng vậy. Một thư xác nhận đàng hoàng nên có tiêu đề rõ ràng và phần chữ đủ để đọc.

Sai lầm thứ ba là đổi tên miền gửi đột ngột mà không làm lại đầy đủ các bản ghi xác thực. Uy tín của tên miền cũ không tự động chuyển sang tên miền mới, nên bạn phải xây dựng lại từ đầu.

Câu hỏi thường gặp

SPF, DKIM, DMARC có bắt buộc không hay chỉ là khuyến nghị?

Về mặt kỹ thuật, nhiều hộp thư lớn đã yêu cầu SPF và DKIM đối với người gửi với số lượng lớn. DMARC hiện chưa bắt buộc hoàn toàn nhưng đã là tiêu chuẩn được khuyến nghị mạnh. Với một trường học, cả ba nên được thiết lập đầy đủ.

Cấu hình xong bao lâu thì thấy hiệu quả?

Thường là vài ngày đến vài tuần, vì các hộp thư cần thời gian để ghi nhận uy tín mới. Trong khoảng thời gian đó, bạn nên tiếp tục theo dõi báo cáo và gửi thư thử đều đặn.

Có cần biết lập trình để làm việc này không?

Không nhất thiết. Phần lớn công việc là thêm đúng vài bản ghi DNS theo hướng dẫn của nhà cung cấp. Nếu chưa tự tin, nhờ người quản trị website làm giúp là hoàn toàn đủ.

Đã cấu hình mà thư vẫn vào Spam thì kiểm tra gì trước?

Hãy kiểm tra theo thứ tự: nội dung thư có quá nhiều liên kết hoặc hình ảnh không, DKIM đã xác thực chưa, SPF đã đúng dịch vụ chưa, và cuối cùng là xem báo cáo DMARC đang cho biết điều gì.

Website nhỏ có cần đầu tư vào xác thực email không?

Có, và càng nên làm sớm. Thư xác nhận là thứ người dùng chờ đợi nhất, nên đảm bảo nó tới đúng hộp thư luôn đáng công sức, dù website lớn hay nhỏ.