DMARC Record Builder: คู่มือฉบับสมบูรณ์สำหรับหยุด Email Spoofing

Email spoofing ยังคงเป็นช่องทางโจมตีที่สร้างความเสียหายมากที่สุดช่องทางหนึ่งบนอินเทอร์เน็ต ผู้โจมตีปลอมแปลงช่อง From เพื่ออ้างเป็นโดเมนของคุณ หลอกล่อลูกค้าให้ยอมมอบข้อมูลรับรอง หลอกทีมการเงินให้จ่ายใบแจ้งหนี้ปลอม และหลอกคู่ค้าให้เชื่อลิงก์ที่เป็นอันตราย ข่าวดีก็คือมีทางแก้ที่ระดับ DNS — DMARC (Domain-based Message Authentication, Reporting and Conformance ตามมาตรฐาน RFC 7489) ช่วยให้คุณบอก mail server ปลายทางได้เลยว่าควรทำอะไรเมื่อข้อความอ้างว่ามาจากโดเมนของคุณแต่ไม่ผ่านการตรวจสอบ โดยสร้างทับ SPF และ DKIM มันคือแนวป้องกันการอ้างเป็นโดเมนที่ได้ผลที่สุดเท่าที่มี

ปัญหาคือ DMARC record พลาดได้ง่ายมาก — tag พิมพ์ผิดตัวเดียว ที่อยู่รายงานที่หายไป หรือ policy ที่เข้มงวดเกินไปแต่ปล่อยใช้เร็วเกินไป ล้วนทำให้อีเมลที่ถูกต้องพังเงียบ ๆ หรือทำให้คุณไม่มีข้อมูลที่จำเป็นต่อการเปิดใช้แบบปลอดภัย DMARC Record Builder ฟรีช่วยขจัดความเสี่ยงนั้น โดยพาคุณไล่ทุก DMARC tag — p, sp, rua, ruf, fo, adkim, aspf, ri และ pct — แล้วสร้างสตริง TXT record ที่แม่นยำสำหรับเผยแพร่ที่ _dmarc.yourdomain.com พร้อมพรีวิวสด ๆ ให้คุณเห็นตลอดว่าอะไรจะลงไปใน DNS ของคุณ

คู่มือนี้อธิบายว่าตัวสร้างทำงานอย่างไร ทุก tag หมายความว่าอะไร และวิธีวางแผนเปิดใช้งานอย่างปลอดภัยจากการเฝ้าดูไปจนถึงบังคับใช้เต็มรูปแบบ — ไม่ว่าคุณจะปกป้องโดเมนสตาร์ทอัพเดียวหรือโดเมนลูกค้าหลายสิบโดเมน

ทำไมต้องใช้ DMARC Record Builder?

• ไม่ต้องเดา syntax DMARC record เป็นบรรทัดเดียวของ tag ที่คั่นด้วยเซมิโคลอน พิมพ์ผิดจุดเดียวทั้ง record ใช้ไม่ได้ ตัวสร้างประกอบ syntax ที่ถูกต้องให้คุณ
• ครบทุก tag ตั้งค่า policy, subdomain policy, URI สำหรับรายงาน, ตัวเลือกความล้มเหลว, โหมด alignment, ช่วงเวลารายงาน และเปอร์เซ็นต์การเปิดใช้ จากฟอร์มเดียว
• ค่าเริ่มต้นที่ปลอดภัย เริ่มจาก p=none พร้อม relaxed alignment — ค่าที่แนะนำสำหรับเฝ้าดู — แล้วค่อยขยับเข้มเมื่อมั่นใจขึ้น
• พรีวิว TXT สด ๆ ดู record จริงอัปเดตเรียลไทม์ขณะเปลี่ยนตัวเลือก และคัดลอกได้ในคลิกเดียว
• ผลลัพธ์พร้อมเผยแพร่ ได้สตริงที่แม่นยำสำหรับวางเป็น TXT record ที่ _dmarc.yourdomain.com ในผู้ให้บริการ DNS ของคุณ
• ฟรีและทันที ไม่ต้องมีบัญชี ไม่มีการประมวลผลฝั่งเซิร์ฟเวอร์ — ทุกอย่างทำงานใน browser ของคุณ

ฟีเจอร์เด่น

• ออกแบบให้รายงานมาก่อน ตัวสร้างกระตุ้นให้คุณตั้ง rua ตั้งแต่วันแรก เพราะรายงานสรุปเป็นวิธีเดียวที่จะเห็นว่าใครกำลังส่งอีเมลโดยอ้างโดเมนคุณก่อนเริ่มบล็อกอะไร
• Alignment ที่ง่ายหายใจ ไม่ต้องท่องนิยามใน RFC แค่เลือก relaxed หรือ strict จากดรอปดาวน์ แล้วเห็น tag adkim และ aspf ที่ได้ทันที
• เครื่องมือคุมการเปิดใช้ในตัว ผสาน pct กับ quarantine เพื่อบังคับใช้กับอีเมลที่ล้มเหลวแค่ 10% ขณะเฝ้าดูรายงาน แล้วค่อยขยับขึ้น

วิธีใช้งาน

1. เปิดตัวสร้าง ไปที่ DMARC Record Builder แล้วกรอกโดเมนของคุณ เครื่องมือจะใช้ชื่อโดเมนแสดงชื่อ DNS host ที่แน่นอน (_dmarc.yourdomain.com) ที่จะเผยแพร่ record
2. เลือก policy เลือก none, quarantine หรือ reject สำหรับโดเมนหลัก และอาจตั้ง subdomain policy แยกด้วย sp — ถ้าเพิ่งเริ่มต้นให้เลือก none
3. ใส่ที่อยู่รับรายงาน กรอกที่อยู่ mailto: หนึ่งรายการหรือมากกว่าสำหรับ rua (รายงานสรุป) และ ruf (รายงานรายข้อความ) ถ้าต้องการรายละเอียดระดับนั้น แล้วเลือกตัวเลือก fo ที่ตรงกับเงื่อนไขที่คุณต้องการให้ส่งรายงานความล้มเหลว
4. ปรับ alignment และการเปิดใช้ ปล่อย adkim และ aspf เป็น relaxed ไว้ ยกเว้นมีเหตุผลเฉพาะที่ต้อง strict, คง ri ไว้ที่ค่าเริ่มต้น 86400 และตั้ง pct ถ้าคุณค่อย ๆ เปิดใช้ policy quarantine หรือ reject
5. คัดลอกแล้วเผยแพร่ ตรวจพรีวิว TXT สด ๆ กดคัดลอก แล้ววางค่าลงใน TXT record ใหม่ที่ _dmarc ในผู้ให้บริการ DNS ของคุณ โดยปกติใช้เวลา propagate ไม่กี่นาที — ตรวจสอบด้วยเครื่องมือ DNS lookup ใดก็ได้

ทำความเข้าใจ DMARC Tags

DMARC record ที่ถูกต้องเริ่มด้วย v=DMARC1 เสมอ และต้องมีอย่างน้อย tag p ที่เหลือเป็นทางเลือกแต่สำคัญ ดังนี้คือชุดเต็มที่ตัวสร้างรองรับ:

Relaxed กับ Strict alignment

Alignment คือสิ่งที่เชื่อมผลการตรวจสอบเข้ากับโดเมนที่ผู้รับมองเห็นจริง ด้วย relaxed alignment (adkim=r, aspf=r) ลายเซ็น DKIM จาก mail.example.com หรือ SPF pass จาก subdomain ยังคู่กับ example.com ได้ ส่วน strict alignment (s) ต้องการโดเมนตรงกันเป๊ะ Relaxed เป็นทางเลือกที่เหมาะกับผู้ส่งส่วนใหญ่ — ยอมรับจดหมายข่าว CRM และระบบวางบิลที่ส่งจาก subdomain หรือโครงสร้างพื้นฐานของบุคคลที่สาม Strict จำเป็นบ้างสำหรับโดเมนความปลอดภัยสูง แต่จะตีอีเมลถูกกฎที่ส่งผ่านบริการแบบ subdomain ตกไปด้วย

การเปิดใช้แบบ none → quarantine → reject

DMARC เป็นกระบวนการค่อยเป็นค่อยไป ไม่ใช่สวิตช์เปิดปิด:

1. p=none — ปลายทางตรวจสอบแต่ไม่ลงมืออะไร คุณเก็บรายงาน rua และสร้างแผนที่ของทุกบริการที่ส่งอีเมลอ้างโดเมนคุณ แล้วซ่อม SPF และ DKIM ให้ผู้ส่งที่ถูกต้องทุกราย
2. p=quarantine — อีเมลที่ไม่ผ่านถูกส่งไปถังสแปม เริ่มจาก pct ต่ำ ๆ (เช่น 10–25%) แล้วเพิ่มขึ้นเมื่อรายงานยืนยันว่าไม่มีอีเมลถูกกฎตกไป
3. p=reject — อีเมลที่ไม่ผ่านถูกบล็อกทันที นี่คือสถานะปลายทาง: อีเมลปลอมจากโดเมนคุณไม่ถึงกล่องขาเข้าอีกต่อไป

การกระโดดไป reject เลยคือสาเหตุที่อีเมลถูกกฎถูกตีกลับ ช่วงเก็บรายงานต่างหากที่ทำให้การบังคับใช้ปลอดภัย

สถานการณ์ใช้งานจริง

บริษัท SaaS ปกป้องโดเมนจาก phishing

บริษัท SaaS ส่งอีเมลรายการจาก example.com และอีเมลการตลาดจาก mail.example.com โจมตีปลอม example.com ตรง ๆ ในแคมเปญ phishing รีเซ็ตรหัสผ่าน ทีมงานเผยแพร่ p=none พร้อม rua ชี้ไปกล่องจดหมายฝ่ายความปลอดภัย ใช้เวลาสองสัปดาห์จัด ESP, CRM และฝ่ายสนับสนุนให้ผ่าน SPF และ DKIM แล้วย้ายไป p=quarantine ที่ pct=25 และสุดท้ายคือ p=reject ภายในหนึ่งไตรมาส อีเมลปลอมจากโดเมนของบริษัทหายไปจากกล่องขาเข้าของลูกค้าอย่างมีนัยสำคัญ

เอเจนซีเฝ้าดูโดเมนลูกค้า

เอเจนซีการตลาดดูแลอีเมลให้ลูกค้า 30 โดเมน ด้วยตัวสร้างพวกเขาสร้าง record p=none ให้ทุกโดเมนโดย rua ชี้ไปกล่องรายงานกลางหรือบริการวิเคราะห์ DMARC รายงานสรุปเปิดโปง shadow IT — subdomain ที่ถูกลืม เครื่องมือจดหมายข่าวเก่า หรือ Gmail ส่วนตัวของผู้ก่อตั้งที่ส่งอ้างชื่อบริษัท — ทั้งหมดถูกทำให้ผ่านการตรวจสอบอย่างถูกต้องก่อนเริ่มบังคับใช้ใด ๆ

หยุดโจมตี BEC แบบปลอมใบแจ้งหนี้

ทีมการเงินโดน business email compromise: มิจฉาชีพปลอมโดเมนของ CFO แล้วขอโอนเงินด่วน เมื่อมี p=reject อยู่ เซิร์ฟเวอร์ปลายทางที่เคารพ DMARC จะปฏิเสธข้อความเหล่านั้นก่อนถึงมือพนักงาน รายงาน rua ยังมอบหลักฐานความพยายามบุกรุกให้ทีมความปลอดภัย — ปริมาณ IP ต้นทาง และการตรวจสอบตัวไหนที่ไม่ผ่าน

โดเมนใหม่ที่ยังไม่ส่งอีเมล

แม้แต่โดเมนที่ไม่ได้ส่งอีเมลเลย ก็ควรเผยแพร่ v=DMARC1; p=reject; rua=mailto:[email protected] ถ้าคุณไม่เคยส่งอีเมล ข้อความใดที่อ้างว่ามาจากโดเมนคุณย่อมเป็นการฉ้อโกงตามนิยาม และ reject ปิดประตูให้ทันที

แนวทางปฏิบัติที่ดี

• เริ่มที่ p=none เสมอ เฝ้าดูก่อนบังคับใช้ — คุณซ่อมผู้ส่งที่ไม่รู้จักไม่ได้
• ตั้ง rua ทุกครั้ง รายงานสรุปคือสิทธ์มองเห็นทุกอย่างที่ส่งอ้างโดเมนคุณ ถ้าไม่มี คุณกำลังบังคับใช้แบบหลับตา
• ตรวจ SPF และ DKIM ก่อนเสมอ DMARC ผ่านเมื่อมีอย่างน้อยหนึ่งอย่างตรวจสอบและคู่โดเมนได้ เผยแพร่ record SPF และ DKIM ที่ถูกต้องให้ผู้ส่งที่ถูกกฎทุกรายก่อนเปิด quarantine หรือ reject
• ระวังขีดจำกัด TXT 255 ตัวอักษร ค่า DNS TXT ชุดเดียวจำกัดที่ 255 ตัวอักษร รายการ rua ยาว ๆ หลายที่อยู่อาจเกิน — ทำ URI ให้กระชับ หรือใช้ที่อยู่เดียวของบริการรายงาน
• เพิ่ม pct ทีละนิด เมื่อย้ายไป quarantine หรือ reject ให้บังคับใช้กับเปอร์เซ็นต์เล็กก่อน แล้วเพิ่มขึ้นตามรายงานที่สะอาด
• เฝ้าดูต่อหลังบังคับใช้ ผู้ส่งที่ถูกกฎเปลี่ยนโครงสร้างพื้นฐานได้ กล่อง rua หรือแดชบอร์ดรายงานจะจับความล้มเหลวใหม่ก่อนที่ลูกค้าของคุณจะเจอ

เริ่มปกป้องโดเมนของคุณวันนี้

Email spoofing แก้ได้ที่ระดับ DNS — แต่ต่อเมื่อ record ของคุณถูกต้องและค่อยเป็นค่อยไป เปิด DMARC Record Builder สร้าง record ของคุณในไม่ถึงนาที แล้วเผยแพร่วันนี้ เริ่มที่ p=none ดูรายงานที่ไหลเข้ามา แล้วค่อยก้าวไป p=reject ชื่อเสียงโดเมนของคุณ — และกล่องขาเข้าของลูกค้า — จะขอบคุณ

เครื่องมือที่เกี่ยวข้องที่คุณอาจสนใจ:

• SPF Record Builder — สร้าง SPF TXT record ระบุทุกบริการที่ได้รับอนุญาตให้ส่งอีเมลแทนโดเมนของคุณ
• DKIM Record Generator — สร้างคีย์ DKIM และ TXT record เพื่อให้อีเมลขาออกของคุณมีลายเซ็นที่ตรวจสอบได้
• DNS Lookup — สอบถาม DNS สด ๆ เพื่อยืนยันว่า record DMARC, SPF และ DKIM ของคุณเผยแพร่และ propagate แล้ว

ขอให้สนุกกับการรักษาความปลอดภัย!