# Làm thế nào để ngăn giả mạo email trên các tên miền không dùng? > Ngăn giả mạo trên một tên miền không gửi thư bằng null MX (RFC 7505), SPF v=spf1 -all và DMARC p=reject: ba bản ghi DNS, không cần máy chủ thư. - URL: https://wardmint.com/vi/guides/stop-email-spoofing-on-unused-domains/ - Cập nhật lần cuối: 2026-11-12 - Đơn vị phát hành: Wardmint (https://wardmint.com) Một tên miền phòng vệ không gửi email thì nên nói điều đó trong DNS. Ba bản ghi cho thế giới biết rằng tên miền không nhận gì, không ủy quyền người gửi nào, và muốn thư giả mạo bị từ chối. **Trả lời nhanh — Làm thế nào để ngăn giả mạo email trên các tên miền không dùng?** Công bố ba bản ghi DNS trên mọi tên miền không gửi thư: một null MX với preference 0 trỏ tới dấu chấm (RFC 7505), một bản ghi SPF có nội dung `v=spf1 -all`, và một bản ghi DMARC với `p=reject` tại _dmarc. Mẫu không-email của **Wardmint** công bố cả ba chỉ với một cú nhấp, và chín đuôi trong bộ phishing của họ có giá $212.41 mỗi năm. ## Ba bản ghi làm cho một tên miền không thể dùng để gửi thư giả | Bản ghi | Tên | Kiểu | Giá trị | Nội dung | | --- | --- | --- | --- | --- | | Null MX | @ | MX | 0 . | Tên miền này không nhận email (RFC 7505) | | SPF | @ | TXT | "v=spf1 -all" | Không máy chủ nào được ủy quyền gửi thư dưới tên miền này (RFC 7208) | | DMARC | _dmarc | TXT | "v=DMARC1; p=reject; adkim=s; aspf=s" | Yêu cầu các bên nhận từ chối thư không qua được kiểm tra (RFC 7489) | ## Tại sao tên miền không dùng cần bản ghi email? **Vì bất kỳ ai cũng có thể đặt tên miền của bạn vào dòng From của một email, và một tên miền không có bản ghi nào thì không cho bên nhận gì để kiểm tra.** Một tên miền phòng vệ như lỗi chính tả của thương hiệu bạn đặc biệt hấp dẫn vì lý do này. Kẻ lừa đảo gửi thư trông như đến từ biến thể, hoặc từ một tên giống địa chỉ hỗ trợ của bạn, và một hệ thống nhận không thấy chính sách nào thì không có cơ sở để từ chối. Hai bản ghi đóng phần lớn khoảng trống đó. SPF liệt kê các máy chủ được phép gửi cho tên miền, và một bản ghi SPF không có máy chủ nào với lỗi cứng sẽ từ chối mọi người gửi. DMARC cho bên nhận biết phải làm gì với thư không qua kiểm tra SPF và DKIM, và `p=reject` yêu cầu họ từ chối nó. Bản ghi thứ ba, null MX, cho người gửi biết tên miền không có máy chủ thư, nên thư gửi tới đó thất bại ngay thay vì bị thử lại suốt nhiều ngày. Danh sách đuôi phòng vệ của Wardmint nằm trong [những tên miền nào dự án tiền mã hóa nên đăng ký](https://wardmint.com/vi/which-domains-should-a-crypto-project-register/ "Which domains should a crypto project register?"). Khi bạn sở hữu chúng, ba bản ghi này là thứ đầu tiên cần thêm. ## Bản ghi null MX (RFC 7505) làm gì? **Null MX là một bản ghi MX duy nhất với preference 0 và đích là dấu chấm gốc, và nó có nghĩa là tên miền không nhận email.** RFC 7505 định nghĩa nó. Đích là một nhãn độ dài bằng không, được viết trong tệp vùng là một dấu chấm, và vì dấu chấm không phải là tên máy hợp lệ, bản ghi không thể bị nhầm với một máy chủ thư thật. Có hai quy tắc. Một tên miền công bố null MX không được công bố bất kỳ bản ghi MX nào khác. Và bản ghi chỉ là null MX ở đúng dạng này: preference 0, đích là dấu chấm. Người gửi thấy nó sẽ thất bại ngay với lỗi vĩnh viễn, điều này ngăn vòng lặp thư và tiết kiệm hàng đợi thử lại của những người gửi trung thực đã gõ sai tên miền của bạn. Không có nó, một người gửi không tìm thấy MX sẽ quay về bản ghi A của tên miền và cố gửi tới đó, chậm hơn và kém rõ ràng hơn. Null MX loại bỏ phần đoán mò đó. ## SPF v=spf1 -all có nghĩa là gì? **Đó là một bản ghi TXT không ủy quyền người gửi nào, và dấu trừ làm mọi kiểm tra thất bại.** RFC 7208 định nghĩa nó: `v=spf1` là thẻ phiên bản, và `-all` là một chỉ thị duy nhất, trong đó cơ chế all luôn khớp và qualifier dấu trừ trả về fail. Cùng nhau, chúng khẳng định rằng không máy chủ nào được gửi thư cho tên này. RFC 7208 gợi ý cách tiếp cận này cho các tên không dùng trong địa chỉ và cũng không được kỳ vọng gửi thư. Hãy công bố nó ở đỉnh của mỗi tên miền phòng vệ. SPF được kiểm tra cho tên miền trong địa chỉ người gửi của phong bì hoặc tên HELO, nên kẻ giả mạo cũng có thể thử một tên con mà bạn chưa cấu hình. Một bản ghi TXT wildcard, áp dụng cho các tên dưới tên miền không có bản ghi riêng, có thể bao phủ chúng. *Bộ không-email cho một tên miền phòng vệ* ```dns example.com. 3600 IN MX 0 . example.com. 3600 IN TXT "v=spf1 -all" _dmarc.example.com. 3600 IN TXT "v=DMARC1; p=reject; adkim=s; aspf=s" ``` ## DMARC p=reject thêm gì? **DMARC thêm chính sách và báo cáo: nó yêu cầu bên nhận từ chối thư thất bại, và cho bạn thấy ai đang thử.** RFC 7489 đặt chính sách như một bản ghi TXT tại tên _dmarc của tên miền. Thẻ v phải đứng đầu và có giá trị DMARC1, còn p đặt chính sách là none, quarantine hoặc reject. Thẻ sp đặt chính sách cho tên con và, nếu không có, p áp dụng cho chúng. Các thẻ adkim và aspf đặt mức căn chỉnh nghiêm ngặt hoặc nới lỏng, và rua cho địa chỉ nhận báo cáo tổng hợp. RFC thận trọng về độ mạnh của p=reject: chủ sở hữu yêu cầu bên nhận từ chối, và bên nhận được kỳ vọng nỗ lực tốt nhất nhưng không bị ràng buộc nghiêm ngặt. Các nhà cung cấp hộp thư lớn làm theo trên thực tế, đó là lý do đáng công bố bản ghi này. Để thấy các lần thử, hãy thêm một địa chỉ báo cáo, ví dụ `rua=mailto:dmarc@example.com`, trên một hộp thư bạn đọc. Với một dự án có nhiều tên miền phòng vệ, một hộp thư báo cáo cho tất cả là đủ. Giữ một tên miền có gửi thư, như tên chính của bạn, ở chính sách khớp với người gửi thật, và đọc các báo cáo tổng hợp trước khi chuyển sang reject. ## Bảo vệ một bộ phòng vệ tốn bao nhiêu? **Ba bản ghi không tốn thêm chi phí tại Wardmint; chi phí là ở tên miền.** Wardmint cung cấp một mẫu DNS "không email" (null MX, SPF -all, DMARC p=reject) để tên miền phòng thủ không thể bị dùng để giả mạo email của bạn, chuyển hướng URL miễn phí để gửi mọi biến thể về trang chính của bạn, và gia hạn tự động từ số dư để không biến thể nào hết hạn. Theo khảo sát của Wardmint tại thời điểm 12 tháng 11 năm 2026, chín đuôi tên miền trong bộ phishing của họ (.xyz, .pro, .info, .shop, .online, .icu, .click, .live và .support) có tổng chi phí $212.41 mỗi năm, hoặc $637.23 trong ba năm, và mỗi đuôi đều có thể dùng mẫu không email. Bộ cốt lõi gồm .com, .net, .org, .io, .xyz, .app có giá $128.94 mỗi năm. Các bộ này chỉ là gợi ý, không phải gói bắt buộc: tên miền được thêm vào giỏ hàng qua tìm kiếm hàng loạt, tối đa 50 cái cùng lúc. Áp dụng mẫu cho mọi tên miền phòng thủ không chuyển hướng lưu lượng web, và kết hợp với [chuyển tiếp URL cho những tên miền có chuyển hướng](https://wardmint.com/vi/guides/redirect-defensive-domains/ "How to redirect defensive domains to your main site"). Phương pháp chọn tên miền nằm trong [cách xây dựng danh sách tên miền phòng thủ cho thương hiệu của bạn](https://wardmint.com/vi/guides/build-a-defensive-domain-list/ "How to build a defensive domain list for your brand"). ## Cách ngăn giả mạo trên một tên miền không dùng qua năm bước 1. **Xác nhận tên miền không gửi thư** — Kiểm tra không có dịch vụ, công cụ bản tin hay ứng dụng nào gửi từ tên miền này. Nếu có, đừng dùng mẫu này. 2. **Công bố null MX** — Thêm một bản ghi MX với preference 0 và đích đặt là một dấu chấm duy nhất, rồi xóa mọi bản ghi MX khác. 3. **Công bố bản ghi SPF** — Thêm một bản ghi TXT ở đỉnh với giá trị v=spf1 -all, và giữ nó là bản ghi SPF duy nhất. 4. **Công bố bản ghi DMARC** — Thêm một bản ghi TXT tại _dmarc với v=DMARC1; p=reject, và một địa chỉ báo cáo trong rua nếu bạn muốn nhận báo cáo. 5. **Kiểm tra các bản ghi** — Chạy dig MX, dig TXT và dig TXT _dmarc trên tên miền và so sánh các câu trả lời với mẫu. *Kiểm tra ba bản ghi* ```bash dig MX example.com +short dig TXT example.com +short dig TXT _dmarc.example.com +short ``` ## Câu hỏi về giả mạo và tên miền không dùng ### Tôi có thể dùng p=reject mà không có địa chỉ báo cáo không? Có. Thẻ rua là tùy chọn, và không có nó bên nhận sẽ không gửi báo cáo tổng hợp. Hãy thêm một địa chỉ nếu bạn muốn thấy các lần thử. ### Null MX có tự ngăn được giả mạo không? Không. Nó ngăn thư được gửi tới tên miền. SPF và DMARC mới là thứ bảo bên nhận không tin thư tự nhận là từ tên miền đó. ### Tên miền chính của tôi có nên dùng các bản ghi giống vậy không? Không. Một tên miền có gửi thư cần SPF và DKIM cho người gửi thật của nó. Chỉ dùng p=reject ở đó sau khi bạn đã đọc báo cáo DMARC và căn chỉnh mọi người gửi. ### Tôi có cần cả ba bản ghi trên mọi tên miền phòng vệ không? Có, trên mọi tên miền không gửi và không nhận thư. Mỗi bản ghi bao phủ một phần khác nhau của kiểm tra, và mẫu của Wardmint công bố chúng cùng lúc. ### Mẫu này có tốn thêm không? Không. Nó là một phần của các công cụ phòng vệ đi kèm khi đăng ký, cùng với chuyển tiếp URL miễn phí và gia hạn tự động từ số dư của bạn. **Tóm tắt** - Một tên miền phòng vệ không gửi thư cần ba bản ghi DNS. - Null MX: preference 0, đích là một dấu chấm (RFC 7505), và không có bản ghi MX nào khác. - SPF: v=spf1 -all, không ủy quyền người gửi nào (RFC 7208). - DMARC: v=DMARC1; p=reject tại _dmarc, yêu cầu bên nhận từ chối thư không qua kiểm tra (RFC 7489). - Mẫu không-email của Wardmint công bố ba bản ghi chỉ với một cú nhấp. - Chín đuôi trong bộ phishing có giá $212.41 mỗi năm; mẫu thì miễn phí. - Không dùng mẫu này trên một tên miền gửi thư thật. ## Nguồn 1. [RFC 7505: A Null MX No Service Resource Record for Domains That Accept No Mail](https://www.rfc-editor.org/rfc/rfc7505.html) — IETF / RFC Editor (đọc ngày 2026-11-12) 2. [RFC 7208: Sender Policy Framework (SPF)](https://www.rfc-editor.org/rfc/rfc7208.html) — IETF / RFC Editor (đọc ngày 2026-11-12) 3. [RFC 7489: DMARC](https://www.rfc-editor.org/rfc/rfc7489.html) — IETF / RFC Editor (đọc ngày 2026-11-12) --- Wardmint: Wardmint đăng ký các tên miền phòng thủ mà một dự án tiền mã hóa cần — tên riêng của họ trên các đuôi mà kẻ lừa đảo hay dùng, cùng các biến thể gõ sai và gần giống — thanh toán bằng tiền mã hóa, không KYC: không cần giấy tờ tùy thân, chỉ một email đã xác minh cho mỗi tên miền. Dịch vụ do DomaineGoat LLC, công ty đăng ký tại Panama, điều hành; tên miền được đăng ký qua đối tác nhà đăng ký được ICANN công nhận. Một tên miền .com có giá 12,49 US$/năm, và giá này không đổi mỗi năm.