Tạo & kiểm tra bản ghi DNS

Tạo đúng các bản ghi DNS cho email và website — SPF, DMARC, DKIM, MX, CAA, SRV, TXT, A/AAAA/CNAME, MTA-STS, TLS-RPT và BIMI — và kiểm tra bản ghi bạn dán vào. Kết quả gồm các dòng zone BIND và bảng Host / Loại / Giá trị / TTL dùng được cho mọi trang quản lý DNS.

Các bước sử dụng

1. Nhập Tên miền của bạn và giá trị TTL (giây). Mọi bản ghi bên dưới đều dùng hai giá trị này.
2. Chọn một tab: SPF, DMARC, DKIM, MX, CAA, SRV, TXT, A / AAAA / CNAME, MTA-STS, TLS-RPT hoặc BIMI.
3. Ở các tab SPF, DMARC và DKIM, chọn Tạo bản ghi để tạo mới, hoặc Kiểm tra bản ghi để kiểm tra bản ghi bạn đang có.
4. Với SPF, đánh dấu các Dịch vụ gửi email thay bạn, thêm Địa chỉ hoặc dải IPv4 (ip4) nếu có, và chọn cách xử lý Thư từ mọi máy chủ khác. Bộ đếm cho biết bản ghi dùng bao nhiêu trong 10 lượt tra DNS được phép.
5. Với DKIM, dán khoá công khai của nhà cung cấp, hoặc bấm Tạo cặp khoá RSA rồi cài Khoá bí mật — cho máy chủ thư của bạn lên máy chủ ký thư.
6. Đọc các cảnh báo bên phải, rồi sao chép các dòng trong Cho trang quản lý DNS hoặc Tệp zone BIND. Đổi kiểu host của tên miền gốc giữa @, Để trống và Tên đầy đủ cho khớp trang quản lý của bạn.
7. Sau khi lưu, dùng Tra cứu bản ghi thực tế để xem Internet đang phân giải ra gì.

Mẹo

• Mỗi tên miền chỉ công bố một bản ghi SPF. Nếu hai dịch vụ đều bảo bạn thêm SPF, hãy gộp các giá trị include: vào một bản ghi.
• Giới hạn 10 lượt tra cũng tính cả các lượt bên trong mỗi include:. Công cụ đếm bản ghi của bạn; include lồng nhau cần tra cứu thực tế.
• Bắt đầu DMARC với p=none kèm địa chỉ rua, rồi đi theo Lộ trình: none → quarantine → reject — mỗi nút Dùng điền sẵn bước đó.
• Không được đặt CNAME ở tên miền gốc (@). Hãy dùng bản ghi A/AAAA, hoặc tính năng ALIAS / CNAME flattening của nhà cung cấp.
• Trong tệp zone, tên đích kết thúc bằng dấu chấm (mail.example.com.). Trang quản lý DNS thường cần tên không có dấu chấm và không lặp lại tên miền.
• Với MTA-STS, đặt Tệp chính sách tại https://mta-sts.<tên miền>/.well-known/mta-sts.txt trước khi chuyển chế độ sang enforce, và đổi id mỗi lần sửa tệp.

Khoá bí mật DKIM được tạo ngay trong trình duyệt và chỉ hiện một lần. Hãy sao chép hoặc tải về trước khi rời trang, và tuyệt đối không đưa nó lên DNS — chỉ khoá công khai mới nằm trong bản ghi TXT.

Câu hỏi thường gặp

Bao lâu thì thay đổi DNS có hiệu lực?

Nhà cung cấp DNS thường công bố thay đổi trong vài giây đến vài phút. Các resolver đã lưu đệm câu trả lời cũ sẽ tiếp tục dùng nó cho tới khi TTL hết hạn, nên TTL cũ (thường là một giờ) là thời gian chờ thực tế. Đổi name server tại nhà đăng ký có thể mất tới 24–48 giờ. Hãy hạ TTL xuống khoảng 300 giây một ngày trước khi thay đổi theo kế hoạch, rồi tăng lại sau đó.

Dữ liệu có bị gửi lên máy chủ không?

Không. Bản ghi được tạo và kiểm tra hoàn toàn trong trình duyệt, cặp khoá DKIM được tạo bằng Web Crypto API của trình duyệt, và trang này không thực hiện truy vấn DNS nào. Mọi thứ bạn nhập hoặc tạo ra đều không rời khỏi thiết bị.

Vì sao SPF báo lỗi "quá nhiều lượt tra DNS"?

Mỗi include, a, mx, ptr, exists và redirect tốn một lượt tra, kể cả các lượt nằm trong include. Vượt quá 10, máy nhận trả PermError và SPF không đạt. Hãy bỏ các dịch vụ không còn dùng, hoặc thay include bằng dải ip4:/ip6:.

Host nên là @, để trống hay tên miền đầy đủ?

Cả ba đều chỉ tên miền gốc — các trang quản lý chỉ ghi khác nhau. Hãy chọn kiểu mà trang của bạn dùng. Nếu trang đã hiện tên miền phía sau ô host, chỉ gõ phần đứng trước (ví dụ _dmarc).

Nên dùng khoá DKIM bao nhiêu bit?

RSA 2048-bit là lựa chọn an toàn. Khoá 1024-bit đã yếu, còn khoá 4096-bit dài tới mức một số trang quản lý DNS từ chối giá trị TXT.