Defaults.Exposed › การตั้งค่า › SPF

วิธีตั้งค่า SPF บน AWS Route 53

เพิ่ม SPF record ใน hosted zone ของ Route 53 เพื่อให้ผู้ให้บริการกล่องจดหมายแยกแยะอีเมลของแท้จากของปลอมได้

เหตุใดสิ่งนี้จึงสำคัญต่อธุรกิจของคุณ

SPF (Sender Policy Framework) คือหมายเหตุสั้น ๆ ใน DNS ของโดเมนคุณที่ระบุว่าเมล์เซิร์ฟเวอร์ใดบ้างที่ได้รับอนุญาตให้ส่งอีเมลในนามของคุณ เมื่อมีคนได้รับข้อความที่อ้างว่ามาจากคุณ ผู้ให้บริการอีเมลจะตรวจสอบรายการนั้น หากเซิร์ฟเวอร์ที่ส่งไม่อยู่ในรายการ ข้อความนั้นจะดูน่าสงสัย — และอาจตกไปอยู่ในสแปมหรือถูกบล็อก

พูดให้เข้าใจง่าย: SPF ทำให้การแอบอ้างธุรกิจของคุณทางอีเมลยากขึ้น และช่วยให้อีเมลแท้ของคุณเข้าถึงกล่องจดหมายแทนที่จะเข้าโฟลเดอร์ขยะ เป็น record เดียว ฟรี และใช้เวลาเพียงไม่กี่นาที

ก่อนเริ่ม: Route 53 กำลังจัดการ DNS ของคุณจริง ๆ ใช่ไหม?

นี่คือขั้นตอนที่คนส่วนใหญ่ทำผิด DNS record จะทำงานได้ก็ต่อเมื่อ Route 53 คือผู้ตอบคำถาม DNS สำหรับโดเมนของคุณ

Route 53 คือ DNS host ไม่ใช่ผู้ให้บริการกล่องจดหมาย — ตอบ DNS แต่ไม่รันกล่องจดหมายของคุณ มีสองสิ่งสำคัญที่นี่:

• hosted zone ต้องเป็น live zone ใน Route 53 console เปิด Hosted zones และเลือกโดเมนของคุณ จดค่า NS (nameserver) สี่รายการที่แสดงสำหรับ zone นั้น
• nameserver ของโดเมนคุณต้องชี้ไปยังค่าเหล่านั้น หากคุณลงทะเบียนโดเมนผ่าน Route 53 (ใต้ Registered domains) มักจะถูกตั้งค่าไว้แล้ว แต่หากคุณลงทะเบียนที่อื่น หรือคุณมี hosted zone มากกว่าหนึ่งรายการสำหรับโดเมนเดียวกัน nameserver live อาจชี้ไปที่อื่นทั้งหมด — และสิ่งที่คุณเพิ่มที่นี่จะไม่มีผล ตรวจสอบ nameserver ที่ registrar ของคุณและตรวจสอบให้แน่ใจว่าตรงกับค่า NS สี่รายการใน hosted zone นี้ หากไม่ตรง ให้เพิ่ม SPF record ที่ที่ DNS ของคุณอยู่จริง ๆ แทน

ค้นหาข้อเท็จจริงหนึ่งข้อก่อน: ใครเป็นผู้ส่งอีเมลของคุณ?

SPF ต้องระบุชื่อบริการทุกบริการที่ส่งเมลสำหรับโดเมนของคุณ ตัวอย่างทั่วไปได้แก่ Google Workspace, Microsoft 365 หรือผู้ให้บริการที่โฮสต์กล่องจดหมายของคุณ แต่ละรายจะเผยแพร่ค่าที่ต้องใส่ใน SPF record ของคุณ (มักเป็นอะไรทำนอง include:_spf.google.com สำหรับ Google หรือ include:spf.protection.outlook.com สำหรับ Microsoft 365) ตรวจสอบหน้าช่วยเหลือของผู้ให้บริการอีเมลของคุณสำหรับค่าที่แน่นอน

หากคุณส่งผ่าน Amazon SES (บริการส่งอีเมลของ Amazon) SES ใช้กลไกที่แตกต่างกันโดยค่าเริ่มต้นและ SPF สำหรับ SES เป็นทางเลือก — แต่หากคุณตั้งค่า custom MAIL FROM domain ใน SES ให้ทำตามคำแนะนำ SES โดยเฉพาะสำหรับนั้น SES เป็นบริการแยกต่างหากจาก Route 53 Route 53 เพียงเก็บ DNS record เท่านั้น

ขั้นตอนบน Route 53

1. ลงชื่อเข้าใช้ AWS console และเปิด Route 53
2. ในเมนูด้านซ้าย เลือก Hosted zones จากนั้นคลิกชื่อโดเมนของคุณ
3. คลิก Create record
4. หากคุณเห็น wizard พร้อม routing-policy options ให้สลับไปที่ฟอร์มง่าย (มองหา Quick create record) — SPF ไม่ต้องการการ routing ขั้นสูงใด ๆ
5. ปล่อยช่อง Record name ว่าง ชื่อว่างหมายถึง “โดเมนนั้นเอง” console แสดงโดเมนของคุณข้างช่องนั้น ดังนั้นคุณไม่ต้องพิมพ์ซ้ำ
6. ตั้ง Record type เป็น TXT
7. ในช่อง Value ป้อนข้อความ SPF ของคุณครอบด้วยเครื่องหมายอัญประกาศคู่: "v=spf1 include:_spf.google.com ~all" แทนที่ส่วน include: ด้วยค่าที่ผู้ให้บริการอีเมลของคุณบอกให้ใช้ เครื่องหมายอัญประกาศที่ครอบเป็นสิ่งจำเป็นใน Route 53 — ดูข้อผิดพลาดด้านล่าง
8. ปล่อย TTL ไว้ที่ค่าเริ่มต้น (300 วินาทีก็ดี)
9. คลิก Create records

ข้อผิดพลาดที่มักเกิดขึ้นบน Route 53

• ค่า TXT ต้องอยู่ในเครื่องหมายอัญประกาศคู่ ต่างจาก DNS hosts บางรายที่ครอบค่าให้คุณ Route 53 คาดหวังให้คุณพิมพ์เครื่องหมายอัญประกาศเอง ป้อน "v=spf1 ... ~all" ไม่ใช่ v=spf1 ... ~all การลืมเครื่องหมายอัญประกาศเป็นข้อผิดพลาดที่พบบ่อยที่สุดใน Route 53
• ปล่อย Record name ว่างสำหรับ root domain ชื่อว่างหมายถึงโดเมนนั้นเอง หากคุณพิมพ์ชื่อโดเมนเต็มในช่อง Name Route 53 จะต่อ zone อีกครั้งและคุณจะได้ yourdomain.com.yourdomain.com — record ที่ไม่เคยถูกตรวจสอบ
• มี SPF record ได้แค่รายการเดียวต่อโดเมน คุณไม่สามารถมี TXT record v=spf1 สองรายการ — ผู้ให้บริการอีเมลจะถือว่าเสีย หาก TXT record มีอยู่ที่ root แล้ว แก้ไขมัน เพื่อเพิ่มบริการใหม่แทนที่จะสร้าง SPF record ที่สอง
• hosted zone ที่ถูกต้อง บัญชีที่ถูกต้อง หากคุณมี hosted zones หลายรายการ (หรือหลาย AWS accounts) ง่ายที่จะแก้ไขผิดรายการ ตรวจสอบให้แน่ใจว่า zone ที่คุณกำลังแก้ไขคือรายการที่ค่า NS ตรงกับ nameserver live ของคุณ
• ~all กับ -all ~all (softfail) หมายถึง “สิ่งที่ไม่อยู่ในรายการน่าสงสัย”; -all (hardfail) หมายถึง “ปฏิเสธสิ่งที่ไม่อยู่ในรายการ” เริ่มด้วย ~all ขณะที่คุณยืนยันว่าทุกอย่างส่งได้อย่างถูกต้อง จากนั้นเข้มงวดเป็น -all เมื่อคุณแน่ใจว่ารายการของคุณครบถ้วน
• การเปลี่ยนแปลงไม่เกิดขึ้นทันที การอัปเดต DNS อาจใช้เวลาตั้งแต่สองสามนาทีถึงสองสามชั่วโมงในการแพร่กระจาย

ตรวจสอบว่าได้ผล

เมื่อคุณบันทึก record และรอให้มีผลสักครู่แล้ว ให้ตรวจสอบด้วยการตรวจสอบฟรีบนเว็บไซต์นี้ ระบบจะบอกคุณอย่างชัดเจนว่า SPF record ของคุณมีอยู่และถูกต้องหรือไม่

เสร็จแล้ว? ตรวจสอบโดเมนของคุณฟรี เพื่อยืนยันว่าใช้งานได้ — และดูคะแนนเต็มของคุณใน 34 การตรวจสอบ