ตั้งค่า SPF, DKIM และ DMARC อย่างถูกต้อง
ให้อีเมลไม่ตก Spam

ปัญหาอีเมลตก Spam หรือถูก reject เป็นเรื่องที่ทำให้ธุรกิจเสียโอกาส ไม่ว่าจะเป็นอีเมลใบสั่งซื้อ แจ้งชำระเงิน หรือติดต่อลูกค้า ทางแก้ที่ถูกต้องและยั่งยืนคือการตั้งค่า SPF, DKIM และ DMARC ใน DNS ของโดเมนให้ครบและถูกต้อง บทความนี้จะอธิบายแต่ละระบบ พร้อมตัวอย่าง Record จริงที่นำไปใช้งานได้เลย

SPF คืออะไร ทำงานอย่างไร

SPF (Sender Policy Framework) คือมาตรฐาน DNS ที่บอกว่า IP หรือ server ไหน มีสิทธิ์ส่งอีเมลในนามโดเมนของคุณ เมื่อ mail server ปลายทางได้รับอีเมล จะ query TXT record ของโดเมนใน From/Return-Path แล้วเทียบกับ IP ที่ส่งมาจริง

ถ้า IP ที่ส่งอยู่ใน SPF Record → SPF pass | ถ้าไม่อยู่ → SPF fail/softfail ซึ่งทำให้คะแนน spam สูงขึ้น

SPF Record ทำงานอย่างไร

1. ผู้ส่งส่งอีเมลจาก IP 203.0.113.10 โดยอ้าง from: [email protected]
2. Mail server ปลายทาง query DNS: yourdomain.com TXT
3. ได้รับ SPF Record: v=spf1 ip4:203.0.113.0/24 ~all
4. ตรวจว่า 203.0.113.10 อยู่ใน 203.0.113.0/24 → ✅ Pass

DKIM คืออะไร ทำงานอย่างไร

DKIM (DomainKeys Identified Mail) คือระบบลายเซ็นดิจิทัลสำหรับอีเมล ทำงานด้วย Public/Private Key Pair — mail server ผู้ส่งเซ็นชื่อในอีเมลด้วย Private Key, ผู้รับตรวจด้วย Public Key ที่เผยแพร่ใน DNS

ข้อดีของ DKIM คือ ตรวจสอบความสมบูรณ์ของเนื้อหาอีเมลด้วย หากอีเมลถูกแก้ไขระหว่างทาง DKIM signature จะ invalid ทันที

DKIM Header ที่แนบมากับอีเมล

DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=yourdomain.com;
  s=mail2026; t=1725854400;
  bh=47DEQpj8HBSa+/TImW+5JCeuQeRkm5NMpJWZG3hSuFU=;
  h=From:To:Subject:Date;
  b=signature_value_here...

DMARC คืออะไร ทำงานอย่างไร

DMARC (Domain-based Message Authentication, Reporting and Conformance) คือนโยบายที่บอก mail server ปลายทางว่าจะ ทำอะไร กับอีเมลที่ SPF หรือ DKIM fail ไม่ผ่าน และส่งรายงานให้เจ้าของโดเมน

DMARC ต้องการให้ผล SPF หรือ DKIM align กับโดเมนใน From: header ด้วย ไม่ใช่แค่ผ่านอย่างใดอย่างหนึ่ง

นโยบาย DMARC 3 ระดับ

เปรียบเทียบ SPF vs DKIM vs DMARC

วิธีตั้งค่า SPF Record

SPF Record เป็น TXT Record ที่โดเมนหลัก (@) ขึ้นต้นด้วย v=spf1 เสมอ

ไวยากรณ์พื้นฐาน

v=spf1 [mechanism...] [all]

Mechanism ที่ใช้บ่อย

ตัวอย่าง SPF Record ทั่วไป

# ใช้ server mail ของตัวเองและ Google Workspace
v=spf1 mx include:_spf.google.com ~all

# ใช้ IP ตรงๆ + Gmail
v=spf1 ip4:203.0.113.10 include:_spf.google.com -all

# ใช้ AsiaGB Email
v=spf1 include:spf.asiagb.com ~all

วิธีเพิ่ม SPF ใน DirectAdmin

1. Login DirectAdmin → Email Manager → MX Records
2. หรือไปที่ DNS Management → เลือกโดเมน
3. เพิ่ม TXT Record: Name = @ หรือเว้นว่าง, Value = SPF string ของคุณ
4. บันทึกและรอ DNS propagate 0-48 ชั่วโมง

วิธีตั้งค่า DKIM Record

DKIM ต้องการ Key Pair ที่สร้างจาก mail server คุณต้อง:

1. สร้าง Private Key + Public Key บน mail server
2. ตั้งค่า mail server ให้เซ็น outgoing mail ด้วย Private Key
3. เผยแพร่ Public Key ผ่าน DNS TXT Record

รูปแบบ DKIM DNS Record

# ชื่อ Record (Name):
SELECTOR._domainkey.yourdomain.com

# ตัวอย่าง selector "mail2026":
mail2026._domainkey.yourdomain.com

# Value:
v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...

สร้าง DKIM Key ด้วย OpenSSL

# สร้าง Private Key (2048 bit RSA)
openssl genrsa -out dkim_private.pem 2048

# แปลง Public Key สำหรับ DNS
openssl rsa -in dkim_private.pem -pubout -out dkim_public.pem
openssl rsa -in dkim_private.pem -pubout | grep -v "PUBLIC KEY" | tr -d '\n'

ตัวอย่าง DKIM Record ใน DNS

วิธีตั้งค่า DMARC Record

DMARC Record เป็น TXT Record ที่ subdomain _dmarc ของโดเมนหลัก

รูปแบบ DMARC

# ชื่อ Record:
_dmarc.yourdomain.com

# ค่าเริ่มต้น (monitor mode):
v=DMARC1; p=none; rua=mailto:[email protected]; ruf=mailto:[email protected]; fo=1

# ระดับกลาง (quarantine):
v=DMARC1; p=quarantine; pct=50; rua=mailto:[email protected]

# เต็มประสิทธิภาพ (reject):
v=DMARC1; p=reject; rua=mailto:[email protected]; adkim=s; aspf=s

Tag ใน DMARC

แนวทาง Rollout DMARC แบบปลอดภัย

1. สัปดาห์ 1-2: p=none รับ Aggregate Report อ่านว่ามีอีเมลจากไหนบ้าง
2. สัปดาห์ 3-4: p=quarantine; pct=10 เริ่มบังคับ 10%
3. เดือน 2: p=quarantine; pct=100
4. เดือน 3+: p=reject บังคับเต็มที่

วิธีทดสอบและตรวจสอบการตั้งค่า

หลังตั้งค่าแล้ว ควรรอ DNS propagate 24-48 ชั่วโมงก่อนทดสอบจริง

เครื่องมือทดสอบที่แนะนำ

ตรวจสอบด้วย Command Line

# ตรวจ SPF
nslookup -type=TXT yourdomain.com

# ตรวจ DKIM (selector: mail2026)
nslookup -type=TXT mail2026._domainkey.yourdomain.com

# ตรวจ DMARC
nslookup -type=TXT _dmarc.yourdomain.com

# ด้วย dig
dig TXT yourdomain.com +short
dig TXT mail2026._domainkey.yourdomain.com +short
dig TXT _dmarc.yourdomain.com +short

สัญญาณว่าตั้งค่าถูกต้อง

• Header อีเมล: Authentication-Results: ... spf=pass dkim=pass dmarc=pass
• mail-tester.com ให้คะแนน ≥ 9/10
• MXToolBox ไม่แสดง error ที่ SPF, DKIM, DMARC
• DMARC Aggregate Report ไม่มีแหล่งอีเมล unknown

คำถามที่พบบ่อย (FAQ)