Đọc báo cáo tổng hợp DMARC

Hướng dẫn thao tác

Dành cho:: Quản trị viên không gian làm việc
Cần quyền:: deliverability:view, domains:managenhạy cảm
Trong ứng dụng:: Khả năng vào hộp thư, rồi Tình trạng

Báo cáo tổng hợp DMARC cho bạn biết những máy chủ nào đã gửi thư dưới tên miền của bạn và thư đó có đạt DMARC hay không. Hướng dẫn này chỉ cách thu thập báo cáo DMARC, đưa chúng vào ReputeCast và đọc chúng tại Khả năng vào hộp thư, rồi Tình trạng, để bạn có thể chuyển chính sách DMARC từ p=none sang quarantine hoặc reject mà không mất thư thật.

Các nhà cung cấp hộp thư hỗ trợ DMARC gửi những báo cáo này dưới dạng tệp XML, mặc định mỗi ngày một lần, đến các địa chỉ trong thẻ rua của bản ghi DMARC (RFC 7489, mục 6.3, kiểm tra tháng 10/2026). ReputeCast không có hộp thư riêng để nhận chúng: hoặc HostRepute thu thập và phân tích chúng cho bạn, hoặc bạn nhận chúng trong hộp thư của mình rồi tải lên.

Trước khi bắt đầu

Tên miền gửi thư của bạn đã công bố bản ghi DMARC. Nếu chưa, hãy bắt đầu với Cấu hình SPF, DKIM và DMARC.
Đọc báo cáo cần quyền deliverability:view, quyền mà mọi vai trò có sẵn đều có. Tải báo cáo lên cần quyền domains:manage (Chủ sở hữu và Quản trị viên).
Quyết định nơi nhận báo cáo: HostRepute, một hộp thư bạn sở hữu, hoặc cả hai. rua nhận nhiều địa chỉ, phân tách bằng dấu phẩy.

Thu thập báo cáo

Qua HostRepute

Kết nối HostRepute (Kết nối HostRepute). Trên thẻ DMARC chưa có dữ liệu, Dùng HostRepute làm rua đưa bạn đến đó.
Sao chép địa chỉ nhận báo cáo mà HostRepute cấp cho tài khoản của bạn. Thẻ DMARC hiển thị địa chỉ này (“báo cáo tổng hợp gửi đến …”), và bản ghi DMARC mà ReputeCast gợi ý sẽ có địa chỉ này dưới dạng rua=mailto:… khi đã kết nối HostRepute.
Thêm địa chỉ đó vào thẻ rua của bản ghi DMARC tại nhà cung cấp DNS.

HostRepute phân tích báo cáo, còn ReputeCast đọc kết quả của 7 ngày gần nhất trong lần đồng bộ hằng giờ.

Trong hộp thư của bạn

Thêm một hộp thư bạn sở hữu vào thẻ rua:
_dmarc.acme.io TXT
```
v=DMARC1; p=none; rua=mailto:[email protected]
```
Nếu hộp thư nằm trên một tên miền tổ chức khác với bản ghi DMARC, tên miền đó phải đồng ý nhận báo cáo bằng cách công bố một bản ghi TXT v=DMARC1 tại <your domain>._report._dmarc.<its domain>, ví dụ acme.io._report._dmarc.example.net. Thiếu bản ghi này, các nhà cung cấp hộp thư sẽ không gửi báo cáo đến đó (RFC 7489, mục 7.1, kiểm tra tháng 10/2026).
Lưu các tệp đính kèm báo cáo khi chúng đến. Chúng thường là tệp .xml.gz hoặc .zip.

Tải lên báo cáo

Mở Khả năng vào hộp thư, rồi Tình trạng. Khi chưa có báo cáo nào trong 7 ngày gần nhất, thẻ có tiêu đề Tóm tắt báo cáo DMARC với huy hiệu Chưa có báo cáo.
Chọn Tải lên báo cáo XML rồi chọn một tệp: báo cáo .xml, hoặc tệp .xml.gz hay .zip chứa nó. Tệp .zip phải chứa báo cáo .xml; ReputeCast đọc tệp đầu tiên bên trong. Tệp có thể lớn tới 20 MiB, cả khi nén lẫn khi đã giải nén.
Chọn Tải lên. Thông báo cho biết tổ chức đã gửi báo cáo, số thư và tên miền.

ReputeCast chỉ lưu số liệu của báo cáo: chính sách đã được công bố, và theo từng IP gửi thư là số thư, cách bên nhận đã xử lý, cùng kết quả SPF và DKIM. Tải lại cùng một báo cáo (cùng tổ chức và mã báo cáo) sẽ thay thế bản trước, nên không có gì bị đếm hai lần.

Nút tải lên chỉ có trên thẻ chưa có dữ liệu. Khi thẻ đã hiển thị báo cáo của 7 ngày gần nhất, hãy tải lên các báo cáo tiếp theo bằng thao tác API Upload a DMARC aggregate report. Thao tác này nhận tệp gốc và cần khóa API có quyền domains:manage:

curl -X POST "https://reputecast.example.com/api/v1/workspaces/acme-newsletter/deliverability/dmarc/reports" \
  -H "Authorization: Bearer $REPUTECAST_API_KEY" \
  -H "Content-Type: application/octet-stream" \
  --data-binary @report.xml.gz

Khi tải lên thành công, API trả về 201 cùng tổ chức, mã báo cáo, tên miền, khoảng thời gian và số thư. Xem Xác thực và khóa API để tạo khóa.

Đọc thẻ DMARC

Thẻ có tiêu đề Báo cáo DMARC · 7 ngày qua và tóm tắt mọi báo cáo có khoảng thời gian kết thúc trong 7 ngày gần nhất. Huy hiệu của thẻ là tỷ lệ đạt: tỷ lệ thư đạt DMARC nhờ SPF hoặc DKIM. Huy hiệu có màu xanh từ 98%, màu hổ phách từ 90%, và màu đỏ dưới mức đó.

Cột	Nội dung
Nguồn	Nhà cung cấp gửi thư với nhóm IP dùng chung của họ (`Amazon SES`), nhà cung cấp kèm IP với IP riêng (`Postal · 203.0.113.25`), hoặc `Không rõ · <IP>`.
Thư	Số thư từ nguồn đó trong các báo cáo.
SPF	`aligned` khi ít nhất một nửa số thư đạt SPF theo cách căn chỉnh với tên miền From; nếu không, là kết quả phổ biến nhất, như `fail`.
DKIM	Tương tự, cho DKIM.
Kết quả	`pass` khi SPF hoặc DKIM căn chỉnh. Nếu không, là `quarantined` hoặc `rejected` khi ít nhất một nửa số thư bị xử lý như vậy, còn lại là `fail`.

Chỉ thư có tên miền From thuộc không gian làm việc này mới được tính. Các nhà cung cấp gửi thư đã biết xếp trước, theo số lượng thư, rồi đến các nguồn lạ, được tô đỏ và đánh dấu “không phải nhà cung cấp của bạn”.

Điều tra một nguồn

Khi một nguồn lạ đã gửi thư dưới tên miền của bạn, thẻ thêm một dòng dưới bảng, ví dụ “Có người đang gửi thư dưới tên news.acme.io từ một máy chủ lạ; p=quarantine đã giữ thư đó ngoài hộp thư đến.” Với p=none, dòng này cho biết bên nhận vẫn có thể chuyển thư đó.

Chọn Điều tra nguồn.
Đọc hộp thoại: số thư và số báo cáo trong 7 ngày gần nhất, các ngày ghi nhận, những tổ chức đã báo cáo nguồn này, tên DNS ngược, các tên miền From đã dùng, kết quả SPF và DKIM cùng tên miền của chúng, và cách bên nhận đã xử lý thư (đã chuyển, đã cách ly hoặc đã từ chối).
Xác định nguồn đó là gì:
- Một dịch vụ bạn dùng, như CRM, hệ thống hỗ trợ khách hàng hoặc công cụ lập hóa đơn: thêm dịch vụ đó vào bản ghi SPF của tên miền và bật ký DKIM trong dịch vụ.
- Không phải của bạn: bạn không cần sửa gì. Nếu bên nhận vẫn chuyển thư đó, hãy nâng chính sách DMARC.

Chuyển sang quarantine hoặc reject

Hãy nâng chính sách khi mọi nguồn bạn nhận ra đều hiển thị aligned cho SPF hoặc DKIM, và chỉ còn các nguồn lạ không đạt. Microsoft khuyên chuyển dần từng bước, từ none sang quarantine rồi reject, để tránh mất thư (Microsoft, “Outlook’s new requirements for high-volume senders”, phần FAQ, kiểm tra tháng 10/2026).

Sửa các nguồn bạn nhận ra còn lại, như trong Điều tra một nguồn.
Đổi p=none thành p=quarantine trong bản ghi DMARC tại nhà cung cấp DNS. Giữ nguyên thẻ rua:
_dmarc.acme.io TXT
```
v=DMARC1; p=quarantine; rua=mailto:[email protected]
```
Theo dõi thẻ trong vài tuần. Thư không đạt giờ hiển thị quarantined ở cột Kết quả.
Khi không còn thư hợp lệ nào bị cách ly, đổi chính sách thành p=reject.

BIMI cần p=quarantine hoặc p=reject áp dụng cho mọi thư, nên đừng hạ pct xuống dưới 100 nếu bạn định hiển thị logo.

Kiểm tra kết quả

Trong bảng tên miền tại Cài đặt, rồi Người gửi, cột DMARC hiển thị chính sách mới. p=none hiển thị là cảnh báo, còn p=quarantine và p=reject hiển thị là đạt.
Trong Độ sẵn sàng gửi, dòng DMARC ghi, ví dụ, “DMARC p=quarantine, 99,6% thư được căn chỉnh trong 7 ngày qua”. Khi dưới 90% thư căn chỉnh, dòng này cảnh báo.
Thẻ tên miền trên tab Tình trạng hiển thị Căn chỉnh DMARC, 7 ngày với cùng tỷ lệ phần trăm.

Khắc phục sự cố

Không nhận được báo cáo nào. Kiểm tra địa chỉ rua có lỗi chính tả không và, với hộp thư trên tên miền khác, kiểm tra bản ghi _report._dmarc trong Trong hộp thư của bạn. Báo cáo thường được gửi mỗi ngày một lần, nên hãy chờ ít nhất một ngày sau khi công bố.
“Báo cáo này dành cho …, không phải tên miền gửi thư của không gian làm việc này.” Tên miền của báo cáo không có chung tên miền tổ chức với bất kỳ tên miền nào của không gian làm việc này. Hãy tải lên trong không gian làm việc gửi thư dưới tên miền đó, hoặc thêm tên miền trước.
“Đây không phải báo cáo tổng hợp DMARC: …” Chỉ báo cáo tổng hợp (rua) được chấp nhận. Báo cáo lỗi từ ruf và các tệp XML khác đều bị từ chối.
“Tệp zip không có báo cáo .xml nào.” Hãy giải nén tệp và tải lên tệp .xml.
Nút tải lên bị thiếu hoặc bị vô hiệu hóa. Thẻ đã hiển thị báo cáo của 7 ngày gần nhất (hãy dùng API), hoặc bạn không có quyền domains:manage; nút bị vô hiệu hóa cho biết ai có thể giúp bạn.
Amazon SES hoặc Postmark hiển thị là Không rõ. Báo cáo được tải lên thủ công; xem Nhóm IP dùng chung trong báo cáo tải lên.