วิธีตั้งค่า DMARC SPF DKIM เพื่อสร้างระบบยืนยันอีเมลแบบ Zero Trust บน G Suite

Overview — Overview

การปกป้องอีเมลจากฟิชชิ่งและสแปมต้องเริ่มจาก “Zero Trust” ที่ไม่เชื่อถือใครโดยอัตโนมัติ บน G Suite เราตั้งค่า SPF, DKIM และ DMARC เพื่อให้ทุกข้อความผ่านการตรวจสอบอย่างเข้มงวด ระบบนี้ทำให้ผู้รับสามารถยืนยันว่าข้อความมาจากโดเมนที่ได้รับอนุญาตจริง ๆ

ทำความเข้าใจ Zero Trust Email — Zero Trust Email

Zero Trust คือแนวคิดว่าไม่มีอีเมลใดเชื่อถือได้โดยไม่ได้ตรวจสอบแหล่งที่มาและความสมบูรณ์ของเนื้อหา การรวม SPF, DKIM และ DMARC จะสร้าง “สามเสา” ที่ทำหน้าที่ดังนี้

• SPF ตรวจสอบ IP ของผู้ส่งว่าถูกอนุญาตให้ส่งเมลจากโดเมนหรือไม่
• DKIM ลงลายเซ็นดิจิทัลกับเนื้อหาเพื่อยืนยันความสมบูรณ์และแหล่งที่มาของอีเมล
• DMARC กำหนดนโยบายการจัดการเมลที่ล้มเหลวในการตรวจสอบ SPF/DKIM

เตรียมพร้อม G Suite และ DNS — Prerequisites

ก่อนเริ่มตั้งค่าเราต้องมีสิ่งต่อไปนี้เพื่อให้กระบวนการราบรื่น

• บัญชีผู้ดูแล G Suite (Google Workspace) ที่มีสิทธิ์จัดการโดเมน
• การเข้าถึงแผง DNS ของผู้ให้บริการ (เช่น Cloudflare, GoDaddy หรือผู้ให้บริการโฮสติ้งของคุณ)
• โดเมนที่ต้องการใช้สำหรับส่งอีเมลและยืนยันความเป็นเจ้าของ

Tip: ควรบันทึกค่า DNS ปัจจุบันทั้งหมดก่อนแก้ไข เพื่อสามารถกู้คืนได้หากเกิดข้อผิดพลาด

ตั้งค่า SPF — SPF Setup

ขั้นตอนการเพิ่มเรคคอร์ด SPF บน DNS ของคุณ

• **ขั้นตอนที่ 1: เข้าสู่แผงจัดการ DNS ของโดเมน
• **ขั้นตอนที่ 2: สร้างหรือแก้ไขเรคคอร์ดประเภท TXT ชื่อ “@” หรือชื่อโฮสต์ของโดเมน
• **ขั้นตอนที่ 3: ใส่ค่า SPF ที่รวม Google‑mail servers

``` v=spf1 include:_spf.google.com ~all ```

• **ขั้นตอนที่ 4: บันทึกและรอการกระจาย DNS (โดยทั่วไปใช้เวลาประมาณ 5–30 นาที)
• **ขั้นตอนที่ 5: ตรวจสอบด้วยเครื่องมือออนไลน์ เช่น MXToolbox หรือ dig เพื่อตรวจว่ามีเรคคอร์ดแสดงผลถูกต้อง

ข้อควรระวัง: อย่าใส่หลาย SPF record; ควรมีเพียงหนึ่งรายการเท่านั้น มิฉะนั้นจะทำให้การตรวจสอบล้มเหลว

ตั้งค่า DKIM — DKIM Setup

Google Workspace มีฟีเจอร์สร้างคีย์ DKIM อัตโนมัติ เราตั้งค่าดังนี้

• **ขั้นตอนที่ 1: เข้าสู่ Admin console แอป  Google Workspace Gmail Authenticate email (DKIM)
• **ขั้นตอนที่ 2: เลือกโดเมนที่ต้องการเปิดใช้งาน แล้วคลิก “Generate new record”
• **ขั้นตอนที่ 3: กำหนด selector (ค่าเริ่มต้นคือ “google”) และความยาวคีย์ (เลือก 2048‑bit เพื่อความปลอดภัยสูงสุด)
• **ขั้นตอนที่ 4: ระบบจะแสดงค่า TXT ที่ต้องเพิ่มใน DNS:

``` selector._domainkey.yourdomain.com IN TXT "v=DKIM1; k=rsa; p=PUBLIC_KEY" ```

• **ขั้นตอนที่ 5: เพิ่มเรคคอร์ดนี้ลงในแผง DNS แล้วบันทึก
• **ขั้นตอนที่ 6: กลับไปที่ Admin console กด “Start authentication” เพื่อให้ Google เริ่มใช้คีย์ DKIM

Tip: หลังเปิดใช้งาน ให้ส่งอีเมลทดสอบไปยัง Gmail หรือ Outlook ตรวจสอบหัวข้อ “DKIM‑Signature” ในส่วน Header

ตั้งค่า DMARC — DMARC Setup

DMARC กำหนดนโยบายว่าต้องทำอย่างไรกับเมลที่ไม่ผ่าน SPF/DKIM

• **ขั้นตอนที่ 1: สร้างเรคคอร์ด TXT ชื่อ “_dmarc” ของโดเมน
• **ขั้นตอนที่ 2: ใส่นโยบายเริ่มต้นเป็น “none” เพื่อเก็บข้อมูลก่อนเปลี่ยนนโยบายจริง

``` v=DMARC1; p=none; rua=mailto:[email protected]; ruf=mailto:[email protected]; pct=100 ```

• **ขั้นตอนที่ 3: บันทึกและรอการกระจาย DNS
• **ขั้นตอนที่ 4: ตรวจสอบรายงาน DMARC ที่ได้รับในกล่องเมลที่กำหนด (rua, ruf) ใช้เครื่องมือเช่น “DMARC Analyzer” หรือ “Postmark DMARC Viewer” เพื่ออ่านข้อมูล

เมื่อเข้าใจพฤติกรรมของผู้ส่งแล้วค่อยเปลี่ยนนโยบายเป็นขั้นสุดท้าย

• **ขั้นตอนที่ 5: แก้ไขค่า p เป็น “quarantine” หรือ “reject” ตามระดับความเสี่ยง

``` p=quarantine ```

หรือ

``` p=reject ```

ข้อควรระวัง: อย่าเปลี่ยนเป็น “reject” ทันที หากยังมีผู้ส่งที่ไม่ได้อัพเดต SPF/DKIM จะทำให้เมลสำคัญถูกบล็อก

ตรวจสอบและเฝ้าติดตาม — Monitoring

การตั้งค่าเสร็จสิ้นต้องมีระบบตรวจสอบต่อเนื่องเพื่อรักษา Zero Trust

• ใช้รายงาน DMARC เพื่อดูเปอร์เซ็นต์ของอีเมลที่ผ่าน/ไม่ผ่าน SPF/DKIM
• ตั้งค่าการแจ้งเตือนเมื่อ “pct” ของอีเมลที่ล้มเหลวเกินค่าเฉพาะ (เช่น > 5 %)
• ตรวจสอบบันทึกการส่งจาก Google Workspace Admin console เพื่อหา IP ที่ไม่ได้รับอนุญาต

Tip: ควรรีวิวรายงานอย่างน้อยสัปดาห์ละ 1 ครั้งและปรับค่า SPF/DKIM ตามผลลัพธ์

Tips & Common Pitfalls — Tips

• อย่าลืมเพิ่มทุก IP ของบริการภายนอก (เช่น Mailchimp, SendGrid) ลงใน SPF ก่อนทำการส่งเมลจริง
• ใช้คีย์ DKIM ความยาว 2048‑bit เพื่อลดความเสี่ยงจากการถอดรหัสโดยผู้โจมตี
• หากใช้หลายโดเมน ส่งอีเมลจาก sub‑domains ควรกำหนด SPF/DKIM/DMARC แยกตามแต่ละโดเมนเพื่อป้องกัน “domain spoofing”

สำคัญ: การตั้งค่า DMARC เป็น “reject” ก่อนที่ทุกระบบส่งเมลจะอัพเดต อาจทำให้ธุรกิจสูญเสียการสื่อสารกับลูกค้าได้

Summary — Summary

• ตั้งค่า SPF ให้รวม Google‑mail servers และบริการภายนอกทั้งหมด
• สร้างคีย์ DKIM ผ่าน Admin console แล้วเพิ่มเรคคอร์ด TXT ใน DNS
• เริ่มต้น DMARC ด้วยนโยบาย “none” เก็บข้อมูลแล้วค่อยปรับเป็น “quarantine” หรือ “reject” ตามผลการทดสอบ
• เฝ้าติดตามรายงาน DMARC อย่างสม่ำเสมอ ปรับค่า SPF/DKIM เมื่อพบแหล่งส่งใหม่

สิ่งที่ควรจำ

• Zero Trust Email ต้องใช้ทั้ง SPF, DKIM และ DMARC ร่วมกันเป็นฐานความปลอดภัย
• ตรวจสอบ DNS ทุกครั้งหลังแก้ไขเพื่อยืนยันว่าเรคคอร์ดเผยแพร่ถูกต้อง
• เริ่มจากนโยบาย “none” แล้วค่อยเพิ่มความเข้มงวดเพื่อหลีกเลี่ยงการบล็อกเมลที่สำคัญ

ด้วยขั้นตอนเหล่านี้ G Suite ของคุณจะมีระบบอีเมลแบบ Zero Trust ที่เชื่อถือได้ ลดความเสี่ยงจากฟิชชิ่งและสแปมอย่างมีประสิทธิภาพ.