THAI DATA CLOUD
Email

DMARC ตั้งครบแล้ว ขั้นต่อไปคืออะไร? รู้จัก MTA-STS, TLS-RPT, BIMI และ ARC

DMARC ตั้งครบแล้ว ขั้นต่อไปของ Email Security คือ MTA-STS, TLS-RPT, BIMI และ ARC อธิบายการทำงาน ตัวอย่าง DNS Record จริง และลำดับที่องค์กรไทยควรเริ่ม

โดย ทีมงาน THAI DATA CLOUD อัปเดต อ่าน 10 นาที

แชร์FacebookXLINELinkedIn
DMARC และมาตรฐาน Email Security ขั้นถัดไป

DMARC ร่วมกับ SPF และ DKIM ช่วยยืนยันว่าอีเมลมาจากโดเมนของคุณจริง แต่ยังไม่ได้ป้องกันทุกเรื่อง ขั้นต่อไปของ Email Security มี 4 มาตรฐาน คือ MTA-STS บังคับให้การส่งอีเมลระหว่างเซิร์ฟเวอร์ต้องเข้ารหัส TLS, TLS-RPT ส่งรายงานเมื่อการเข้ารหัสล้มเหลว, BIMI แสดงโลโก้แบรนด์ในกล่องจดหมายของผู้รับ และ ARC รักษาผลการยืนยันตัวตนเมื่ออีเมลถูกส่งต่อผ่านระบบกลาง ลำดับที่แนะนำสำหรับองค์กรส่วนใหญ่คือ TLS-RPT และ MTA-STS ก่อน แล้วค่อยพิจารณา BIMI

DMARC ป้องกันอะไร และไม่ได้ป้องกันอะไร

DMARC ตรวจว่าโดเมนใน From ผ่าน SPF หรือ DKIM แบบ Align และบอกผู้รับว่าจะทำอย่างไรกับอีเมลที่ไม่ผ่าน จึงป้องกันการปลอมโดเมนได้ดี แต่มีช่องว่างที่ DMARC ไม่ครอบคลุม

  • การดักอ่านระหว่างทาง: SMTP ระหว่างเซิร์ฟเวอร์ใช้ STARTTLS แบบ Opportunistic ผู้โจมตีที่อยู่กลางเส้นทางสามารถตัดคำสั่ง STARTTLS ออก ทำให้อีเมลส่งแบบไม่เข้ารหัสได้
  • การส่งต่ออีเมล: เมื่อ Mailing List หรือระบบกรองอีเมลแก้ไขอีเมลแล้วส่งต่อ DKIM อาจเสียและ DMARC ไม่ผ่าน ทั้งที่อีเมลเป็นของจริง
  • ความน่าเชื่อถือในสายตาผู้รับ: ผู้รับไม่เห็นว่าอีเมลผ่านการยืนยันแล้ว

TLS-RPT: เริ่มจากการมองเห็นปัญหา

TLS-RPT (SMTP TLS Reporting, RFC 8460) ให้เซิร์ฟเวอร์ผู้ส่งส่งรายงานรายวันเมื่อเชื่อมต่อ TLS มายังโดเมนของคุณไม่สำเร็จ ตั้งค่าได้ด้วย TXT Record เดียวและไม่กระทบการรับอีเมล จึงควรทำเป็นอันดับแรก

_smtp._tls.example.com.  TXT  "v=TLSRPTv1; rua=mailto:[email protected]"

รายงานเป็นไฟล์ JSON ที่บอกจำนวนการเชื่อมต่อสำเร็จและล้มเหลว พร้อมสาเหตุ เช่น Certificate หมดอายุ หรือชื่อไม่ตรงกับ MX

MTA-STS: บังคับให้การส่งอีเมลต้องเข้ารหัส

MTA-STS (RFC 8461) ให้โดเมนประกาศว่าเซิร์ฟเวอร์ที่ส่งอีเมลเข้ามาต้องใช้ TLS และต้องเชื่อมต่อเฉพาะ MX ที่กำหนดเท่านั้น ประกอบด้วย 2 ส่วน

ส่วนที่ 1: DNS Record

_mta-sts.example.com.  TXT  "v=STSv1; id=20261001"

ค่า id ต้องเปลี่ยนทุกครั้งที่แก้ไฟล์ Policy

ส่วนที่ 2: ไฟล์ Policy ผ่าน HTTPS

วางไฟล์ไว้ที่ https://mta-sts.example.com/.well-known/mta-sts.txt

version: STSv1
mode: testing
mx: mail.example.com
max_age: 86400

เริ่มจาก mode: testing ซึ่งยังรับอีเมลตามปกติแต่ส่งรายงานผ่าน TLS-RPT เมื่อรายงานไม่พบปัญหาต่อเนื่องหลายสัปดาห์ จึงเปลี่ยนเป็น mode: enforce และเพิ่ม max_age ให้ยาวขึ้น

ข้อควรระวัง: Subdomain mta-sts ต้องมี TLS Certificate ที่ถูกต้อง และต้องต่ออายุอัตโนมัติ ถ้า Certificate หมดอายุ ผู้ส่งจะดึง Policy ไม่ได้

BIMI: แสดงโลโก้แบรนด์ในกล่องจดหมาย

BIMI (Brand Indicators for Message Identification) ให้ผู้ให้บริการอีเมลที่รองรับแสดงโลโก้ขององค์กรข้างชื่อผู้ส่ง เงื่อนไขหลักคือ

  • DMARC ต้องอยู่ที่ p=quarantine หรือ p=reject เท่านั้น ใช้ p=none ไม่ได้
  • โลโก้ต้องเป็นไฟล์ SVG ตามโปรไฟล์ SVG Tiny PS
  • ผู้ให้บริการหลายรายต้องการใบรับรอง VMC หรือ CMC ซึ่งมีค่าใช้จ่ายและมักต้องใช้เครื่องหมายการค้าที่จดทะเบียนแล้ว [ตรวจสอบ: เงื่อนไขของผู้ให้บริการแต่ละราย]
default._bimi.example.com.  TXT  "v=BIMI1; l=https://example.com/bimi/logo.svg; a=https://example.com/bimi/vmc.pem"

BIMI ไม่ได้เพิ่มความปลอดภัยทางเทคนิคโดยตรง แต่เป็นแรงจูงใจที่ดีในการยกระดับ DMARC ให้เข้มงวดถึงระดับ Enforcement

ARC: รักษาผลการยืนยันเมื่ออีเมลถูกส่งต่อ

ARC (Authenticated Received Chain, RFC 8617) ให้ระบบกลาง เช่น Mailing List หรือ Email Security Gateway บันทึกผล SPF, DKIM และ DMARC ที่ตรวจได้ก่อนแก้ไขอีเมล แล้วเซ็นกำกับไว้ ผู้รับปลายทางที่เชื่อถือระบบกลางนั้นจะนำผลเดิมมาประกอบการตัดสินใจได้

ARC เป็นเรื่องของผู้ดูแลระบบกลาง ไม่ใช่ DNS Record ที่เจ้าของโดเมนตั้งเอง ถ้าองค์กรใช้ระบบกรองอีเมลที่แก้ไขข้อความ เช่น เพิ่ม Disclaimer หรือเขียน URL ใหม่ ควรตรวจว่าระบบนั้นรองรับ ARC

ถ้าอีเมลยังเข้า Spam แม้ตั้ง DMARC แล้ว ให้ไล่ตรวจตาม Checklist ข้อกำหนด Bulk Sender และถ้าอุปกรณ์ภายในส่งอีเมลไม่ออก ดูทางเลือกได้ที่ SMTP หลังเปลี่ยนเป็น OAuth 2.0

ลำดับที่องค์กรควรเริ่มหลังตั้ง DMARC

ลำดับ มาตรฐาน ความยาก ผลกระทบถ้าตั้งผิด
1 TLS-RPT ง่าย ไม่มี
2 MTA-STS (testing) ปานกลาง ไม่มี
3 DMARC จาก p=none ไป p=reject ปานกลาง อีเมลจริงถูกปฏิเสธได้ถ้ามีระบบที่ยังไม่ผ่าน
4 MTA-STS (enforce) ปานกลาง อีเมลขาเข้าอาจตกหล่นถ้า Certificate หรือ MX ผิด
5 BIMI ยาก มีค่าใช้จ่าย ไม่กระทบการส่ง
6 ARC ขึ้นกับระบบกลาง ไม่กระทบการส่ง

ตรวจผลด้วยคำสั่ง

dig TXT _dmarc.example.com +short
dig TXT _mta-sts.example.com +short
dig TXT _smtp._tls.example.com +short
curl -s https://mta-sts.example.com/.well-known/mta-sts.txt

คำถามที่พบบ่อย

ต้องตั้ง DMARC เป็น p=reject ก่อนทำ MTA-STS ไหม?

ไม่จำเป็น เพราะทั้งสองทำหน้าที่ต่างกัน DMARC ป้องกันการปลอมโดเมน ส่วน MTA-STS ป้องกันการดักอ่านระหว่างทาง ทำคู่ขนานกันได้

MTA-STS ต่างจาก DANE อย่างไร?

ทั้งสองบังคับใช้ TLS สำหรับ SMTP แต่ DANE ต้องใช้ DNSSEC ส่วน MTA-STS ใช้ HTTPS และ Certificate แบบปกติ จึงตั้งค่าง่ายกว่าสำหรับโดเมนที่ยังไม่มี DNSSEC

BIMI ทำให้อีเมลเข้า Inbox มากขึ้นไหม?

ไม่ได้รับประกัน BIMI เป็นเรื่องการแสดงผล แต่เงื่อนไขที่ต้องมี DMARC แบบ Enforcement ช่วยลดการปลอมแปลง ซึ่งส่งผลดีต่อ Reputation ในระยะยาว

ต้องอ่าน DMARC Report อย่างไร?

DMARC Aggregate Report เป็นไฟล์ XML บอกว่ามี IP ใดส่งอีเมลในนามโดเมนของคุณ และผ่านหรือไม่ผ่าน SPF, DKIM ให้ใช้เครื่องมืออ่าน Report แทนการเปิดไฟล์เอง เพื่อหาระบบที่ยังตั้งค่าไม่ครบ

สรุป

DMARC เป็นฐานของ Email Security แต่ยังมีช่องว่างเรื่องการเข้ารหัสระหว่างทางและการส่งต่ออีเมล ให้เริ่มจาก TLS-RPT และ MTA-STS แบบ testing ซึ่งไม่กระทบการรับอีเมล จากนั้นยกระดับ DMARC เป็น p=reject แล้วค่อยพิจารณา BIMI และ ARC ตามความพร้อม

THAI DATA CLOUD ให้บริการ Private Mail Server และ Anti Spam Gateway ที่ช่วยตั้งค่า DMARC และมาตรฐานความปลอดภัยของอีเมลให้ถูกต้อง [ตรวจสอบ: บริการรองรับ MTA-STS, TLS-RPT และ ARC หรือไม่] ปรึกษาทีมได้ที่ ติดต่อ THAI DATA CLOUD

แท็กARCBIMIDMARCEmail SecurityMTA-STSTLS-RPT
แชร์FacebookXLINELinkedIn

มีคำถามเรื่องบริการ? ติดต่อทีมงาน