Việc gửi và nhận email diễn ra hầu như mỗi ngày, nhưng hiếm khi nghĩ về cách thức hoạt động hoặc liệu quy trình đó có an toàn hay không. Tuy nhiên, việc chọn sai giao thức email có thể gây ra nhiều vấn đề từ không gian lưu trữ hạn chế trên máy tính cho đến vi phạm dữ liệu, mất lòng tin của khách hàng hoặc các miền bị chặn.

Hướng dẫn này phác thảo cách thức hoạt động của các giao thức email, giải thích sự khác biệt quan trọng giữa tính năng và bảo mật, đồng thời cung cấp danh sách kiểm tra cho các SMB.

Thuật ngữ nhanh về email

Các thuật ngữ xoay quanh email nghe rất giống nhau, nhưng sự phân biệt lại rất quan trọng. Dưới đây là những nội dung sẽ được thảo luận trong hướng dẫn này:

Trình quản lý email: Ứng dụng phần mềm dùng để đọc, viết và quản lý email, chẳng hạn như Outlook, Apple Mail và Proton Mail.

Giao thức email: Tập hợp các quy tắc quản lý cách email được truyền, nhận và được lưu trữ trên internet. Các giao thức cốt lõi như SMTP, IMAP và POP3 xử lý việc di chuyển vật lý của thư giữa các máy chủ và ứng dụng khách.

Giao thức bảo mật email: Lớp tiêu chuẩn bảo vệ nằm trên các giao thức email cốt lõi để đảm bảo quyền riêng tư và tính toàn vẹn của dữ liệu. Các giao thức này bao gồm các phương thức mã hóa như TLS (cho quá trình truyền tải) và S/MIME hoặc PGP (cho nội dung đầu cuối), cũng như các cơ chế phát hiện phần mềm độc hại hoặc thư rác.

Xác thực email: Quy trình xác minh rằng một email thực sự bắt nguồn từ miền mà email đó tuyên bố đại diện. Quy trình này dựa vào bộ ba SPF, DKIM và DMARC để hướng dẫn các máy chủ nhận thư về việc có nên tin cậy, gắn cờ hoặc từ chối thư hay không, giúp ngăn chặn giả mạo và lừa đảo.

Công cụ email marketing: Nền tảng được thiết kế để tạo, gửi và theo dõi các chiến dịch email hàng loạt, chẳng hạn như Mailchimp, HubSpot hoặc SendGrid. Các công cụ này sử dụng SMTP để gửi thư và phụ thuộc rất nhiều vào việc xác thực email thích hợp để đảm bảo tỷ lệ gửi thư thành công cao.

Giải thích về các giao thức email

1. Simple Mail Transfer Protocol (SMTP)

Khái niệm: Giao thức tiêu chuẩn để gửi email. SMTP xử lý quá trình chuyển thư từ trình quản lý email đến máy chủ và giữa các máy chủ.

Cách thức hoạt động: Trình quản lý email kết nối với máy chủ SMTP, xác thực và chuyển giao thư. Sau đó, máy chủ sẽ định tuyến thư đến miền của người nhận. Không thể gửi email nếu không có SMTP.

Lưu ý bảo mật: SMTP tiêu chuẩn gửi dữ liệu dưới dạng văn bản thuần túy. Nếu không có mã hóa (STARTTLS), dữ liệu kinh doanh nhạy cảm có thể bị chặn.

2. Internet Message Access Protocol (IMAP)

Khái niệm: Tiêu chuẩn hiện đại để nhận và quản lý email. IMAP giữ thư trên máy chủ và đồng bộ hóa thư trên tất cả các thiết bị.

Cách thức hoạt động: Khi kiểm tra email trên điện thoại, máy tính xách tay hoặc máy tính bảng, IMAP sẽ tìm nạp trạng thái mới nhất từ máy chủ trung tâm. Vì email được lưu trữ trên máy chủ nên nếu máy tính xách tay bị mất, lịch sử email vẫn an toàn. Tương tự, việc xóa email trên một thiết bị sẽ xóa email đó ở mọi nơi.

Lưu ý bảo mật: Vì dữ liệu nằm trên máy chủ nên việc xác thực và mã hóa mạnh mẽ là điều bắt buộc.

3. Post Office Protocol v3 (POP3)

Khái niệm: Một giao thức cũ hơn giúp tải xuống email về một thiết bị duy nhất và thường xóa email đó khỏi máy chủ.

Cách thức hoạt động: Trình quản lý email kết nối, tải xuống tất cả thư mới và ngắt kết nối. Máy chủ sẽ bị để trống. Giao thức này hiếm khi được khuyên dùng cho các doanh nghiệp hiện đại; nó tạo ra các kho chứa dữ liệu bị cô lập (nếu thiết bị gặp sự cố, lịch sử email sẽ bị mất) và vì tất cả email đều được tải xuống thiết bị, việc này có thể gây ra sự cố lưu trữ trên máy tính.

Lưu ý bảo mật: Việc thiếu tính năng dự phòng phía máy chủ khiến hệ thống dễ bị lỗi phần cứng và mất trộm. Giao thức rủi ro cao này không được khuyên dùng, đặc biệt là đối với các doanh nghiệp.

Đọc thêm: SMTP, IMAP và POP3 là gì?

SMTP và IMAP phục vụ các mục đích trái ngược nhau, nhưng một thiết lập email hoạt động hiệu quả yêu cầu cả hai giao thức. SMTP gửi thư đi, trong khi IMAP truy xuất thư đến. Hầu hết các nhà cung cấp email hiện đại đều ẩn sự phức tạp này, và phần mềm sẽ tự động định cấu hình cả cài đặt SMTP và IMAP trong nền. Người dùng hiếm khi phải nghĩ về việc đang sử dụng giao thức nào — phần mềm chỉ đơn giản là xử lý cả hai cùng một lúc.

Giao thức bảo mật email

Các giao thức email di chuyển và lưu trữ thư, nhưng các giao thức bảo mật email là các hệ thống giữ cho email, người gửi và người nhận được an toàn. Chúng được chia thành hai danh mục: các giao thức mã hóa dữ liệu để giữ riêng tư và các giao thức xác thực người gửi để chứng minh danh tính.

Giao thức mã hóa

Transport Layer Security (TLS): Mã hóa kết nối giữa các máy chủ thư khi email truyền qua internet. Hầu hết các nhà cung cấp email hiện đại đều thực thi TLS theo mặc định.

STARTTLS: Lệnh nâng cấp kết nối không được mã hóa hiện có thành kết nối TLS an sau. Nếu phía bên kia không hỗ trợ, kết nối sẽ quay trở lại dạng văn bản thuần túy, đây là một lỗ hổng bảo mật tiềm ẩn.

Secure/Multipurpose Internet Mail Extensions (S/MIME): Cung cấp mã hóa đầu cuối và chữ ký số ở cấp độ thư. Giao thức này yêu cầu cả người gửi và người nhận trao đổi chứng thư số, khiến nó trở nên phổ biến hơn trong môi trường doanh nghiệp.

Pretty Good Privacy (PGP) / GNU Privacy Guard (GPG): Một phương thức mã hóa đầu cuối và chữ ký số khác mang lại quyền riêng tư mạnh mẽ. Thay vì chứng thư, PGP sử dụng mô hình mạng lưới tin cậy nơi người dùng trực tiếp trao đổi các khóa công khai.

Giao thức xác thực

Sender Policy Framework (SPF): Cho phép chủ sở hữu miền xuất bản danh sách các địa chỉ IP được ủy quyền được phép gửi email thay mặt cho miền đó. Khi máy chủ nhận nhận được một thư, máy chủ đó sẽ kiểm tra IP của người gửi so với danh sách này. Nếu IP không có trong danh sách, email sẽ không vượt qua SPF.

DomainKeys Identified Mail (DKIM): Thêm chữ ký mã hóa vào mỗi email gửi đi, liên kết với miền gửi. Máy chủ nhận sẽ xác minh chữ ký này so với khóa công khai được công bố trong các bản ghi DNS của người gửi.

Domain-based Message Authentication, Reporting, and Conformance (DMARC): Liên kết SPF và DKIM lại với nhau và cho phép chủ sở hữu miền kiểm soát những gì xảy ra khi xác thực không thành công. Thông qua chính sách DMARC, có thể hướng dẫn các máy chủ nhận chấp nhận, cách ly hoặc từ chối các thư bị lỗi, đồng thời nhận được các báo cáo hiển thị những ai đang cố gắng gửi email trái phép từ miền.

Tại sao điều này quan trọng đối với các SMB

Nếu không có các giao thức bảo mật được xếp lớp trên các giao thức cốt lõi, sẽ có nguy cơ gặp phải:

  1. Giả mạo: Kẻ tấn công có thể dễ dàng mạo danh miền để lừa đảo khách hàng
  2. Đánh chặn: Lưu lượng không được mã hóa cho phép tin tặc đọc email trong quá trình truyền tải
  3. Đưa vào danh sách đen: Xác thực kém dẫn đến việc miền bị gắn cờ là thư rác

Cùng với nhau, các giao thức bảo mật email này tạo ra một hệ thống phòng thủ nhiều lớp—mã hóa giúp ngăn chặn những con mắt tò mò nhòm ngó nội dung, và xác thực đảm bảo email thực sự đến từ người gửi được khai báo.

Cách các giao thức ảnh hưởng đến sự thành công của email marketing

Đối với các doanh nghiệp vừa và nhỏ, email marketing đưa ra một khó khăn: người dùng có thể không phải là người trực tiếp gửi email. Việc sử dụng công cụ tiếp thị hay tự chạy các chiến dịch sẽ quyết định những gì cần có trách nhiệm bảo mật.

Nếu sử dụng một công cụ tiếp thị

Các nền tảng như Mailchimp, HubSpot và SendGrid xử lý cơ sở hạ tầng gửi, bao gồm các máy chủ SMTP và mã hóa. Nhưng họ không thể thay mặt để xác thực miền. Phần việc đó là của người dùng.

Khi một công cụ tiếp thị gửi một email bằng miền của người dùng, ví dụ: newsletter@yourcompany.com, máy chủ của người nhận vẫn kiểm tra các bản ghi xác thực của miền:

  • SPF: Phải bao gồm các IP gửi của công cụ tiếp thị để máy chủ của người nhận biết rằng chúng được ủy quyền gửi thay mặt cho người dùng.
  • DKIM: Công cụ tiếp thị ký email bằng một khóa mã hóa, nhưng người dùng phải xuất bản khóa công khai tương ứng trong các bản ghi DNS để người nhận có thể xác minh.
  • DMARC: Yêu cầu các máy chủ nhận biết phải làm gì nếu SPF hoặc DKIM thất bại, và gửi báo cáo để có thể giám sát việc sử dụng trái phép miền.

Hầu hết các công cụ tiếp thị có uy tín đều hướng dẫn người dùng thực hiện thiết lập DNS này trong quá trình làm quen. Nếu công cụ đang dùng không làm vậy, đó là một dấu hiệu cảnh báo.

Nếu tự chạy chiến dịch

Việc gửi email hàng loạt từ máy chủ SMTP riêng sẽ đặt toàn bộ trách nhiệm lên người dùng. Cần phải:

  • Định cấu hình máy chủ SMTP để sử dụng TLS/STARTTLS cho quá trình truyền tải đã mã hóa
  • Thiết lập các bản ghi SPF, DKIM và DMARC cho miền
  • Giám sát danh tiếng người gửi — các máy chủ SMTP dùng chung hoặc được quản lý kém là con đường phổ biến dẫn đến việc bị đưa vào danh sách đen
  • Bắt đầu với dung lượng gửi thấp và tăng dần theo thời gian để xây dựng lòng tin với các nhà cung cấp hộp thư đến

Cách tiếp cận này mang lại nhiều quyền kiểm soát hơn nhưng đòi hỏi chuyên môn kỹ thuật cao hơn và bảo trì liên tục nhiều hơn đáng kể. Đối với hầu hết các SMB, một công cụ tiếp thị uy tín là đường dẫn an toàn và đơn giản hơn.

Quyền sở hữu dữ liệu và tính liên tục trong kinh doanh

Đối với một doanh nghiệp vừa và nhỏ, email không chỉ là phương tiện liên lạc; đó còn là hồ sơ giao dịch, thỏa thuận và mối quan hệ với khách hàng.

Bẫy POP3: Nếu đội ngũ sử dụng POP3 và máy tính xách tay của nhân viên gặp sự cố, có thể mất vĩnh viễn thư từ trong nhiều năm vì dữ liệu chưa từng được lưu trên máy chủ.

Ưu điểm của IMAP: Bằng cách giữ email trên máy chủ, đảm bảo rằng dữ liệu sẽ tồn tại qua các lỗi phần cứng và sự thay đổi nhân sự. Điều này cũng cho phép các quản trị viên lưu trữ và tìm kiếm các thông tin liên lạc để kiểm toán tuân thủ.

Ngay cả khi POP3 mang lại cảm giác rẻ hơn hoặc đơn giản hơn, nguy cơ mất dữ liệu kinh doanh quan trọng vẫn khiến IMAP trở thành lựa chọn an toàn nhất cho một công ty đang phát triển.

Danh sách kiểm tra bảo mật giao thức email cho các SMB

Đã sẵn sàng bảo mật cơ sở hạ tầng email? Hãy làm theo hướng dẫn từng bước sau:

  1. Kiểm tra thiết lập hiện tại:
    • Có đang sử dụng TLS/STARTTLS cho tất cả các kết nối không? (Kiểm tra cài đặt của nhà cung cấp).
    • Có còn đang sử dụng POP3 không? Nếu có, hãy lên kế hoạch di chuyển sang IMAP ngay lập tức.
  2. Triển khai các bản ghi xác thực:
    • Đăng nhập vào nhà cung cấp DNS.
    • Thêm bản ghi SPF (bao gồm tất cả các IP gửi được ủy quyền).
    • Tạo và xuất bản khóa DKIM.
    • Thiết lập chính sách DMARC (bắt đầu bằng việc giám sát).
  3. Bảo mật hệ thống tiếp thị:
    • Đảm bảo nền tảng email marketing được cấu hình để gửi qua miền email tùy chỉnh, chứ không phải một tên miền phụ chung chung.
    • Xác minh rằng miền vượt qua tất cả ba kiểm tra xác thực trước khi gửi các chiến dịch hàng loạt.
  4. Thử nghiệm và giám sát:
    • Gửi email thử nghiệm đến Gmail, Outlook và Yahoo.
    • Xem tiêu đề email để xác nhận xác thực đã thành công.
    • Đăng ký nhận báo cáo tổng hợp DMARC để giám sát việc sử dụng trái phép.

Đừng đợi cho đến khi xảy ra vi phạm hoặc sự cố bị đưa vào danh sách đen mới kiểm tra cơ sở hạ tầng email. Hãy bắt đầu với danh sách kiểm tra ở trên và xây dựng một hệ thống hỗ trợ sự phát triển kinh doanh một cách an toàn.

Cần hỗ trợ triển khai mã hóa đầu cuối hoặc bảo mật email doanh nghiệp? Hãy khám phá các giải pháp doanh nghiệp của Proton để có được quyền riêng tư và bảo mật cấp doanh nghiệp.