สถานะ DMARC ปี 2026 — ประเทศไทย

สามในสี่ของโดเมนไทยถูกปลอมแปลงทางอีเมลได้

Spoofhound สแกนเว็บไทย: โดเมนที่รับอีเมลได้ 2,085 โดเมน จากเว็บไซต์ยอดนิยมของไทย รวมถึงธุรกิจท้องถิ่นและหน่วยงานรัฐที่ปรากฏบนแผนที่ ตรวจสอบด้วยเอนจินเดียวกับที่ใช้ในบริการตรวจสอบโดเมนฟรีของเรา

ตรวจสอบโดเมนของคุณ — ฟรี

ประเด็นหลัก

สามในสี่ของโดเมนไทยที่รับอีเมลได้ถูกปลอมแปลงได้ จาก 2,085 โดเมนที่รับอีเมลได้ซึ่งเราตรวจสอบ มี 1,574 โดเมน (75.5%) ที่ไม่มีนโยบาย DMARC แบบบังคับใช้ ไม่ว่าจะไม่มีระเบียนเลย ตั้งไว้แค่เฝ้าดู หรือระเบียนเสีย ระบบอีเมลปลายทางจึงไม่เคยได้รับคำสั่งให้บล็อกอีเมลปลอมที่ส่งในนามของโดเมนเหล่านี้

ตัวเลขสามตัวที่บอกเรื่องราวทั้งหมด:

•24.5% บังคับใช้ DMARC เท่ากับสหราชอาณาจักร (24.5%) ตามหลังอินเดีย (24.9%) เพียงเล็กน้อย และนำหน้าไต้หวัน (20.8%) และเวียดนาม (18.9%) ดูการเปรียบเทียบทุกประเทศที่เราวัดผล
•ภาครัฐ: 58.3% ไม่มีระเบียน DMARC จากโดเมนภาครัฐและสถาบันการศึกษา 612 โดเมนที่เราระบุได้ มากกว่าครึ่งไม่มีระเบียนเลย ซึ่งเป็นสัดส่วนที่สูงกว่าธุรกิจขนาดเล็กของไทย (46.5%) และมีเพียง 5.4% ที่ใช้ p=reject
•ธุรกิจขนาดเล็ก: 18.2% ธุรกิจไทยที่มีหนึ่งถึงสามสาขาบังคับใช้ DMARC ที่ 18.2% และ 81.4% ไม่มีระเบียนหรือหยุดอยู่ที่ p=none

โดเมนไทยโดยเฉลี่ยได้คะแนน 30.9 จาก 100 ในการตรวจสอบความปลอดภัยอีเมลแบบครบถ้วน และ 84.3% มีปัญหาที่ควรแก้ไขอย่างน้อยหนึ่งข้อ

DMARC บนเว็บไทย

75% ของโดเมนไทยที่รับอีเมลได้เปิดช่องให้ถูกปลอมแปลง

1,574 จาก 2,085 โดเมนที่ตรวจสอบไม่มีนโยบาย DMARC แบบบังคับใช้

ไม่มีระเบียน DMARC

963 · 46.2%

เฝ้าดูอย่างเดียว (p=none)

602 · 28.9%

ระเบียนเสียหรือซ้ำซ้อน

9 · 0.4%

p=quarantine

342 · 16.4%

p=reject

169 · 8.1%

สีแดง: ผู้รับไม่เคยได้รับคำสั่งให้บล็อกอีเมลปลอม · สีเขียว: อีเมลจากผู้แอบอ้างถูกกักกันหรือถูกปฏิเสธ

ผลการสแกนของ Spoofhound จากโดเมนไทยที่รับอีเมลได้ 2,085 โดเมน ตรวจสอบภายใน 30 วันจนถึง 2026-11-09

เกือบครึ่งของโดเมนไทย (46.2%) ไม่มีระเบียน DMARC เลย ในกลุ่มที่บังคับใช้ p=quarantine พบบ่อยกว่า p=reject ถึงสองเท่า (16.4% เทียบกับ 8.1%) จาก 602 โดเมนที่หยุดอยู่ที่ p=none มี 243 โดเมนที่ไม่ได้ขอรับรายงาน DMARC ระเบียนของโดเมนเหล่านี้จึงไม่ได้บล็อกอีเมลปลอมและไม่ได้แจ้งให้ใครรู้ด้วย รายงานเหล่านี้คือสิ่งที่แสดงให้เห็นทุกบริการที่ส่งอีเมลในนามของโดเมน การอ่านรายงานและทำงานให้เสร็จคือสิ่งที่ Spoofhound ทำ

องค์ประกอบอื่นๆ

การตรวจสอบ	ผลที่พบ	โดเมน
SPF	ไม่มีระเบียนเลย: เซิร์ฟเวอร์ใดก็ได้สามารถส่งอีเมลในนามโดเมนนี้	217 (10.4%)
SPF	ระเบียนลงท้ายด้วย +all หรือ ?all: เผยแพร่แล้ว แต่ก็ยังอนุญาตทุกคนอยู่ดี	33 (1.6%)
DKIM ของ Microsoft 365	selector สำหรับลงนามเสียทั้งสองตัว: อีเมลขาออกอาจไม่ผ่านการยืนยันตัวตนได้ตั้งแต่วันนี้	15
MTA-STS	ปกป้องอีเมลขาเข้าจากการดักจับ: นำมาใช้แล้ว (ในจำนวนนี้ 3 โดเมนอยู่ในโหมดทดสอบเท่านั้น)	5 (0.2%)
TLS-RPT	รายงานการส่งแบบปลอดภัยที่ล้มเหลว: นำมาใช้แล้ว	9 (0.4%)
BIMI	โลโก้ที่ผ่านการยืนยันในกล่องจดหมาย: ใช้งานอยู่	15 (0.7%)

หนึ่งในสิบของโดเมนไทย (10.4%) ไม่มีระเบียน SPF ส่วนมาตรฐานใหม่ๆ แทบยังไม่ถูกนำมาใช้ โดเมนที่ใช้ MTA-STS, TLS-RPT หรือ BIMI มีไม่ถึง 1 ใน 100

ธุรกิจขนาดเล็กเทียบกับธุรกิจที่ใหญ่กว่า

กลุ่มตัวอย่าง	โดเมนที่ตรวจสอบ	ไม่มีระเบียน DMARC	เฝ้าดูอย่างเดียว	บังคับใช้
ธุรกิจไทยที่มี 1–3 สาขา (ร้านค้า สำนักงาน งานช่าง)	892	46.5%	34.9%	18.2%
ธุรกิจไทยที่มี 4 สาขาขึ้นไป	32	34.4%	31.2%	34.4%
เว็บไซต์ .th ของไทยที่ติดอันดับ 100,000 แรก	94	22.3%	38.3%	37.2%

เว็บไซต์ .th ที่ได้รับความนิยมสูงสุดของไทยบังคับใช้ DMARC ที่ 37.2% เป็นสองเท่าของอัตราในธุรกิจขนาดเล็ก เกือบครึ่งของธุรกิจขนาดเล็ก (46.5%) ไม่มีระเบียนเลย และ 88.7% มีปัญหาด้านความปลอดภัยอีเมลอย่างน้อยหนึ่งข้อ

ภาครัฐเทียบกับธุรกิจขนาดเล็ก

หน่วยงานรัฐเป็นเป้าหมายที่ชัดเจนของอีเมลแอบอ้าง เราเปรียบเทียบโดเมนภาครัฐที่เราระบุได้ (โดเมน .go.th, .ac.th และ .mi.th รวมถึงสำนักงานที่ระบุบนแผนที่ว่าเป็นหน่วยงานรัฐ) กับธุรกิจขนาดเล็กของไทย:

กลุ่มตัวอย่าง	โดเมน	ไม่มีระเบียน DMARC	เฝ้าดูอย่างเดียว	p=quarantine	p=reject	บังคับใช้
โดเมนภาครัฐและสถาบันการศึกษาของไทย	612	58.3%	14.5%	21.4%	5.4%	26.8%
ธุรกิจไทยที่มี 1–3 สาขา	892	46.5%	34.9%	12.3%	5.8%	18.2%

โดเมนภาครัฐของไทยบังคับใช้ DMARC บ่อยกว่าธุรกิจขนาดเล็ก แต่ก็มีแนวโน้มที่จะไม่มีระเบียนเลยมากกว่าด้วย: 58.3% เทียบกับ 46.5% จากโดเมนหน่วยงานรัฐ .go.th ทั้งหมด 436 โดเมน มี 63.1% ที่ไม่มีระเบียน DMARC ซึ่งสูงกว่าภาครัฐของไต้หวัน (25.2%) และเวียดนาม (19.9%) แต่ยังห่างไกลจากภาครัฐของสิงคโปร์ (91.2%)

ระเบียบวิธี

กลุ่มตัวอย่าง โดเมนของไทยที่รับอีเมลได้ 2,085 โดเมน (มีระเบียน MX ที่ใช้งานได้) มาจากสองแหล่ง:

ธุรกิจและหน่วยงานรัฐของไทยที่ปรากฏบน OpenStreetMap และมีเว็บไซต์ของตัวเอง ไม่ว่าโดเมนจะลงท้ายด้วยอะไร: 1,237 โดเมน
โดเมน .th ทุกโดเมนในการจัดอันดับความนิยม Tranco 1 ล้านอันดับแรก: 968 โดเมนที่รับอีเมลได้

มี 120 โดเมนที่อยู่ในทั้งสองแหล่ง ทั้งนี้ไม่นับโปรไฟล์โซเชียล เว็บไซต์รวมรายชื่อ และหน้าเว็บที่โฮสต์ไว้ซึ่งธุรกิจไม่ได้ควบคุมเอง

การตรวจสอบ ทุกโดเมนถูกสแกนด้วยเอนจินของ Spoofhound เอง ซึ่งเป็นตัวเดียวกับที่ใช้ในบริการตรวจสอบโดเมนฟรี ครอบคลุม SPF, DKIM (selector ที่รู้จักของผู้ให้บริการอีเมลรายใหญ่ เช่น Microsoft, Google, SendGrid, Mailchimp และอื่นๆ), DMARC, MTA-STS, TLS-RPT และ BIMI ทุกตัวเลขมาจากการสแกนภายใน 30 วันจนถึง 2026-11-09

ข้อจำกัดที่ต้องบอกตามตรง

ภาครัฐ โดเมนภาครัฐและสถาบันการศึกษาที่เราระบุได้ (.go.th, .ac.th, .mi.th และสำนักงานที่ระบุบนแผนที่ว่าเป็นหน่วยงานรัฐ) มี 612 โดเมน คิดเป็น 29.4% ของกลุ่มตัวอย่าง ซึ่งสูงกว่าสัดส่วนในประเทศส่วนใหญ่ที่เราวัดผลมาก กลุ่มนี้บังคับใช้ DMARC ที่ 26.8% หากไม่นับกลุ่มนี้ ตัวเลขจะอยู่ที่ 23.6%
ขนาดกลุ่มตัวอย่าง กลุ่มตัวอย่างของไทยมีขนาดเล็ก: 2,085 โดเมน โดยเป็นธุรกิจที่ปรากฏบนแผนที่ 924 ราย ซึ่งน้อยเกินกว่าจะแยกตามภาคธุรกิจได้ และกลุ่มที่มีสี่สาขาขึ้นไปมีเพียง 32 โดเมน
DKIM ยืนยันได้เพียงว่า DKIM มีอยู่ แต่ไม่สามารถยืนยันได้ว่าไม่มี
ความหมายของ “บังคับใช้” คือ p=quarantine หรือ p=reject ที่ตัวโดเมนเอง ระเบียนที่เสียนับเป็นไม่บังคับใช้ เพราะเซิร์ฟเวอร์อีเมลปลายทางก็ปฏิบัติต่อระเบียนเหล่านั้นแบบเดียวกัน

โดเมนของคุณอยู่ตรงไหนในตัวเลขเหล่านี้? ตรวจสอบได้ใน 30 วินาที

ตรวจสอบโดเมนของคุณ — ฟรี