Nghiên cứu của Spoofhound · 2026-11-09
Thực trạng DMARC 2026 — Việt Nam
Sáu trên mười tên miền Việt Nam hoàn toàn không có bản ghi DMARC.
Spoofhound đã quét không gian web Việt Nam: 3.297 tên miền nhận thư, thuộc các trang web phổ biến tại Việt Nam cùng các doanh nghiệp địa phương và cơ quan nhà nước có trên bản đồ, được kiểm tra bằng chính công cụ đứng sau dịch vụ kiểm tra tên miền miễn phí của chúng tôi.
Kiểm tra tên miền của bạn — miễn phíĐiểm chính
Bốn trên năm tên miền nhận thư của Việt Nam có thể bị giả mạo. Trong 3.297 tên miền nhận thư được kiểm tra, 2.673 (81,1%) không có chính sách DMARC thực thi: không có bản ghi, chỉ giám sát, hoặc bản ghi bị lỗi. Hệ thống thư phía nhận không bao giờ được yêu cầu chặn thư giả mạo gửi dưới danh nghĩa của các tên miền này.
Ba con số nói lên vấn đề:
- •59,4% hoàn toàn không có bản ghi DMARC. Tỷ lệ này cao hơn Đài Loan (49,3%), Mỹ và Phần Lan (cùng 48,6%).
- •22,8% không có bản ghi SPF. Hơn một phần năm số tên miền không công bố danh sách các máy chủ được phép gửi thư thay mình, một trong những tỷ lệ cao nhất chúng tôi từng đo, cao hơn Đài Loan và Mỹ (cùng 17,8%).
- •18,9% thực thi DMARC. Con số này chỉ kém Mỹ (19,4%) một chút và cao hơn Phần Lan (17,0%), Pháp (15,7%) và Ý (13,4%). Xem so sánh giữa tất cả các quốc gia chúng tôi đã đo.
Tên miền Việt Nam trung bình đạt 26,1 trên 100 điểm trong bài kiểm tra bảo mật email đầy đủ, thấp hơn Mỹ (28,9) và Đài Loan (29,2), và 87,1% có ít nhất một vấn đề cần khắc phục.
DMARC trên không gian web Việt Nam
81% tên miền nhận thư của Việt Nam có nguy cơ bị giả mạo
2.673 trong số 3.297 tên miền được kiểm tra không có chính sách DMARC thực thi.
Không có bản ghi DMARC
Chỉ giám sát (p=none)
Bản ghi lỗi hoặc trùng lặp
p=quarantine
p=reject
Đỏ: phía nhận không bao giờ được yêu cầu chặn thư giả mạo · Xanh lá: thư mạo danh bị cách ly hoặc từ chối.
Phần lớn tên miền Việt Nam thậm chí chưa đi đến bước công bố DMARC: 59,4% không có bản ghi, so với 20,4% ở mức p=none. Trong 672 tên miền p=none đó, 254 tên miền không yêu cầu nhận báo cáo DMARC, nên bản ghi của họ vừa không chặn thư giả mạo, vừa không báo cho ai biết về chúng. Chính các báo cáo mới cho thấy mọi dịch vụ đang gửi thư dưới tên một tên miền. Đọc các báo cáo đó và hoàn tất công việc chính là điều Spoofhound làm.
Các thành phần còn lại
| Hạng mục | Phát hiện | Tên miền |
|---|---|---|
| SPF | Hoàn toàn không có bản ghi: bất kỳ máy chủ nào, ở bất cứ đâu, cũng có thể gửi thư dưới tên miền này | 753 (22,8%) |
| SPF | Bản ghi kết thúc bằng +all hoặc ?all: có công bố, nhưng vẫn cho phép tất cả | 38 (1,2%) |
| DKIM Microsoft 365 | Cả hai selector ký đều hỏng: thư gửi đi có thể không qua được xác thực ngay từ hôm nay | 5 |
| MTA-STS | Bảo vệ thư đến khỏi bị chặn bắt: đã áp dụng (4 trong số này chỉ ở chế độ thử nghiệm) | 6 (0,2%) |
| TLS-RPT | Báo cáo các lần gửi thư bảo mật thất bại: đã áp dụng | 11 (0,3%) |
| BIMI | Logo đã xác minh hiển thị trong hộp thư: đang hoạt động | 15 (0,5%) |
Hơn một phần năm tên miền Việt Nam (22,8%) hoàn toàn không có bản ghi SPF, nên không có gì cho máy chủ phía nhận biết đâu là người gửi thật. Các chuẩn mới hơn gần như chưa xuất hiện: chưa đến 1 trên 100 tên miền dùng MTA-STS, TLS-RPT hoặc BIMI.
Doanh nghiệp nhỏ so với doanh nghiệp lớn hơn
| Nhóm | Số tên miền kiểm tra | Không có bản ghi DMARC | Chỉ giám sát | Thực thi |
|---|---|---|---|---|
| Doanh nghiệp Việt Nam có 1–3 địa điểm (cửa hàng, văn phòng, dịch vụ) | 804 | 62,9% | 19,7% | 15,8% |
| Doanh nghiệp Việt Nam có từ 4 địa điểm trở lên | 28 | 39,3% | 32,1% | 28,6% |
| Các trang .vn của Việt Nam trong top 100.000 | 247 | 37,7% | 26,3% | 34,4% |
Các trang .vn phổ biến nhất của Việt Nam thực thi DMARC ở mức 34,4%, khoảng gấp đôi tỷ lệ của doanh nghiệp nhỏ. Ngay cả trong nhóm trang phổ biến này, 37,7% vẫn không có bản ghi DMARC. Doanh nghiệp nhỏ còn tệ hơn: 62,9% không có bản ghi, và 90,5% có ít nhất một vấn đề về bảo mật email.
Khu vực nhà nước so với doanh nghiệp nhỏ
Cơ quan nhà nước là mục tiêu hiển nhiên của thư mạo danh. Chúng tôi so sánh các tên miền khu vực công mà chúng tôi xác định được (tên miền .gov.vn, .edu.vn và .ac.vn, cùng các văn phòng được đánh dấu là cơ quan nhà nước trên bản đồ) với doanh nghiệp nhỏ của Việt Nam:
| Nhóm | Tên miền | Không có bản ghi DMARC | Chỉ giám sát | p=quarantine | p=reject | Thực thi |
|---|---|---|---|---|---|---|
| Tên miền chính phủ và giáo dục Việt Nam | 543 | 57,5% | 21,9% | 10,9% | 9,0% | 19,9% |
| Doanh nghiệp Việt Nam có 1–3 địa điểm | 804 | 62,9% | 19,7% | 7,6% | 8,2% | 15,8% |
Khu vực công của Việt Nam chỉ được bảo vệ tốt hơn doanh nghiệp nhỏ một chút, và thực thi DMARC ít hơn khu vực công của Đài Loan (25,2%) và Thái Lan (26,8%). Tên miền chính phủ làm tốt hơn tên miền giáo dục: 35,6% trong 163 tên miền .gov.vn thực thi DMARC, so với 13,2% trong 369 tên miền .edu.vn của các trường học và đại học.
Phương pháp
Đối tượng. 3.297 tên miền Việt Nam có nhận email (công bố bản ghi MX hoạt động), lấy từ hai nguồn:
- các doanh nghiệp và cơ quan nhà nước Việt Nam có trên OpenStreetMap với trang web riêng, thuộc bất kỳ đuôi tên miền nào: 913 tên miền
- mọi tên miền .vn trong bảng xếp hạng mức độ phổ biến Tranco top 1 triệu: 2.530 tên miền nhận thư
146 tên miền xuất hiện ở cả hai nguồn. Chúng tôi loại trừ các trang mạng xã hội, trang danh bạ và trang lưu trữ mà doanh nghiệp không kiểm soát.
Kiểm tra. Mỗi tên miền được quét bằng công cụ riêng của Spoofhound, cũng chính là công cụ đứng sau dịch vụ kiểm tra tên miền miễn phí. Công cụ bao quát SPF, DKIM (các selector đã biết của những nhà cung cấp email lớn như Microsoft, Google, SendGrid, Mailchimp và nhiều nhà cung cấp khác), DMARC, MTA-STS, TLS-RPT và BIMI. Mọi số liệu đều phản ánh lần quét trong vòng 30 ngày tính đến 2026-11-09.
Những giới hạn cần nói rõ.
- Khu vực công. Các tên miền chính phủ và giáo dục mà chúng tôi xác định được (.gov.vn, .edu.vn, .ac.vn, và các văn phòng được đánh dấu là cơ quan nhà nước trên bản đồ) gồm 543 tên miền, chiếm 16,5% mẫu, và thực thi DMARC ở mức 19,9%. Nếu loại nhóm này ra, con số là 18,7%.
- Mẫu. Phần lớn mẫu (2.530 trong 3.297 tên miền) đến từ bảng xếp hạng mức độ phổ biến, vì rất ít doanh nghiệp Việt Nam được đánh dấu trên bản đồ kèm trang web (832). Con số đó quá ít để chia theo ngành, và nhóm có từ bốn địa điểm trở lên chỉ dựa trên 28 tên miền.
- DKIM. Chỉ có thể xác nhận DKIM có mặt, không bao giờ xác nhận được là không có.
- “Thực thi” nghĩa là gì. p=quarantine hoặc p=reject trên chính tên miền đó. Bản ghi lỗi được tính là không thực thi, vì máy chủ thư phía nhận xử lý chúng như vậy.
Dữ liệu © những người đóng góp OpenStreetMap (ODbL) · danh sách Tranco của dự án nghiên cứu Tranco.
Tên miền của bạn nằm ở đâu trong những con số này? Tìm hiểu chỉ trong 30 giây.
Kiểm tra tên miền của bạn — miễn phí