วิธีสร้าง DMARC Record ด้วย Generator แล้วตรวจสอบด้วย Lookup ก่อนส่งอีเมลจริง

ถ้าโดเมนบริษัทยังไม่มี DMARC record อีเมลที่ส่งหาผู้มีอำนาจตัดสินใจในบริษัทเป้าหมายมีความเสี่ยงตกไปอยู่ในโฟลเดอร์สแปมหรือถูกบล็อกโดยไม่รู้ตัว บทความนี้พาไปทีละขั้นตอน ตั้งแต่ใช้ dmarc record generator สร้างเรคคอร์ดที่ถูกต้อง ไปจนถึงตรวจสอบด้วย dmarc lookup อย่าง mxtoolbox หรือ dmarcian ก่อนเริ่มส่งจริงกับลูกค้าใหม่

ทำไม B2B cold email ถึงต้องมี DMARC record

SPF และ DKIM บอกได้แค่ว่าอีเมลมาจากเซิร์ฟเวอร์ที่ได้รับอนุญาตหรือถูกเซ็นด้วยคีย์ที่ถูกต้อง แต่ไม่ได้บอกว่าถ้าตรวจไม่ผ่านแล้วผู้รับปลายทางควรทำอย่างไรกับอีเมลนั้น DMARC คือชั้นที่มาปิดช่องว่างนี้ โดยผูก SPF/DKIM เข้ากับ From: header ที่ผู้รับเห็น (alignment) และประกาศ policy ชัดเจนว่าถ้าไม่ผ่านให้ผ่าน (none) กักไว้ตรวจสอบ (quarantine) หรือบล็อกทิ้ง (reject)

สำหรับทีมที่ทำ targeted cold email หาผู้ติดต่อเฉพาะรายในบริษัทเป้าหมายทุกวัน โดเมนที่ไม่มี DMARC เสี่ยงสองทาง คือถูกมิจฉาชีพปลอมโดเมนไปหลอกลวง (spoofing) จนชื่อบริษัทเสียหาย และอีเมลที่ทีมขายส่งเองแม้เขียนดีแค่ไหนก็ยังมีโอกาสถูกระบบกรองสแปมของฝั่งผู้รับมองว่าน่าสงสัยเพราะโดเมนไม่มีสัญญาณความน่าเชื่อถือครบ

สร้าง DMARC record ด้วย generator ทีละขั้นตอน

ไม่จำเป็นต้องเขียน syntax ของ TXT record เอง เครื่องมือ dmarc record generator ส่วนใหญ่ให้กรอกฟอร์มแล้วสร้างค่าให้ทันที ข้อสำคัญคือต้องเข้าใจว่าแต่ละช่องหมายถึงอะไรก่อนกด publish ไม่ใช่แค่คัดลอกค่าเริ่มต้นไปวาง

• เลือก policy เริ่มต้นเป็น p=none ก่อนเสมอ เพื่อเก็บรายงานดูพฤติกรรมจริงโดยยังไม่กระทบการส่ง
• ใส่ที่อยู่รับรายงานรวม (rua) และรายงานรายฉบับ (ruaf) เป็นอีเมลที่มีคนดูจริง ไม่ใช่กล่องที่ไม่มีใครเช็ก
• กำหนด pct=100 เมื่อพร้อมให้ policy มีผลกับอีเมลทั้งหมด หรือลดลงชั่วคราวถ้าต้องการทดสอบแบบค่อยเป็นค่อยไป
• ตั้ง alignment mode aspf และ adkim เป็น relaxed (r) ในช่วงแรกเพื่อลดโอกาสอีเมลที่ถูกต้องแต่ยังตกหล่น
• publish ค่าที่ได้เป็น TXT record ที่ _dmarc.ชื่อโดเมนของคุณ ผ่าน DNS provider ที่ดูแลโดเมนอยู่

ตรวจสอบด้วย DMARC lookup ก่อนใช้งานจริง

หลัง publish แล้วต้องตรวจซ้ำด้วยเครื่องมือ dmarc lookup อย่าง mxtoolbox หรือ dmarcian เพื่อยืนยันว่า DNS รับค่าไปแล้วจริง และ syntax ที่ generator สร้างให้ไม่มีจุดผิดพลาด เพราะบาง DNS provider จะตัดหรือแปลงเครื่องหมายพิเศษโดยไม่แจ้งเตือน dmarc lookup mxtoolbox เป็นตัวที่ทีมขายและ IT ไทยใช้บ่อยเพราะอ่านผลลัพธ์เข้าใจง่ายและฟรีสำหรับการตรวจพื้นฐาน

จากการตรวจโดเมนของลูกค้าที่เริ่มทำ cold email ครั้งแรก ปัญหาที่เจอบ่อยไม่ใช่เรื่องเทคนิคซับซ้อน แต่เป็นความผิดพลาดเล็ก ๆ ที่ generator สร้างถูกแต่คนก็อปวางผิดจุดหรือลืมกด apply

ค่อย ๆ ขยับ policy จาก none ไป reject

ข้อผิดพลาดที่สร้างความเสียหายมากที่สุดคือรีบตั้ง p=reject ตั้งแต่วันแรก แนวทางที่ปลอดภัยกว่าคือปล่อยให้อยู่ที่ none ประมาณสองถึงสี่สัปดาห์ ดูรายงาน rua ว่าอีเมลที่ส่งจริงทั้งหมด รวมถึงเครื่องมือ CRM หรือระบบส่งอีเมลอัตโนมัติที่ทีมขายใช้ ผ่าน alignment ครบหรือไม่ ก่อนขยับไป quarantine แล้วค่อยไป reject เมื่อมั่นใจว่าไม่มีอีเมลที่ถูกต้องตกหล่น

โดเมนของบริษัท B2B ในไทยจำนวนมากยังค้างอยู่ที่ p=none เป็นเวลานานเกินความจำเป็นเพียงเพราะไม่มีใครกลับมาอ่านรายงานต่อ ทำให้ DMARC มีอยู่แต่แทบไม่ได้ป้องกันอะไรจริง

ข้อผิดพลาดที่พบบ่อยเมื่อสร้างและใช้ DMARC record

นอกจากเรื่อง policy ยังมีรายละเอียดเล็ก ๆ ที่ generator ไม่ได้เตือน แต่ส่งผลกับการส่งจริงของทีมขาย

• มี TXT record สองชุดซ้อนกันที่ _dmarc เพราะเคยตั้งไว้ก่อนแล้วลืมลบของเก่า ทำให้ DNS อ่านค่าไม่ตรงกัน
• ลืมตั้ง sp= สำหรับ subdomain ทั้งที่ทีมใช้ subdomain แยกส่ง cold email ต่างหากจากโดเมนหลัก
• ตั้งอีเมล rua เป็นกล่องที่ไม่มีใครเปิดอ่าน ทำให้พลาดสัญญาณเตือนก่อนที่ policy จะเข้มขึ้น
• ลืมรวมเครื่องมือส่งอีเมลของบุคคลที่สาม เช่นแพลตฟอร์ม outreach หรือ CRM เข้าไปใน SPF/DKIM ก่อนขยับ policy
• เข้าใจผิดว่ามี DMARC แล้วเท่ากับ inbox placement ดีขึ้นทันที ทั้งที่ยังต้องอาศัยเนื้อหา โดเมนอายุ และปริมาณส่งที่เหมาะสมประกอบกัน

Checklist และวิธีที่ LDM ตรวจ DMARC ก่อนเริ่มแคมเปญ

ก่อนเริ่มแคมเปญ cold email ให้ลูกค้าใหม่ทุกครั้ง ทีมที่ดูแลด้าน deliverability ของ LDM จะตรวจ SPF, DKIM และ DMARC ของโดเมนต้นทางเป็นขั้นตอนแรก ไม่ใช่ตรวจแค่ว่ามีเรคคอร์ดอยู่ แต่ตรวจว่า alignment ผ่านจริงกับเครื่องมือส่งที่จะใช้งาน

ข้อมูลผู้ติดต่อในบริษัทเป้าหมาย เช่นชื่อและอีเมลของผู้จัดการฝ่ายจัดซื้อหรือกรรมการผู้จัดการ ถือเป็นข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) การส่ง cold email หาบุคคลเหล่านี้ควรอาศัยฐานประโยชน์อันชอบด้วยกฎหมาย (legitimate interest) ที่เกี่ยวข้องกับธุรกิจโดยตรง มีช่องทางยกเลิกรับอีเมลที่ทำงานจริง และหยุดส่งทันทีเมื่อผู้รับปฏิเสธ

• ตรวจ SPF ครอบคลุมทุกเครื่องมือที่ใช้ส่งจริง ไม่เหลือ include ที่ไม่ได้ใช้แล้ว
• ตรวจ DKIM selector ที่ใช้งานอยู่ signed ถูกต้องด้วย dmarc lookup
• ยืนยัน DMARC policy สอดคล้องกับระยะเวลาที่โดเมนถูกใช้ส่งจริง
• เตรียมช่องทาง unsubscribe และกระบวนการตอบรับคำขอลบข้อมูลตาม PDPA ก่อนแคมเปญเริ่ม

คำถามที่พบบ่อย