เลือกเครื่องมือมอนิเตอร์ DMARC แบบไหนดีที่สุดสำหรับเอเจนซีที่ดูแลหลายโดเมนลูกค้า

ถ้าเอเจนซีดูแลโดเมนส่งอีเมลให้ลูกค้าหลายราย การเช็ก DMARC ครั้งเดียวด้วยเครื่องมือฟรีไม่พอ เพราะไม่เห็นว่าใครกำลังปลอมตัวส่งในนามโดเมนลูกค้า และไม่รู้ว่า SPF กับ DKIM alignment กำลังพังก่อนที่แคมเปญจะเข้า spam ยกล็อต บทความนี้เปรียบเทียบ dmarc checker ฟรีกับเสียเงินตามงบและจำนวนโดเมนที่ต้องดูแลจริง

ทำไม dmarc checker แบบเช็กครั้งเดียวไม่พอสำหรับเอเจนซีที่ดูแลหลายโดเมน

เวลาทำ cold email B2B ให้ลูกค้าแต่ละราย ปกติแล้วโดเมนของลูกค้าคือฝ่ายที่ต้องรับผิดชอบ reputation เอง เอเจนซีจึงต้องมอนิเตอร์ DMARC ของหลายโดเมนพร้อมกันตลอดเวลา ไม่ใช่เช็กครั้งเดียวตอนตั้งค่าเสร็จแล้วปล่อยผ่าน

เครื่องมือ dmarc checker แบบฟรีอย่าง MXToolbox ทำได้แค่ตรวจ syntax ของ DNS record ณ เวลานั้น บอกได้ว่า record ถูกต้องหรือไม่ แต่ไม่เก็บรายงาน aggregate (rua) ที่ mailbox provider ส่งกลับมาทุกวัน ซึ่งเป็นข้อมูลที่บอกว่าจริง ๆ แล้วมีใครส่งอีเมลในนามโดเมนนั้นบ้าง ผ่านหรือไม่ผ่าน SPF/DKIM alignment

ถ้าดูแลโดเมนลูกค้าแค่ 1-2 โดเมน การเปิด XML รายงานมาอ่านเองยังพอไหว แต่พอขยับไปดูแล 10-20 โดเมนพร้อมกัน การพาร์สรายงานมือแบบนั้นไม่ scale และมีความเสี่ยงที่จะพลาดสัญญาณว่ามีคนกำลังปลอมโดเมนลูกค้าไปฟิชชิ่งหรือส่งสแปมจนกระทบ reputation ของทั้งโดเมน

SPF, DKIM, DMARC checker ทำงานร่วมกันอย่างไร ก่อนเลือกเครื่องมือ

SPF ตรวจว่า IP ที่ส่งอีเมลอยู่ใน record ที่โดเมนประกาศไว้หรือไม่ DKIM ตรวจลายเซ็นดิจิทัลที่แนบมากับอีเมลว่าตรงกับ public key ใน DNS หรือไม่ ส่วน DMARC ไม่ได้ตรวจอะไรใหม่ แต่กำหนดว่า domain ใน From header ต้อง align กับโดเมนที่ SPF หรือ DKIM ผ่านอย่างน้อยหนึ่งอย่าง เครื่องมือที่เรียกตัวเองว่า spf dkim dmarc checker ที่ดีต้องเช็กทั้งสามอย่างร่วมกัน ไม่ใช่แค่บอกว่า record DMARC เขียนถูก syntax

ก่อนเลือกซื้อหรือใช้เครื่องมือใด ให้เช็กเกณฑ์เหล่านี้เป็นหลัก

• อ่านและแปลงรายงาน aggregate เป็นกราฟที่ดูง่าย ไม่ต้องแกะ XML เอง
• แยกแหล่งส่งอีเมล (sending source) ให้เห็นว่า IP ไหนผ่าน alignment ไหนไม่ผ่าน
• แจ้งเตือนทันทีเมื่อมี sending source ใหม่ที่ไม่รู้จักโผล่ขึ้นมา
• เก็บประวัติย้อนหลังอย่างน้อย 6 เดือนเพื่อดู trend ก่อนขยับ policy
• รองรับหลายโดเมนในบัญชีเดียว พร้อมแยกสิทธิ์ต่อลูกค้าถ้าเป็นเอเจนซี
• มี API สำหรับดึงข้อมูลอัตโนมัติ ถ้าต้องรายงานลูกค้าเป็นประจำ
• มีนโยบายเก็บข้อมูลและ DPA ที่รองรับ PDPA เพราะรายงานอาจเกี่ยวข้องกับข้อมูลผู้รับในไทย

เปรียบเทียบเครื่องมือฟรีกับเสียเงิน: dmarcian, Proofpoint และตัวเลือกอื่น

ฝั่งฟรี dmarcian มีแผนทดลองที่มอนิเตอร์ได้ 1 โดเมน อ่านรายงาน aggregate พื้นฐานได้ แต่ไม่มีระบบแจ้งเตือนและเก็บประวัติสั้น ส่วน MXToolbox dmarc checker ใช้เช็กด่วนได้ฟรีแต่เป็นการ lookup ครั้งเดียวไม่ใช่การมอนิเตอร์ต่อเนื่อง เหมาะกับฟรีแลนซ์หรือธุรกิจที่ดูแลโดเมนเดียวช่วงเริ่มตั้งค่า

ฝั่งเสียเงิน dmarcian แผนสำหรับทีมและเอเจนซีเพิ่มจำนวนโดเมน แดชบอร์ดรวม และ alert ส่วน Proofpoint ในชื่อ Email Fraud Defense เป็น dmarc checker proofpoint ระดับองค์กร เน้น threat intelligence กว้างกว่าการ์ดโดเมนอีเมลอย่างเดียว เหมาะกับองค์กรที่มีความเสี่ยงถูกปลอมแบรนด์สูงและมีงบมากกว่า ส่วน EasyDMARC หรือ PowerDMARC อยู่ตรงกลาง ราคาย่อมเยากว่า Proofpoint แต่มีแดชบอร์ดหลายโดเมนพร้อม white-label report ส่งให้ลูกค้าเอเจนซีได้ตรง

ตัวเลขจำนวนโดเมนที่แต่ละระดับแผนรองรับมักเป็นตัวตัดสินใจหลักของเอเจนซี ไม่ใช่ฟีเจอร์ย่อย เพราะถ้าดูแลลูกค้าหลายรายแต่แผนรองรับแค่ 1-2 โดเมน ต้องเปิดหลายบัญชีซึ่งบริหารยากกว่าจ่ายแผนเดียวที่ครอบคลุมทั้งหมด

ตัวอย่างการอ่านรายงานและช่วงเวลาก่อนขึ้น p=reject

สมมติบริษัท สยามเทค โซลูชัน จำกัด เริ่มตั้ง DMARC ที่ p=none เพื่อเก็บข้อมูลก่อน สัปดาห์แรกอัตราผ่าน alignment อยู่แค่ราว 60% เพราะทีมการตลาดยังยิงอีเมลผ่านหลายแพลตฟอร์ม (CRM, cold email tool, mailing list) ที่ยังไม่ได้เพิ่มลงใน SPF include หรือเซ็ต DKIM ครบ หลังไล่แก้ทีละแหล่งส่ง อัตราขยับขึ้นมาราว 85% ในสัปดาห์ที่ 4 และแตะเกือบ 97% ในสัปดาห์ที่ 8 ก่อนจะเริ่มขยับ policy เป็น p=quarantine แล้วค่อยขึ้น p=reject เมื่อมั่นใจว่าไม่มี sending source ที่ถูกต้องหลงเหลือตกหล่น

ข้อผิดพลาดที่พบบ่อยเมื่อมอนิเตอร์ DMARC หลายโดเมนพร้อมกัน

ข้อผิดพลาดส่วนใหญ่ไม่ได้อยู่ที่การเลือกเครื่องมือผิด แต่อยู่ที่วิธีใช้งานรายงานที่ได้มา

• รีบขึ้น p=reject ก่อนดูรายงาน aggregate นานพอ ทำให้อีเมลที่ถูกต้องบางส่วนถูกบล็อกไปด้วย
• ลืมเพิ่ม DKIM ให้ครบทุกแหล่งส่ง โดยเฉพาะเครื่องมือ cold email หรือ CRM ที่ทีมขายใช้แยกจากอีเมลหลัก
• เปิด forensic report (ruf) ทั้งที่ไม่จำเป็น ทำให้ต้องรับผิดชอบข้อมูลส่วนบุคคลของผู้รับตาม PDPA เพิ่มขึ้นโดยไม่ได้ใช้ประโยชน์เต็มที่
• ปล่อยให้ SPF record มี DNS lookup เกิน 10 ครั้งจนอีเมลผ่าน SPF ไม่ได้เลย ซึ่งเกิดบ่อยเมื่อเพิ่มเครื่องมือใหม่โดยไม่ลบตัวเก่าที่เลิกใช้แล้ว
• มอนิเตอร์แค่โดเมนหลักแต่ลืมโดเมนย่อยหรือโดเมนสำรองที่ทีมขายใช้ยิง cold email แยกจากโดเมนแบรนด์หลัก

Checklist เลือกเครื่องมือ และแนวทางที่ LDM ใช้ดูแลโดเมนลูกค้า

ก่อนตัดสินใจซื้อแผนใด ให้ตอบคำถามเหล่านี้ก่อน แล้วค่อยเทียบราคา

• ตอนนี้ดูแลกี่โดเมน และในอีก 6 เดือนจะเพิ่มเป็นเท่าไร
• ต้องการแดชบอร์ดแยกต่อลูกค้าเพื่อส่งรายงานตรงหรือไม่
• เก็บประวัติย้อนหลังพอสำหรับตัดสินใจขึ้น p=reject อย่างมั่นใจหรือไม่ (อย่างน้อย 6-8 สัปดาห์)
• ผู้ให้บริการมี DPA หรือข้อตกลงประมวลผลข้อมูลที่รองรับ PDPA หรือไม่ โดยเฉพาะถ้าจะเปิด forensic report
• มีระบบแจ้งเตือนอัตโนมัติเมื่อพบ sending source ใหม่ที่ไม่รู้จักหรือไม่

คำถามที่พบบ่อย