Cài DKIM trên GoDaddy: CNAME hay TXT, hướng dẫn từng bước

Cách cài DKIM trong DNS GoDaddy cho Microsoft 365 hoặc Google Workspace: nên thêm bản ghi nào (CNAME hay TXT), dán vào đâu và cách kiểm tra.

Câu hỏi thường gặp

GoDaddy có tạo khóa DKIM cho tôi không?

Không. DNS của GoDaddy chỉ lưu bản ghi. Khóa do bên gửi thư của bạn cung cấp: Microsoft 365, Google Workspace hoặc một dịch vụ email/marketing khác. Bạn chỉ cần sao chép tên máy chủ (host) và giá trị mà họ đưa rồi dán vào trang DNS của GoDaddy.

Tôi có nên nhập tên miền đầy đủ vào ô Name không?

Thường là không. Trang trợ giúp của GoDaddy mô tả ô Name là phần host hay tiền tố, không kèm tên miền của bạn, nên bạn chỉ nhập dạng như selector1._domainkey hoặc google._domainkey. Một số biểu mẫu và giao diện cũ gọi ô này là Host. Hãy lưu bản ghi, sau đó tra cứu công khai để chắc chắn nó phân giải đúng dưới tên miền của bạn và không bị lặp hai lần (yourdomain.com.yourdomain.com).

DKIM trên GoDaddy mất bao lâu để hoạt động?

GoDaddy cho biết các thay đổi DNS thường có hiệu lực trong vòng một giờ nhưng có thể mất tới 48 giờ để cập nhật trên toàn cầu. Google cho biết DKIM có thể mất tới 48 giờ để bắt đầu hoạt động sau khi bạn thêm khóa. Microsoft chỉ cho phép bật ký thư khi thấy được cả hai bản ghi CNAME.

Khóa Google 2048-bit của tôi không vừa trong giá trị TXT. Phải làm sao?

Tài liệu của Google lưu ý rằng khóa 2048-bit có thể không vừa trong một chuỗi 255 ký tự ở một số nhà cung cấp DNS. Bạn có thể tách giá trị thành nhiều chuỗi trong dấu ngoặc kép nếu nhà cung cấp cho phép, hoặc tạo khóa 1024-bit. Trang trợ giúp bản ghi TXT của GoDaddy ghi giới hạn tối đa 1024 ký tự mỗi bản ghi, vì vậy hãy dán nguyên giá trị đúng như Google hiển thị rồi kiểm tra kết quả.

Vì sao Microsoft 365 báo thiếu bản ghi CNAME DKIM trong khi tôi đã thêm ở GoDaddy?

Nguyên nhân thường gặp là gõ sai host hoặc target, ô Name bị tự động nối thêm tên miền hai lần, hoặc DNS chưa cập nhật xong. Hãy sao chép hai giá trị CNAME trực tiếp từ trang DKIM của tenant thay vì tự ghép bằng tay, vì định dạng target của Microsoft có thể khác nhau giữa các tenant.

Tôi đã có SPF thì có cần DKIM không?

Hai thứ này làm việc khác nhau. SPF kiểm tra máy chủ nào được phép gửi thư cho tên miền của bạn; DKIM ký lên chính nội dung thư để phát hiện việc bị chỉnh sửa. DMARC được xây dựng dựa trên cả hai. Hướng dẫn về [SPF, DKIM và DMARC](/guides/spf-dkim-dmarc) của chúng tôi giải thích cách ba thành phần này phối hợp với nhau.

Trả lời ngắn: Trong GoDaddy, mở trang DNS của tên miền, chọn Add New Record (Thêm bản ghi mới) rồi dán bản ghi DKIM mà nhà cung cấp email đã đưa cho bạn. Microsoft 365 dùng hai bản ghi CNAME (selector1._domainkey và selector2._domainkey). Google Workspace dùng một bản ghi TXT (mặc định tại google._domainkey). Ở ô Name chỉ nhập phần tiền tố, chờ DNS cập nhật, sau đó bật ký thư trong trang quản trị email và kiểm tra bằng một thư gửi ra ngoài.

DKIM thêm một chữ ký mã hóa vào mỗi thư bạn gửi. Máy chủ nhận sẽ tra khóa công khai của bạn trong DNS và kiểm tra chữ ký có khớp hay không. GoDaddy chỉ là nơi lưu bản ghi, nên giá trị chính xác luôn đến từ nhà cung cấp email của bạn. Trang này hướng dẫn phần việc phía GoDaddy và hai nhà cung cấp phổ biến nhất.

Trước khi bắt đầu: bạn cần loại bản ghi nào?

Loại bản ghi do nhà cung cấp quyết định, không phải GoDaddy. Bạn không phải chọn giữa CNAME và TXT; chỉ cần thêm loại mà nhà cung cấp đưa cho bạn.

Nhà cung cấp	Loại bản ghi	Host (Name)	Giá trị lấy ở đâu	Bước bật
Microsoft 365	Hai bản ghi CNAME	selector1._domainkey và selector2._domainkey	Trang DKIM của tenant trong cổng Microsoft Defender	Bật ký thư sau khi cả hai bản ghi đã được công bố
Google Workspace	Một bản ghi TXT	google._domainkey (tiền tố selector mặc định)	Admin console, Gmail, Authenticate email, Generate New Record	Nhấn Start Authentication sau khi bản ghi đã phân giải
Dịch vụ gửi khác (công cụ newsletter hoặc CRM)	CNAME hoặc TXT, tùy công cụ	Theo những gì công cụ hiển thị	Màn hình xác thực tên miền của công cụ	Thường là nút Verify

Vì sao là CNAME hay TXT? Bản ghi TXT chứa chính khóa công khai. CNAME trỏ tới một khóa do nhà cung cấp lưu trữ, nhờ đó Microsoft có thể xoay vòng khóa mà bạn không phải đụng đến DNS nữa. Đó là lý do Microsoft công bố hai selector: để có thể chuyển qua lại giữa chúng.

Cách thêm bản ghi DKIM trong GoDaddy

Nhãn menu của GoDaddy có thể khác đôi chút giữa các giao diện tài khoản (các trang trợ giúp cũ nói Edit DNS, Host và Add Record), vì vậy hãy làm theo mục gần giống nhất.

Đăng nhập tài khoản GoDaddy, mở phần cài đặt của tên miền, rồi vào trang DNS.
Chọn Add New Record.
Đặt Type là TXT hoặc CNAME, khớp với hướng dẫn của nhà cung cấp.
Ở Name (đôi khi gọi là Host), chỉ nhập phần tiền tố, chẳng hạn selector1._domainkey hoặc google._domainkey. Trang trợ giúp của GoDaddy mô tả ô này là tên không kèm tên miền của bạn.
Ở Value (hoặc Points to với CNAME), dán chính xác những gì nhà cung cấp hiển thị. Đừng thêm dấu ngoặc kép hay khoảng trắng ở cuối, trừ khi nhà cung cấp yêu cầu.
Giữ TTL ở mức mặc định (trang trợ giúp của GoDaddy ghi mặc định là 1 giờ) rồi chọn Save.
Lặp lại với bản ghi CNAME thứ hai nếu bạn dùng Microsoft 365.

Trang hướng dẫn của chính GoDaddy cho việc này là Add a TXT record.

Microsoft 365 trên GoDaddy: hai bản ghi CNAME

Tài liệu của Microsoft cho biết tên miền tùy chỉnh sẽ không được ký DKIM cho đến khi bạn thiết lập, và bạn công bố hai bản ghi CNAME cho mỗi tên miền.

Trong cổng Microsoft Defender, mở phần cài đặt DKIM dưới mục Email authentication và chọn tên miền tùy chỉnh của bạn.
Sao chép cả hai mục CNAME mà Microsoft hiển thị. Target theo một quy tắc được tạo từ tên miền của bạn với dấu chấm đổi thành dấu gạch ngang, cộng với tên miền onmicrosoft.com ban đầu, nhưng định dạng có thể khác nhau giữa các tenant, vì vậy hãy sao chép thay vì tự ghép.
Thêm cả hai làm bản ghi CNAME trong GoDaddy (các bước ở trên), dùng selector1._domainkey và selector2._domainkey làm tên.
Chờ DNS cập nhật, quay lại trang DKIM và bật ký thư cho tên miền. Nếu Microsoft báo không tìm thấy bản ghi, xem danh sách xử lý sự cố bên dưới.

Bạn cũng có thể bật ký thư bằng PowerShell (Set-DkimSigningConfig), được Microsoft mô tả trong trang hướng dẫn thiết lập DKIM.

Google Workspace trên GoDaddy: một bản ghi TXT

Trong Google Admin console, vào Gmail, rồi Authenticate email, chọn tên miền và chọn Generate New Record.
Chọn khóa 2048-bit nếu nhà cung cấp DNS của bạn hỗ trợ. Giữ nguyên tiền tố selector mặc định (google) trừ khi bạn có lý do để đổi.
Sao chép tên host và giá trị TXT (bắt đầu bằng v=DKIM1). Chưa nhấn Start Authentication vội.
Thêm bản ghi TXT trong GoDaddy với Name là google._domainkey và nguyên giá trị đầy đủ.
Chờ một lúc, rồi quay lại Authenticate email và nhấn Start authentication. Google cho biết có thể mất tới 48 giờ sau khi thêm khóa.

Hai lưu ý từ trang hướng dẫn thiết lập DKIM của Google: Gmail mới thiết lập có thể chưa cấp khóa trong 24 đến 72 giờ, và khóa 2048-bit có thể không vừa trong một chuỗi 255 ký tự ở một số nhà cung cấp DNS. Nếu gặp tình huống này, hãy tách giá trị thành các chuỗi trong dấu ngoặc kép nơi nhà cung cấp cho phép, hoặc dùng khóa 1024-bit.

Cách kiểm tra DKIM đã hoạt động chưa

Chỉ nhìn DNS thì bạn mới biết bản ghi tồn tại. Một thư thật mới cho biết hệ thống có đang ký thư hay không.

Tra cứu bản ghi. Dùng bất kỳ công cụ tra cứu DKIM nào, hoặc truy vấn DNS cho selector1._domainkey.yourdomain.com (CNAME) hoặc google._domainkey.yourdomain.com (TXT).
Kiểm tra trang quản trị. Google hiển thị "Authenticating email with DKIM" khi đã kích hoạt; Microsoft hiển thị trạng thái ký thư đã bật cho tên miền.
Gửi tới hộp thư bên ngoài. Microsoft lưu ý rằng thư giữa các người dùng trong cùng một tên miền có thể bỏ qua chữ ký, vì vậy hãy gửi tới một nhà cung cấp khác, chẳng hạn địa chỉ Gmail cá nhân.
Đọc header. Mở nguồn gốc của thư và tìm dòng DKIM-Signature có d=yourdomain.com, cùng dòng Authentication-Results hiển thị dkim=pass.

Danh sách kiểm tra khi gặp lỗi

[ ] Name chỉ có tiền tố, không có tên miền đầy đủ (không có yourdomain.com.yourdomain.com).
[ ] Giá trị được dán nguyên vẹn, không ngắt dòng hay thiếu ký tự.
[ ] Có đủ cả hai CNAME của Microsoft, không chỉ một.
[ ] Mỗi selector chỉ có một bản ghi TXT DKIM.
[ ] Bạn đã chờ ít nhất một giờ, và tối đa 48 giờ trước khi tạo lại khóa.
[ ] Nếu Microsoft liên tục báo lỗi, hãy xóa và sao chép lại các target từ trang DKIM của tenant.
[ ] Nếu cổng gửi thư ra ngoài thêm chân trang sau khi ký, hãy thử khi không có nó; thay đổi nội dung thư sau khi ký sẽ làm hỏng DKIM.

Làm gì sau khi cài DKIM

DKIM chỉ là một trong ba phần của bức tranh. Hãy công bố thêm bản ghi SPF và chính sách DMARC để bên nhận biết phải xử lý thế nào khi một bước kiểm tra thất bại. Hướng dẫn SPF, DKIM và DMARC của chúng tôi trình bày cả ba.

Nếu tên miền của bạn nằm ở GoDaddy nhưng bạn đang cân nhắc nơi xây dựng chính website, hãy xem các lựa chọn thay thế GoDaddy hoặc bảng phân tích giá trình tạo website của GoDaddy. Các bản ghi DNS như ở trên vẫn nằm ở GoDaddy dù bạn chọn trình tạo website nào. Gói miễn phí của We.Inc cho phép bạn xuất bản tối đa ba website từ các mẫu dựng sẵn; trình tạo AI soạn website từ một câu lệnh bắt đầu ở gói Starter với giá $20 một tháng. Bạn có thể đăng ký tại đây.

Bắt đầu miễn phí · Không cần thẻ tín dụng

Umair Ali Sadaqat

Nhà sáng lập We.Inc

Umair là nhà sáng lập We.Inc. Anh viết về xây dựng website bằng AI, các agency và việc kinh doanh, vận hành một studio web.

Sẵn sàng tạo nên điều tuyệt vời?

Tham gia cùng 15,000+ doanh nghiệp đang dùng We.Inc để ra mắt, phát triển và tự động hóa, tất cả trên một nền tảng.