spf dkim dmarc คือ: ตั้งค่าให้อีเมลเข้า inbox ไม่ตกสแปม

spf dkim dmarc คือ ระบบยืนยันตัวตนอีเมลที่กันโดเมนถูกปลอมและช่วยให้เข้า inbox ไม่ตกสแปม อ่านวิธีตั้งค่า SPF DKIM DMARC ทีละขั้นแบบใช้งานได้จริง

spf dkim dmarc คือ อะไร ทำไมตั้งครบแล้วอีเมลถึงเข้า inbox

Last updated: 2026-08-10

ส่งอีเมลหาลูกค้า 500 คน เปิดจริง 30 คน ที่เหลือไม่ใช่เพราะเนื้อหาไม่ดี แต่เพราะอีเมลไปนอนใน Junk ตั้งแต่แรก คุณไม่มีทางรู้เลยจนกว่าจะมีคนโทรมาบอกว่า “หาเมลพี่ในสแปมนะ” ปัญหานี้เกิดกับโดเมนบริษัทบ่อยกว่าที่คิด และเกือบทุกครั้งต้นตออยู่ที่การตั้งค่า DNS สามตัวที่คนส่วนใหญ่ไม่เคยแตะ

spf dkim dmarc คือ สามด่านที่ Gmail และ Outlook ใช้ตรวจว่า “อีเมลฉบับนี้ส่งมาจากคนที่อ้างจริงไหม” ถ้าตอบไม่ได้ ระบบก็เลือกทางปลอดภัยไว้ก่อนคือโยนลงสแปม บทความนี้อธิบายว่าแต่ละตัวทำงานยังไง ตั้งค่าตามลำดับไหน และเวลาอีเมลตกสแปมจริงจะไล่แก้ตรงไหนก่อน

Key Takeaways: SPF บอกว่าเซิร์ฟเวอร์ไหนมีสิทธิ์ส่งแทนโดเมนคุณ DKIM แปะลายเซ็นดิจิทัลกันเนื้อหาถูกแก้กลางทาง และ DMARC เป็นตัวสั่งปลายทางว่าถ้าสองตัวแรกไม่ผ่านให้ทำอะไร ตั้งครบทั้งสามคือเงื่อนไขขั้นต่ำที่ Gmail/Yahoo บังคับกับผู้ส่งปริมาณมากตั้งแต่ปี 2024 เริ่มที่ DMARC แบบ p=none เพื่อดูรายงานก่อน แล้วค่อยขยับเป็น quarantine และ reject เมื่อมั่นใจว่าเมลถูกต้องผ่านครบทุกทาง

spf dkim dmarc คือ อะไร อธิบายให้เห็นภาพใน 3 บรรทัด

ลองนึกถึงการส่งพัสดุ SPF คือรายชื่อบริษัทขนส่งที่คุณอนุญาตให้ส่งของในนามคุณได้ ปลายทางเช็คว่าคนส่งอยู่ในลิสต์ไหม DKIM คือซีลกันแกะที่ปิดกล่อง ถ้ามีคนแอบเปิดระหว่างทางซีลจะแตกและปลายทางรู้ทันที ส่วน DMARC คือใบกำกับที่บอกไปรษณีย์ปลายทางว่า “ถ้าของชิ้นนี้ไม่มีในลิสต์หรือซีลแตก ให้ตีกลับหรือทิ้ง”

ทั้งสามตัวตั้งเป็น DNS record (ชนิด TXT) ที่โดเมนคุณ ไม่ต้องลงโปรแกรมอะไร แต่ต้องเข้าใจว่ามันคุมคนละชั้น จุดที่หลายคนพลาดคือตั้ง SPF ตัวเดียวแล้วคิดว่าจบ ทั้งที่ SPF อย่างเดียวไม่พอให้ผ่านมาตรฐานปลายทางยุคนี้แล้ว

• SPF (Sender Policy Framework) — ประกาศ IP/เซิร์ฟเวอร์ที่ส่งแทนโดเมนได้
• DKIM (DomainKeys Identified Mail) — ลายเซ็นเข้ารหัสที่ยืนยันว่าเนื้อหาไม่ถูกแก้
• DMARC — นโยบายบอกปลายทางว่าเจอเมลที่ไม่ผ่านให้จัดการยังไง บวกส่งรายงานกลับมาให้คุณ

email authentication คือ อะไร ทำไมมันกันการปลอมชื่อผู้ส่งได้

email authentication คือ กระบวนการที่เซิร์ฟเวอร์ปลายทางใช้พิสูจน์ว่าอีเมลมาจากโดเมนที่อ้างจริง ไม่ใช่คนแอบสวมชื่อ ปัญหาคือโปรโตคอลอีเมลดั้งเดิม (SMTP) ออกแบบมาตั้งแต่ยุคที่ยังไม่มีสแปม ใครจะพิมพ์ช่อง From ว่าอะไรก็ได้ ผมพิมพ์ว่าส่งจาก ceo@ธนาคารดัง ระบบเดิมก็ไม่มีอะไรมาค้าน

SPF DKIM DMARC จึงเกิดมาอุดช่องนี้ทีละชั้น มันไม่ได้ทำให้เนื้อหาคุณดีขึ้น แต่ทำให้ปลายทาง “เชื่อ” ว่าคุณคือคุณจริง ซึ่งเป็นเงื่อนไขก่อนที่เขาจะยอมเอาเมลเข้า inbox ให้ อ่านเรื่องการวางโครง tracking และ domain ในภาพรวมได้ที่ MarTech Analytics & Tracking Guide

ทำไมอีเมลตกโฟลเดอร์สแปม ทั้งที่เนื้อหาปกติ

คำถามนี้ลูกค้าถามบ่อยที่สุด และคำตอบมักไม่ใช่เรื่องเนื้อหา ปลายทางอย่าง Gmail ให้คะแนนอีเมลจากหลายสัญญาณพร้อมกัน authentication เป็นหนึ่งในนั้นและเป็นตัวที่ “ตัดสิทธิ์” ได้เร็วสุด ถ้า SPF และ DKIM ไม่ผ่านทั้งคู่ เมลคุณเริ่มเกมด้วยแต้มติดลบทันที ต่อให้เขียนดีแค่ไหนก็ต้องออกแรงมากกว่าคนอื่นเพื่อไต่ขึ้น inbox

ตั้งแต่ต้นปี 2024 Google กับ Yahoo ยกระดับเงื่อนไขสำหรับผู้ส่งปริมาณมาก (เกิน 5,000 ฉบับต่อวันไปยัง Gmail) ต้องมี SPF และ DKIM ครบ ต้องเผยแพร่ DMARC อย่างน้อย p=none ต้องมีปุ่มยกเลิกรับแบบคลิกเดียว และต้องคุมอัตราสแปมใน Postmaster Tools ไม่ให้แตะ 0.3% (แนะนำให้อยู่ต่ำกว่า 0.1%) รายละเอียดอยู่ในหน้า Email sender guidelines ของ Google

จุดที่ทำให้เมลตกสแปมทั้งที่เนื้อหาปกติ มักเป็นอย่างใดอย่างหนึ่งนี้ ส่งผ่านเครื่องมือใหม่ (เช่นเพิ่ง connect CRM หรือ email tool) แต่ลืมเพิ่ม include ของเครื่องมือนั้นใน SPF ทำให้ปลายทางเห็นว่าเซิร์ฟเวอร์ที่ส่งไม่อยู่ในลิสต์ หรือลิสต์ผู้รับเก่าเก็บมานาน มีคนกดสแปมหรือ bounce สูง โดเมนเลยโดนลดความน่าเชื่อถือสะสม

ตั้งค่า dmarc ทีละขั้น (ต้องมี SPF กับ DKIM ก่อน)

ลำดับสำคัญมาก อย่าเริ่มที่ DMARC ทั้งที่ SPF/DKIM ยังไม่นิ่ง เพราะ DMARC ทำงานโดยดูผลของสองตัวนั้น ถ้าไปตั้ง p=reject ทั้งที่ DKIM ยังไม่ผ่าน เมลจริงของคุณเองจะโดนตีกลับหมด นี่คือลำดับที่ปลอดภัย

1. ตั้ง SPF ก่อน — สร้าง TXT record ที่โดเมน ใส่ทุกแหล่งที่ส่งจริง เช่น v=spf1 include:_spf.google.com ~all ถ้าใช้ทั้ง Google Workspace และ email tool อื่น ต้อง include ให้ครบในบรรทัดเดียว ห้ามมี SPF record ซ้อนหลายอัน (วิธีของ Google)
2. เปิด DKIM — ในแผงผู้ให้บริการอีเมลจะมีปุ่ม generate key แนะนำ 2048-bit เอาค่า TXT ที่ได้ไปวางที่ DNS ตาม selector แล้วกด start authentication ในแผงนั้น
3. ประกาศ DMARC แบบสังเกตการณ์ — สร้าง TXT record ที่ _dmarc.yourdomain.com ค่าเริ่มต้นที่ปลอดภัยคือ v=DMARC1; p=none; rua=mailto:[email protected]; pct=100 ตัว p=none ยังไม่ตีเมลตกแต่จะส่งรายงานรวม (aggregate report) มาที่เมลใน rua ให้คุณเห็นว่าใครส่งในนามโดเมนคุณบ้าง
4. อ่านรายงาน 2-4 สัปดาห์ — ดูว่ามีแหล่งส่งที่ถูกต้องตัวไหนยัง fail อยู่ ไล่แก้ให้ผ่านครบก่อน
5. ค่อยขยับนโยบายให้เข้ม — เมื่อมั่นใจว่าเมลจริงผ่านหมด เปลี่ยนเป็น p=quarantine (เข้าสแปม) แล้วค่อยไป p=reject (ตีกลับ) เมื่อพร้อมจริง รายละเอียด DMARC อยู่ที่ หน้า support ของ Google

การไล่จาก none → quarantine → reject แบบนี้คือหัวใจ อย่ากระโดดข้ามขั้น หลายเคสที่พังคือคนอ่านบล็อกต่างประเทศแล้วก็อป p=reject มาวางเลยวันแรก พอมี form ในเว็บส่งเมลแจ้งเตือนผ่านเซิร์ฟเวอร์ที่ไม่ได้อยู่ใน SPF ระบบก็ตีกลับหมด กลายเป็นทำเองพังเอง

email เข้า spam แก้ยังไง ไล่เช็คตามอาการ

เวลาเมลตกสแปมจริง อย่าเดาสุ่ม ให้ดูว่า “อาการ” เป็นแบบไหนก่อนแล้วไล่แก้ตามนั้น ตารางนี้คือลำดับที่ผมใช้ไล่เองเวลาเจอปัญหา deliverability โดยตัวเลขที่ใส่เป็นเกณฑ์ตัดสินใจสำหรับเริ่มลงมือ ไม่ใช่ค่าเฉลี่ยอุตสาหกรรม

อาการ (สัญญาณที่เห็น)	สาเหตุน่าจะเป็น	สิ่งที่ทำก่อน
ตกสแปมตั้งแต่ฉบับแรกที่ส่งจากเครื่องมือใหม่	SPF/DKIM ของเครื่องมือนั้นยังไม่ถูกเพิ่ม	เพิ่ม include ใน SPF + เปิด DKIM ของ tool นั้น แล้วส่งเทสต์ที่ mail-tester.com
spam rate ใน Postmaster แตะ > 0.3%	list มีคนไม่แอ็กทีฟ/กดสแปม	หยุดส่งกลุ่มเงียบ >90 วัน, ล้าง hard bounce, ใส่ปุ่ม unsubscribe ชัด
aggregate report โชว์ DKIM fail บางแหล่ง	selector ผิด หรือ key ยังไม่ propagate	ตรวจ selector ให้ตรง, รอ DNS 24-48 ชม., generate key ใหม่ถ้าจำเป็น
โดเมนใหม่ ส่งทีเดียวเป็นพันฉบับ	ยังไม่มีชื่อเสียง (reputation)	warm-up ค่อย ๆ เพิ่มปริมาณต่อวัน อย่ากระโชกทีเดียว
ผ่าน auth หมดแต่ยังตก	เนื้อหา/ลิงก์/สัดส่วนรูปต่อข้อความ	ลดลิงก์ย่อ (bit.ly), เลี่ยงคำ trigger, สมดุลข้อความกับรูป

หลักการคือแก้ชั้น authentication ให้จบก่อนเสมอ เพราะมันคือฐาน ถ้าฐานยังโยกอยู่ ต่อให้ปรับเนื้อหายังไงก็เหมือนตักน้ำใส่ตะกร้า เครื่องมือฟรีอย่าง mail-tester ให้คะแนน 0-10 พร้อมชี้ว่า SPF/DKIM/DMARC ผ่านไหมในหน้าเดียว ใช้เช็คก่อนยิงจริงทุกครั้งคุ้มมาก

ผิดพลาดที่เจอบ่อยเวลาตั้งค่า

พลาดที่เห็นซ้ำ ๆ คือมี SPF record มากกว่าหนึ่งบรรทัด ปลายทางจะถือว่า invalid ทันที ต้องรวมทุก include ไว้ในบรรทัดเดียว อีกอันคือใช้ +all หรือ ?all ปิดท้าย SPF ซึ่งเท่ากับเปิดให้ใครส่งแทนก็ได้ ควรใช้ ~all (softfail) หรือ -all (hardfail) เท่านั้น และอย่าลืมว่า DMARC ที่ตั้ง p=reject โดยไม่เคยอ่านรายงานเลยคือการเสี่ยงทำเมลตัวเองตกโดยไม่รู้ตัว

ถ้าธุรกิจคุณพึ่งอีเมลเป็นช่องทางหลักในการ nurture ลูกค้า การวาง infrastructure ให้ถูกตั้งแต่ต้นสำคัญพอ ๆ กับการวาง server-side tracking ให้ข้อมูลไม่หลุด ทั้งคู่เป็นงานหลังบ้านที่ไม่มีใครเห็นแต่พังทีกระทบทั้งระบบ

FAQ

ตั้ง SPF อย่างเดียวพอไหม?
ไม่พอแล้วในยุคนี้ ผู้ส่งปริมาณมากไปยัง Gmail/Yahoo ต้องมี DKIM และ DMARC ด้วยตั้งแต่ปี 2024 SPF ตัวเดียวจะทำให้เมลคุณเสียเปรียบตั้งแต่ออกสตาร์ท

DMARC ต้องตั้ง p=reject เลยไหม?
ไม่ควร เริ่มที่ p=none เพื่ออ่านรายงานก่อนอย่างน้อย 2-4 สัปดาห์ ให้แน่ใจว่าเมลจริงผ่าน SPF/DKIM ครบ แล้วค่อยขยับเป็น quarantine และ reject การกระโดดไป reject วันแรกเสี่ยงตีเมลตัวเองตก

ตั้ง DNS แล้วทำไมยังไม่ทำงาน?
DNS record ต้องใช้เวลา propagate ปกติ 24-48 ชั่วโมง ถ้าเกินนั้นให้เช็ค selector ของ DKIM ว่าตรงกับที่แผงอีเมลระบุ และเช็คว่าไม่มี SPF ซ้อนกันหลายบรรทัด

เมลผ่าน auth หมดแต่ยังตกสแปม เพราะอะไร?
authentication เป็นแค่ฐาน ปลายทางยังดู engagement (คนเปิด/ตอบ/ลบทิ้ง), อัตราการกดสแปม, และคุณภาพ list ด้วย ถ้าฐานผ่านแล้วยังตก ให้ไปดูที่ list hygiene และเนื้อหาต่อ

ธุรกิจเล็กส่งวันละไม่กี่ฉบับต้องทำไหม?
ควรทำ แม้ยังไม่ถึงเกณฑ์บังคับ 5,000 ฉบับ/วัน การมี SPF DKIM DMARC ครบช่วยป้องกันคนปลอมชื่อโดเมนคุณไปหลอกลูกค้า และเพิ่มโอกาสเข้า inbox ตั้งแต่แรก

สรุป

spf dkim dmarc คือ ระบบยืนยันตัวตนสามชั้นที่กลายเป็นเงื่อนไขขั้นต่ำ ไม่ใช่ของเสริมอีกต่อไป จำสามอย่างนี้ไว้ หนึ่ง — ตั้งตามลำดับ SPF → DKIM → DMARC อย่าข้ามขั้น สอง — เริ่ม DMARC ที่ p=none อ่านรายงานก่อนค่อยเข้มขึ้นทีละสเต็ป สาม — เวลาเมลตกสแปมให้ไล่แก้ชั้น authentication ก่อนเสมอ แล้วค่อยไปที่ list และเนื้อหา

อยากเข้าใจภาพรวมการวาง MarTech stack สำหรับ B2B ให้ต่อกันทั้งระบบ อ่านต่อที่ Email Marketing Guide หรือดู รวม Guides ทั้งหมด เพื่อวางรากฐานงานหลังบ้านให้แน่นก่อนยิงแคมเปญจริง