ใช้อีเมลบริษัทแล้วเข้าสแปม ส่งไม่ถึงลูกค้า แก้ยังไง?

เคยไหมครับ ส่งอีเมลสำคัญไปหาลูกค้าหรือคู่ค้า แล้วอีเมลของคุณ "ไปไม่ถึง" กล่องขาเข้าปกติ บางกรณีปลายทางมีระบบแจ้งเตือนกลับมาทันทีว่าโดนบล็อก แต่หลายกรณีก็เงียบไปเฉยๆ โดยไม่มีใครแจ้งอะไรเลย กว่าจะรู้ตัวก็ตอนที่คู่ค้าโทรมาถามว่า "ทำไมไม่เห็นตอบเมล"

ล่าสุดผมเจอเคสแบบนี้กับตัวเอง ส่งอีเมลยืนยันการเข้าอบรมธรรมดาๆ ไปหาหน่วยงานภายนอกขนาดใหญ่แห่งหนึ่งที่ผมต้องติดต่อด้วย แล้วได้รับอีเมลตอบกลับอัตโนมัติทันทีว่าอีเมลถูกบล็อกเพราะ "Low Email Security Score" (โชคดีที่ปลายทางนี้แจ้งกลับมาให้รู้ตัว) พอให้ AI เช็คดูจริงๆ ถึงรู้ว่าโดเมนบริษัทเราใช้งาน Google Workspace มาหลายปี แต่ ไม่เคยรู้มาก่อนเลยว่าต้องมีการตั้งค่าความปลอดภัยของอีเมลอีก 3 ตัว นอกเหนือจากการสมัคร Google Workspace ปกติ — เพราะระบบไม่ได้บังคับหรือเตือนตอนสมัครใช้งานว่าต้องตั้งค่าเพิ่ม ธุรกิจจำนวนมากเลยใช้อีเมลบริษัทมาเป็นปีๆ โดยไม่รู้ตัวว่าขาดสิ่งนี้อยู่

แต่ที่น่ากลัวกว่าคือ ปลายทางส่วนใหญ่ไม่แจ้งกลับมาแบบนี้ หลายระบบแค่เงียบๆ ทิ้งอีเมลไปโดยไม่ตีกลับอะไรเลย เจ้าของธุรกิจก็เลยไม่มีทางรู้ตัวว่าตัวเองกำลังส่งอีเมลสำคัญ (ใบเสนอราคา, ยืนยันการสมัคร, เอกสารนัดหมาย) ไปไม่ถึงลูกค้าอยู่เรื่อยๆ กว่าจะรู้ตัวอีกทีก็ตอนลูกค้าโทรมาทวงหรือหายเงียบไปเฉยๆ ซึ่งสายเกินไปแล้ว

ทำไมอีเมลถึงถูกบล็อก ทั้งที่ไม่ได้ส่งสแปม

ระบบอีเมลของหน่วยงานใหญ่ๆ ในปัจจุบัน (โดยเฉพาะองค์กรที่เข้มงวดด้านความปลอดภัย) จะเช็ค 3 มาตรฐานนี้แบบอัตโนมัติก่อนตัดสินใจว่าจะให้อีเมลของคุณเข้ากล่องขาเข้า หรือโดนเตะไปที่สแปม/บล็อกทันที:

1. SPF (Sender Policy Framework)

คือรายชื่อ "เซิร์ฟเวอร์ที่ได้รับอนุญาต" ให้ส่งอีเมลในนามโดเมนของคุณ ถ้าไม่มี SPF ระบบปลายทางจะไม่มีทางรู้เลยว่าอีเมลที่อ้างว่ามาจากโดเมนคุณ มาจากเซิร์ฟเวอร์จริงหรือถูกปลอมแปลง (Spoofing)

2. DKIM (DomainKeys Identified Mail)

คือการเซ็นลายเซ็นดิจิทัลแนบไปกับทุกอีเมลที่ส่งออก ปลายทางจะใช้กุญแจสาธารณะที่ประกาศไว้ใน DNS ตรวจสอบว่าเนื้อหาอีเมลไม่ถูกแก้ไขระหว่างทาง

3. DMARC (Domain-based Message Authentication, Reporting & Conformance)

คือนโยบายที่บอกปลายทางว่า "ถ้าอีเมลสอบตก SPF หรือ DKIM ให้ทำยังไง" — ปล่อยผ่าน (none), กักไว้ก่อน (quarantine) หรือปฏิเสธเลย (reject) และยังเป็นตัวรับรายงานกลับมาให้เจ้าของโดเมนรู้ว่ามีใครพยายามปลอมอีเมลใช้ชื่อโดเมนเราบ้าง

ถ้าขาดไปแม้แต่ตัวเดียว โดเมนของคุณจะดูน่าเชื่อถือต่ำในสายตาระบบกรองสแปม ยิ่งองค์กรที่ปลายทางเข้มงวด ยิ่งมีโอกาสโดนบล็อกสูง

วิธีเช็คว่าโดเมนคุณขาดอะไรบ้าง

เช็คได้ฟรีผ่านเว็บ MXToolbox หรือใช้คำสั่ง command line ก็ได้ (สำหรับสายเทค):

nslookup -type=TXT yourdomain.com
nslookup -type=TXT _dmarc.yourdomain.com

ถ้า SPF ไม่มี จะไม่เจอ record ที่ขึ้นต้นด้วย v=spf1 เลย ส่วน DMARC ถ้ายังไม่ได้ตั้งจะเช็ค _dmarc subdomain ไม่เจออะไรเลย

วิธีแก้ทีละขั้น (ใช้เวลาจริงแค่ 10-15 นาที)

หมายเหตุ: ขั้นตอนด้านล่างใช้ได้เหมือนกันไม่ว่าโดเมนของคุณจะจดทะเบียนหรือตั้ง DNS ไว้กับผู้ให้บริการเจ้าไหนก็ตาม เช่น Cloudflare, GoDaddy, Namecheap, DirectAdmin หรือผู้ให้บริการโฮสติ้งในไทย หลักการเหมือนกันหมดคือ "เพิ่ม TXT record" แค่หน้าตาเมนูจะต่างกันไปตามแต่ละเจ้า ปกติจะอยู่ในเมนูชื่อ DNS Management, DNS Records หรือ Zone Editor ถ้าหาไม่เจอ ลองค้นหา "เพิ่ม TXT record [ชื่อผู้ให้บริการที่คุณใช้]" หรือสอบถามฝ่ายซัพพอร์ตของผู้ให้บริการนั้นได้เลย ค่าที่ต้องกรอก (SPF/DKIM/DMARC record) เหมือนกันทุกที่ตามตัวอย่างด้านล่าง

ขั้นตอนที่ 1: เพิ่ม SPF Record

เข้าไปที่ผู้ให้บริการ DNS ของโดเมน (เช่น Cloudflare, GoDaddy) แล้วเพิ่ม TXT record ที่ root domain ตามผู้ให้บริการอีเมลที่ใช้อยู่ ตัวอย่างถ้าใช้ Google Workspace:

Type: TXT
Name: @ (หรือชื่อโดเมนตรงๆ)
Content: v=spf1 include:_spf.google.com ~all

ตัวอย่างหน้าตาหลังเพิ่ม TXT record ครบทั้ง SPF, DKIM, DMARC ใน DNS (ภาพจำลองเพื่อประกอบความเข้าใจ):

ถ้าใช้ผู้ให้บริการอีเมลอื่น (Microsoft 365, Zoho ฯลฯ) ค่า include: จะเปลี่ยนไปตามผู้ให้บริการนั้นๆ ลองค้นหา "SPF record [ชื่อผู้ให้บริการ]" เพื่อหาค่าที่ถูกต้อง

ขั้นตอนที่ 2: เปิด DKIM

ถ้าใช้ Google Workspace เข้า Admin Console > Apps > Google Workspace > Gmail > Authenticate email แล้วกด Generate new record เลือก key length 2048-bit จะได้ TXT record มาให้คัดลอกไปวางใน DNS จากนั้นกด Start authentication

หมายเหตุ: ถ้าโดเมนเพิ่งเปิดใช้ Gmail มาไม่นาน ระบบอาจให้รอ 24-72 ชั่วโมงก่อนสร้าง DKIM ได้ ไม่ต้องตกใจถ้าเจอข้อความแจ้งเตือนนี้

เมื่อคัดลอก TXT record ไปวางใน DNS แล้ว กลับมากด Start authentication ถ้าสำเร็จจะเห็นสถานะ "ON for everyone" แบบนี้:

ขั้นตอนที่ 3: ตั้งค่า DMARC

เพิ่ม TXT record อีกตัวที่ _dmarc.yourdomain.com เริ่มจากโหมด monitor ก่อนเพื่อความปลอดภัย:

Type: TXT
Name: _dmarc
Content: v=DMARC1; p=none; rua=mailto:[email protected]

รอสัก 1-2 สัปดาห์ดูรายงานที่ส่งเข้ามาว่าอีเมลของคุณเองผ่าน SPF/DKIM ปกติดีหรือไม่ ถ้าเรียบร้อยแล้วค่อยขยับ p=none เป็น p=quarantine เพื่อให้ปลายทางเริ่มกักอีเมลที่ปลอมแปลงโดเมนเราไว้ก่อนส่งถึงกล่องขาเข้า

ข้อควรระวัง: อย่ากระโดดไปตั้ง p=reject ทันทีตั้งแต่วันแรก เพราะถ้า SPF/DKIM ของคุณยังตั้งไม่ครบทุกช่องทางที่ใช้ส่งอีเมลจริง (เช่น ระบบส่งอีเมลอัตโนมัติจากเว็บไซต์, ระบบ CRM) อีเมลของคุณเองอาจถูกปฏิเสธไปด้วย

ใช้ AI ช่วยแก้ให้ทั้งหมด ผมทำแบบนี้

เคสของผมเอง เริ่มต้นจากการเอาอีเมลแจ้งเตือนที่โดนตีกลับมาส่งให้ AI ผู้ช่วย (Claude Code) ศึกษาว่าเนื้อหาบอกอะไร ต้นตอคืออะไร จากนั้น AI ก็ลงมือทำต่อให้เองแบบไม่มีคนคลิกเลยสักขั้นตอน ตั้งแต่เช็ค DNS record ปัจจุบันของโดเมนว่าขาดอะไร ไปจนถึง สร้าง SPF/DKIM/DMARC record ให้เองอัตโนมัติ เขียน record เข้าไปตรงๆ ผ่านระบบของ Cloudflare เอง ไม่ต้องเปิด dashboard คลิกเองแม้แต่ครั้งเดียว เพราะตัว AI ต่อเข้ากับระบบจัดการ DNS ของ Cloudflare ได้โดยตรงผ่านเทคโนโลยีที่เรียกว่า MCP (Model Context Protocol) ทำให้ AI สั่งงานระบบจริงแทนคนได้เลย ไม่ใช่แค่บอกวิธีทำแล้วให้เราไปคลิกเอง

ส่วนที่เหลือ (การเปิด DKIM ผ่าน Google Workspace Admin Console) ยังต้องทำเองเพราะเป็นหน้าจอที่ AI เข้าไปกดแทนไม่ได้โดยตรง แต่ AI ช่วยบอกทีละขั้นตอนและเตรียมค่าที่ต้องเอาไปกรอกให้พร้อม ทำให้งานที่ปกติต้องนั่งไล่เช็คเองทีละจุด เสร็จได้ภายในไม่กี่นาที นี่คือตัวอย่างจริงของการเอา AI มาช่วยงานหลังบ้านที่ไม่ใช่แค่เขียนคอนเทนต์ แต่ลงมือแก้ปัญหาระบบจริงได้ด้วย

ข้อดีของการตั้งค่า SPF, DKIM, DMARC ให้ครบ

• อีเมลสำคัญไปถึงปลายทางแน่นอนขึ้น: ใบเสนอราคา ใบยืนยันการสมัคร เอกสารนัดหมาย ไม่หายไปเงียบๆ ระหว่างทาง
• ลดโอกาสตกเป็นสแปม: แม้แต่อีเมลที่ส่งไปหาลูกค้าที่ใช้ Gmail/Outlook ทั่วไป ก็มีโอกาสเข้ากล่องหลักแทนที่จะตกไปโฟลเดอร์สแปมมากขึ้น
• ป้องกันมิจฉาชีพปลอมอีเมลใช้ชื่อโดเมนเรา: DMARC ช่วยไม่ให้คนร้ายส่งอีเมลหลอกลวง (phishing) โดยอ้างว่ามาจากบริษัทเราไปหลอกลูกค้าคนอื่นได้ง่ายๆ
• ดูน่าเชื่อถือขึ้นในสายตาองค์กรใหญ่: หน่วยงาน/บริษัทขนาดใหญ่จำนวนมากตั้งระบบกรองอีเมลเข้มงวด การมี SPF/DKIM/DMARC ครบคือมาตรฐานขั้นต่ำที่ทำให้ผ่านการตรวจสอบอัตโนมัติ
• ได้รายงานแจ้งเตือน (DMARC Report): รู้ทันทีถ้ามีใครพยายามปลอมอีเมลโดยใช้ชื่อโดเมนเรา ก่อนที่จะกลายเป็นปัญหาใหญ่

รอนานแค่ไหนกว่าจะเห็นผล

DNS record ใหม่อาจใช้เวลา propagate ได้ถึง 24-48 ชั่วโมง หลังตั้งค่าเสร็จ แนะนำให้เช็คคะแนนความน่าเชื่อถือของโดเมนที่ mail-tester.com ก่อนส่งอีเมลสำคัญไปยังคู่ค้าอีกครั้ง ถ้าได้คะแนน 9-10/10 แปลว่าตั้งค่าถูกต้องแล้ว

คำถามที่พบบ่อย (FAQ)

SPF, DKIM, DMARC ต่างกันยังไง ต้องทำครบทั้ง 3 ตัวไหม

ทั้ง 3 ตัวทำหน้าที่ต่างกันและเสริมกัน: SPF บอกว่าเซิร์ฟเวอร์ไหนส่งอีเมลแทนโดเมนเราได้บ้าง, DKIM ยืนยันว่าเนื้อหาอีเมลไม่ถูกแก้ไขระหว่างทาง, ส่วน DMARC เป็นนโยบายสั่งปลายทางว่าถ้าอีเมลสอบตก SPF/DKIM ให้ทำอย่างไร แนะนำให้ทำครบทั้ง 3 ตัว เพราะขาดตัวใดตัวหนึ่งจะทำให้ระบบกรองสแปมของปลายทางมองว่าโดเมนน่าเชื่อถือต่ำ

ตั้งค่า SPF, DKIM, DMARC เสร็จแล้วต้องรอนานแค่ไหนถึงเห็นผล

DNS record ใหม่ใช้เวลา propagate ทั่วโลกได้ถึง 24-48 ชั่วโมง แนะนำให้รอสัก 1-2 วันแล้วเช็คคะแนนความน่าเชื่อถือของโดเมนที่เว็บ mail-tester.com ก่อนส่งอีเมลสำคัญอีกครั้ง

ถ้าโดเมนไม่ได้จดกับ Cloudflare ต้องทำยังไง

ขั้นตอนเหมือนกันทุกผู้ให้บริการ แค่ต้องไปเพิ่ม TXT record ในหน้า DNS Management ของผู้ให้บริการที่คุณใช้อยู่ (เช่น GoDaddy, Namecheap หรือผู้ให้บริการโฮสติ้งในไทย) ค่า SPF/DKIM/DMARC record ที่ใช้กรอกเหมือนกันทุกที่ ต่างกันแค่หน้าตาเมนู

ใช้อีเมลบริษัทเจ้าอื่นที่ไม่ใช่ Google Workspace ใช้บทความนี้ได้ไหม

ได้ครับ หลักการ SPF, DKIM, DMARC เหมือนกันทุกผู้ให้บริการอีเมล ไม่ว่าจะเป็น Microsoft 365, Zoho Mail หรือผู้ให้บริการอีเมลบริษัทเจ้าอื่น ต่างกันแค่วิธีเปิด DKIM (แต่ละเจ้ามีหน้า Admin Console ของตัวเอง) ส่วนขั้นตอนเพิ่ม TXT record ใน DNS เหมือนกันทั้งหมด ลองค้นหา "เปิด DKIM [ชื่อผู้ให้บริการอีเมลที่ใช้]" เพื่อหาขั้นตอนเฉพาะของเจ้านั้น

DMARC ควรตั้งเป็น p=none, p=quarantine หรือ p=reject

เริ่มจาก p=none ก่อนเสมอเพื่อดูรายงานว่าอีเมลของเราเองผ่าน SPF/DKIM ปกติหรือไม่ หลังมั่นใจแล้วค่อยขยับเป็น p=quarantine และค่อยๆ ขยับไป p=reject ในขั้นสุดท้าย การกระโดดไป reject ทันทีมีความเสี่ยงที่อีเมลของตัวเองจะถูกปฏิเสธไปด้วยหากตั้งค่าไม่ครบทุกช่องทางที่ใช้ส่งจริง

สรุป

ถ้าธุรกิจของคุณเคยเจออีเมลไม่ถึงปลายทางแบบไม่มีสาเหตุ อย่าเพิ่งโทษว่าคนอื่นไม่เช็คอีเมล ลองเช็ค SPF, DKIM, DMARC ของโดเมนตัวเองก่อน เป็นเรื่องที่หลายบริษัทมองข้ามเพราะตั้งค่าครั้งเดียวตอนเปิดโดเมนแล้วไม่เคยกลับมาดูอีกเลย ทั้งที่จริงๆ ใช้เวลาแก้ไม่ถึงครึ่งชั่วโมง แต่ป้องกันความเสียหายทางธุรกิจได้มาก ทั้งเรื่องอีเมลไม่ถึงลูกค้า และการป้องกันมิจฉาชีพแอบอ้างชื่อโดเมนเราไปหลอกคนอื่น

ผมไม่มีพนักงาน ธุรกิจนี้ผมทำเองคนเดียวเป็นหลัก เคสแก้ SPF/DKIM/DMARC ที่เล่ามาทั้งหมดเป็นตัวอย่างหนึ่งของการเอา AI มาทำงานแทนตำแหน่งที่ปกติต้องจ้างคนทำ ไม่ใช่แค่เรื่องเล่าเฉยๆ แต่เป็นแนวทางที่ผมเอาไปสอนจริงในคอร์สด้วย