<div class="key-takeaways"><ul><li>ตรวจสอบ DNS สดของ 152 โดเมนชั้นนำเพื่อวัดการใช้ SPF, DMARC และ MTA-STS</li><li>โดเมนส่วนใหญ่บังคับใช้นโยบาย DMARC ขั้นเข้มงวดแบบ p=reject มากกว่าแค่เฝ้าระวัง</li><li>มาตรฐานขนส่งอีเมลเข้ารหัสอย่าง MTA-STS ยังมีอัตราการใช้งานต่ำมากเพียง 9.2%</li><li>ความยุ่งยากในการตั้งค่าคืออุปสรรคสำคัญที่ทำให้ MTA-STS ยังไม่แพร่หลาย</li></ul></div><p>ระบบความปลอดภัยอีเมลอย่าง SPF, DMARC และ MTA-STS ทำหน้าที่เป็นบันทึก DNS สำคัญที่ช่วยป้องกันไม่ให้ผู้ไม่หวังอ้างชื่อโดเมนเพื่อส่งอีเมลปลอม แม้ผู้เชี่ยวชาญจะแนะนำให้ตั้งค่าเหล่านี้อย่างต่อเนื่อง แต่สถานการณ์จริงในกลุ่มเว็บไซต์ชั้นนำยังคงเป็นที่น่าสงสัย นักวิจัยจึงได้ทำการสืบค้นข้อมูล DNS สดจาก 152 โดเมนที่มีผู้ใช้งานมากที่สุด เพื่อตรวจสอบว่าเว็บไซต์แถวหน้าของโลกเหล่านี้มีการป้องกันอีเมลจริงหรือไม่ โดยผลลัพธ์สรุปได้ว่าพื้นฐานความปลอดภัยถูกจัดการได้ดีแล้ว แต่อีกหลายมาตรฐานยังคงถูกละเลย</p><p>จากการตรวจสอบ 152 โดเมน พบว่ามี 146 โดเมนที่รับอีเมลจริงผ่านการประกาศ MX record โดยในกลุ่มนี้มีอัตราการใช้งานบันทึกความปลอดภัยพื้นฐานในระดับที่สูงมากเกือบทั้งหมด ยกเว้นมาตรฐานใหม่ที่ตกลงมาอย่างเห็นได้ชัด</p><div class="stat-row"><div class="stat-item"><span class="stat-number">146</span><span class="stat-label">โดเมนรับอีเมลจริงจาก 152 โดเมนที่ทดสอบ</span></div><div class="stat-item"><span class="stat-number">75%</span><span class="stat-label">ใช้ DMARC นโยบาย p=reject เข้มงวดที่สุด</span></div><div class="stat-item"><span class="stat-number">9.2%</span><span class="stat-label">โดเมนที่นำมาตรฐาน MTA-STS มาใช้</span></div></div><p>การมีบันทึก DMARC อย่างเดียวอาจเป็นเพียงรูปแบบภายนอก เนื่องจากนโยบาย p= จะเป็นตัวกำหนดว่าเซิร์ฟเวอร์ปลายทางควรจัดการอย่างไรกับอีเมลที่ไม่ผ่านการตรวจสอบสิทธิ์ ดังนั้นคำถามที่แท้จริงจึงไม่ใช่แค่ว่าติดตั้ง DMARC หรือยัง แต่เป็นการตั้งค่าบังคับใช้จริงจังแค่ไหน ซึ่งจากผลสำรวจพบว่าเว็บไซต์ระดับบนสุดให้ความสำคัญในจุดนี้ โดยมีถึง 114 จาก 152 โดเมนเลือกใช้นโยบาย p=reject ซึ่งเป็นค่าที่เข้มงวดที่สุด มี 26 โดเมนใช้ p=quarantine และมีเพียง 10 โดเมนเท่านั้นที่ตั้งค่าเป็น p=none สำหรับการเฝ้าระวังอย่างเดียว</p><div class="mb-20"><img class="img-bdrd-16" src="https://api.inewgen.co/uploads/152_spf_dmarc_mu14ux2t_inline_1_f53c13b1f6.jpg" alt="chromebook notebook computer office desk workspace" loading="lazy" /><p class="color-gray-500 text-sm mt-10">ภาพประกอบจากคลังภาพสต็อก ไม่ใช่ภาพจากเหตุการณ์จริง</p></div><p>ตัวเลขดังกล่าวสะท้อนให้เห็นว่า 75% ของทั้งหมดเลือกใช้นโยบายที่เข้มงวดที่สุด และ 93% ของผู้ที่เผยแพร่ DMARC ได้ทำการบังคับใช้จริงจัง การปล่อยให้นโยบายค้างไว้ที่ p=none ตลอดไปจึงเป็นเรื่องที่พบได้น้อยมากในกลุ่มโดเมนขนาดใหญ่เหล่านี้</p><div class="ai-insight"><p>การที่โดเมนชั้นนำส่วนใหญ่เลือกใช้ p=reject แทนที่จะเป็น p=none แสดงถึงความมั่นใจในโครงสร้างพื้นฐานอีเมลขององค์กร เพราะการตั้งค่าแบบปฏิเสธเมลปลอมทันทีช่วยลดความเสี่ยงการถูกฟิชชิ่งได้อย่างเด็ดขาด แต่อาจส่งผลกระทบหากตั้งค่าระบบภายในไม่รัดกุมพอ การที่กลุ่มนี้ทำได้สำเร็จจึงบ่งบอกถึงความพร้อมทางเทคนิคขั้นสูง</p></div><p>แม้ SPF และ DMARC จะช่วยยืนยันตัวผู้ส่งอีเมลได้ แต่กลับไม่มีผลใดๆ กับวิธีการเดินทางของข้อมูลระหว่างเซิร์ฟเวอร์อีเมล ซึ่งมาตรฐาน MTA-STS เข้ามาอุดช่องว่างนี้ด้วยการประกาศนโยบายบังคับส่งผ่าน TLS เสมอและห้ามลดระดับลงเป็นข้อความธรรมดา เพื่อป้องกันการถูกดักฟังระหว่างทาง โดยในกลุ่มโดเมนชั้นนำเหล่านี้มีสัดส่วนการใช้งาน MTA-STS เพียง 9.2% เท่านั้น</p><p>สาเหตุหลักมาจากเรื่องของความยุ่งยากในการตั้งค่า เนื่องจาก SPF และ DMARC ใช้บันทึก TXT เพียงบรรทัดเดียว แต่ MTA-STS จำเป็นต้องมีไฟล์นโยบายบนโฮสต์ใต้ซับโดเมน mta-sts พร้อมกับบันทึก DNS เพิ่มเติม ทำให้มีขั้นตอนที่ซับซ้อนกว่า หลายองค์กรจึงยังไม่ได้ดำเนินการ หากคุณตั้งค่า DMARC เรียบร้อยแล้วและต้องการยกระดับความปลอดภัยขั้นถัดไป MTA-STS คือคำตอบที่จะทำให้คุณก้าวล้ำนำหน้า</p><p class="source-attribution">ที่มา: <img src="https://www.google.com/s2/favicons?domain=dev.to&sz=64" alt="Dev.to" class="source-logo" width="16" height="16" /> <a href="https://dev.to/lucian_lkb_1f009d/do-the-top-domains-actually-protect-their-email-spf-dmarc-and-mta-sts-measured-3n68" target="_blank" rel="noopener noreferrer">Dev.to</a></p>

<div class="key-takeaways"><ul><li>Queried live DNS records for 152 top domains to measure email security adoption</li><li>Most major domains enforce strict DMARC p=reject policies rather than monitoring</li><li>Transport security standard MTA-STS remains adopted by only 9.2% of domains</li><li>Configuration friction and complexity explain the slow adoption of MTA-STS</li></ul></div><p>Protocols like SPF, DMARC, and MTA-STS act as essential DNS records preventing malicious actors from spoofing emails from your domain. While experts universally recommend configuring them, the actual implementation status among top-tier websites remains a critical question. Researchers queried live DNS records for 152 of the most frequently used domains to evaluate whether top web properties genuinely protect their email infrastructure, discovering that while fundamentals are well handled, newer transport standards remain widely overlooked.</p><p>Out of the 152 domains analyzed, 146 actively receive mail by publishing MX records. Among this active subset, the adoption rates for foundational authentication standards are exceptionally high, though the advanced standard drops off sharply.</p><div class="stat-row"><div class="stat-item"><span class="stat-number">146</span><span class="stat-label">Domains actively receiving mail out of 152 tested</span></div><div class="stat-item"><span class="stat-number">75%</span><span class="stat-label">Enforce strict DMARC p=reject policy setting</span></div><div class="stat-item"><span class="stat-number">9.2%</span><span class="stat-label">Domains utilizing the MTA-STS transport standard</span></div></div><p>A DMARC record can sometimes be merely decorative, as the p= policy dictates how receiving servers handle messages failing authentication. Therefore, the core question is not just whether domains publish DMARC, but whether they actively enforce it. At the upper echelon of the web, they certainly do: 114 out of 152 domains deploy p=reject, the strictest setting available, while 26 use p=quarantine, and only 10 remain at monitor-only p=none settings.</p><div class="mb-20"><img class="img-bdrd-16" src="https://api.inewgen.co/uploads/152_spf_dmarc_mu14ux2t_inline_1_f53c13b1f6.jpg" alt="chromebook notebook computer office desk workspace" loading="lazy" /><p class="color-gray-500 text-sm mt-10">Stock photo for illustration only, not from the actual event</p></div><p>These figures demonstrate that 75% of the evaluated domains utilize the strictest policy, and 93% of those publishing DMARC actively enforce it. The common half-measure of publishing a record and leaving it on monitor-only mode indefinitely is exceptionally rare among these large-scale domains.</p><div class="ai-insight" data-source="ai-insight"><p>The heavy preference for p=reject over monitor-only policies highlights strong operational confidence among leading organizations. Enforcing strict rejection cuts off potential phishing threats immediately, but requires precise internal mail configurations to avoid delivery blockages, signaling high technical maturity.</p></div><p>While SPF and DMARC authenticate message senders, they do nothing to secure transit between mail servers. MTA-STS closes this gap by publishing policies requiring delivery over TLS without falling back to plaintext, defeating downgrade attacks on the wire. It represents the natural next step following DMARC, yet among these top domains, a mere 9.2% have implemented it.</p><p>The primary barrier is configuration friction. While SPF and DMARC require single TXT records, MTA-STS requires a hosted policy file on an mta-sts subdomain alongside additional DNS records. This complexity leaves most organizations hesitant. If you have already established DMARC and seek genuine security gains, MTA-STS offers the next logical milestone.</p><p class="source-attribution">Source: <img src="https://www.google.com/s2/favicons?domain=dev.to&sz=64" alt="Dev.to" class="source-logo" width="16" height="16" /> <a href="https://dev.to/lucian_lkb_1f009d/do-the-top-domains-actually-protect-their-email-spf-dmarc-and-mta-sts-measured-3n68" target="_blank" rel="noopener noreferrer">Dev.to</a></p>

medium_เจาะลึก-152-โดเมนดัง-วัดจริงความปลอดภัยอีเมล-spf-dmarc-mu14ux2t.jpg

small_เจาะลึก-152-โดเมนดัง-วัดจริงความปลอดภัยอีเมล-spf-dmarc-mu14ux2t.jpg

thumbnail_เจาะลึก-152-โดเมนดัง-วัดจริงความปลอดภัยอีเมล-spf-dmarc-mu14ux2t.jpg

Inewgen

Inewgen

#email authentication

Measuring Top Domains: SPF, DMARC, and MTA-STS

Inewgen