Blog cá nhân về an ninh mạng
Blog
-
MTA-STS và TLS-RPT cho người mới
MTA-STS buộc các máy chủ gửi thư tới bạn phải dùng kết nối mã hoá, TLS-RPT gửi báo cáo khi có lỗi. Bài này giải thích cách hoạt động, cách triển khai an toàn ở chế độ testing và những chỗ hay sai.
-
HSTS: bật thế nào mà không tự khoá website
HSTS buộc trình duyệt luôn dùng HTTPS cho website của bạn, nhưng đặt sai có thể khiến cả tên miền con hoặc cả website không truy cập được. Bài này đưa ra lộ trình tăng max-age từng bước và cách bật trên Nginx, Apache, cPanel, DirectAdmin, Cloudflare.
-
DMARC: từ p=none lên quarantine và reject một cách an toàn
DMARC cho người nhận biết phải làm gì với thư mạo danh tên miền của bạn. Bài này đi từng bước: bắt đầu p=none kèm rua, đọc báo cáo, nâng lên quarantine với pct tăng dần rồi reject, và những bẫy dễ làm mất thư thật.
-
DKIM: bật và kiểm tra chữ ký email
DKIM gắn chữ ký số vào mỗi email để người nhận biết thư đúng do tên miền của bạn gửi và không bị sửa nội dung. Bài này hướng dẫn bật DKIM trên Google Workspace, Microsoft 365, Zoho, cPanel, DirectAdmin và cách tự kiểm tra.
-
Content-Security-Policy và các security header cơ bản
Security header là nội quy website gửi cho trình duyệt. Bài này giải thích các header cơ bản (nosniff, frame-ancestors, Referrer-Policy, Permissions-Policy) và cách đưa CSP vào dần dần bằng chế độ Report-Only, kèm cấu hình cho Nginx, Apache, .htaccess, Cloudflare.
-
Chứng chỉ TLS hết hạn: nguyên nhân và cách phòng
Chứng chỉ hết hạn là sự cố rất phổ biến nhưng phòng được gần như hoàn toàn. Bài này liệt kê các nguyên nhân thật sự hay gặp (gia hạn tự động hỏng, quên nạp lại máy chủ, email nhắc gửi nhầm người) và cách đặt giám sát bằng openssl.
-
Bản ghi SPF là gì và cách thêm đúng
SPF là danh sách các máy chủ được phép gửi thư mang tên miền của bạn. Bài này giải thích cú pháp, ba lỗi hay gặp (hai bản ghi, quá 10 lần tra cứu, +all) và cách thêm trên Cloudflare, Google Workspace, Microsoft 365, Zoho, cPanel, DirectAdmin.
-
7 dấu hiệu email lừa đảo mạo danh doanh nghiệp
Email giả danh giám đốc, kế toán hay đối tác để lừa chuyển tiền ngày càng khó nhận ra. Bài này chỉ ra bảy dấu hiệu cụ thể, cách xem header thư gốc trên Gmail, Outlook, Zoho và quy trình xác nhận trước khi chuyển tiền hay đổi thông tin thanh toán.