Panduan SPF, DKIM, dan DMARC: cara mengautentikasi domain pengirim email

Siapa pun bisa menulis alamat Anda di kolom "From" sebuah email. Karena itu penyedia inbox tidak percaya begitu saja. Mereka memeriksa tiga mekanisme autentikasi berbasis DNS: SPF, DKIM, dan DMARC. Tanpa ketiganya, email Anda lebih mungkin ditolak atau masuk spam, dan domain Anda lebih mudah dipalsukan untuk phishing.

SPF: siapa yang boleh mengirim atas nama domain

SPF (Sender Policy Framework) adalah record TXT yang mendaftar server mana yang diizinkan mengirim email untuk sebuah domain. Server penerima memeriksa domain di alamat envelope sender (Return-Path atau MAIL FROM), bukan alamat From yang dilihat pengguna.

mail.contoh.com.  TXT  "v=spf1 include:penyedia-email.example ~all"

• Satu domain, satu record SPF. Dua record v=spf1 pada nama yang sama membuat SPF gagal. Gabungkan semua include ke satu record.
• Batas 10 DNS lookup. Setiap include, a, mx, dan redirect dihitung. Lebih dari 10 menghasilkan error permanen.
• Akhiran `~all` atau `-all`. ~all (softfail) lebih aman saat transisi, -all (fail) lebih tegas setelah semua sumber pengiriman terdaftar.

DKIM: tanda tangan digital di setiap email

DKIM (DomainKeys Identified Mail) menambahkan tanda tangan kriptografis ke header email. Server pengirim menandatangani dengan kunci privat, lalu server penerima mengambil kunci publik dari DNS di alamat selector._domainkey.domain-anda untuk memverifikasi bahwa isi email tidak diubah dan benar-benar berasal dari domain itu.

selector1._domainkey.contoh.com.  CNAME  selector1.dkim.penyedia-email.example.

Keunggulan DKIM dibanding SPF adalah tanda tangannya tetap valid ketika email diteruskan (forwarding), karena yang diperiksa adalah isi email, bukan server yang mengirim.

DMARC: kebijakan dan laporan

DMARC (Domain-based Message Authentication, Reporting and Conformance) menyatukan SPF dan DKIM. DMARC mewajibkan alignment: domain yang lolos SPF atau DKIM harus cocok dengan domain di alamat From yang dilihat pengguna. DMARC juga memberi tahu penerima apa yang harus dilakukan pada email yang gagal, dan ke mana mengirim laporan.

_dmarc.contoh.com.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@contoh.com"

Urutan aman menaikkan kebijakan DMARC

1. Pasang SPF dan DKIM untuk semua layanan yang mengirim atas nama domain Anda: aplikasi, CRM, helpdesk, tool marketing.
2. Pasang DMARC dengan p=none dan alamat rua. Baca laporannya selama beberapa minggu untuk menemukan sumber pengiriman yang belum terautentikasi.
3. Perbaiki sumber yang gagal alignment, lalu naikkan ke p=quarantine, bisa dimulai dengan pct kecil.
4. Setelah laporan bersih, naikkan ke p=reject untuk perlindungan penuh dari pemalsuan domain.

Kesalahan umum yang sering ditemui

• Menambahkan record SPF kedua alih-alih menggabungkannya ke record yang sudah ada.
• Menulis nama host lengkap di panel DNS yang otomatis menambahkan domain, sehingga hasilnya _dmarc.contoh.com.contoh.com.
• SPF lolos tetapi tidak aligned karena Return-Path memakai domain penyedia, sementara DKIM belum dipasang.
• Menunggu propagasi DNS terlalu singkat. Perubahan bisa butuh beberapa menit sampai beberapa jam tergantung TTL.

Autentikasi domain di CapiMail

Di CapiMail, setiap email dikirim dari domain yang sudah Anda verifikasi. Dashboard menampilkan record DNS yang perlu ditambahkan, termasuk DKIM, record MAIL FROM untuk SPF yang aligned, dan saran record DMARC awal. Pengiriman live baru bisa dilakukan setelah DKIM terverifikasi, dan API mengembalikan domain_not_verified jika Anda mencoba mengirim dari domain yang belum siap.

Baca panduan memulai di dokumentasi atau pelajari kontrol keamanan pengiriman kami.