Cara Mengecek Keamanan Email: SPF, DKIM, dan DMARC

Email dari domain Anda masuk spam? Atau, lebih buruk, ada pihak lain yang mengirim email palsu seolah-olah dari domain Anda? Dua masalah ini biasanya berakar pada tiga pengaturan DNS: SPF, DKIM, dan DMARC. Artikel ini menjelaskan fungsi masing-masing dan cara memeriksanya dengan mudah.

Mengapa keamanan email domain penting?

Email dikirim lewat protokol yang pada dasarnya tidak memeriksa siapa pengirim sebenarnya. Siapa pun bisa menulis alamat pengirim palsu. Karena itu penyedia email seperti Gmail dan Outlook memeriksa tiga pengaturan di DNS domain pengirim untuk menilai apakah sebuah email layak dipercaya. Domain yang tidak mengaturnya berisiko:

• email sah ke pelanggan masuk folder spam atau ditolak;
• domain disalahgunakan untuk phishing dan penipuan atas nama bisnis Anda;
• reputasi domain menurun, sehingga pengiriman berikutnya makin sulit.

Apa itu SPF?

SPF (Sender Policy Framework) adalah daftar server yang boleh mengirim email atas nama domain Anda. Daftar ini disimpan sebagai record TXT yang diawali v=spf1. Contohnya:

v=spf1 include:_spf.penyedia-email.com ~all

Bagian include mengizinkan server penyedia email Anda. Bagian akhir menentukan sikap terhadap pengirim lain:

• ~all (softfail): email dari server tak terdaftar dicurigai, tetapi biasanya tetap diterima.
• -all (fail): email dari server tak terdaftar ditolak.

Satu domain sebaiknya hanya punya satu record SPF. Dua record SPF sekaligus membuat pemeriksaan gagal.

Apa itu DKIM?

DKIM (DomainKeys Identified Mail) menambahkan tanda tangan digital pada setiap email yang keluar. Penerima memeriksa tanda tangan itu dengan kunci publik yang tersimpan di DNS domain Anda. Bila cocok, berarti email tidak diubah di tengah jalan dan benar berasal dari sistem yang berwenang.

Kunci DKIM dibuat oleh penyedia email atau hosting Anda, lalu dipasang sebagai record TXT dengan nama berformat selector._domainkey.contoh.com. Karena nama selector berbeda tiap penyedia, cara paling aman mengaktifkannya adalah mengikuti panduan dari penyedia email Anda.

Apa itu DMARC?

DMARC menyatukan SPF dan DKIM, lalu memberi tahu penerima apa yang harus dilakukan bila email gagal diperiksa. DMARC juga bisa mengirim laporan agar Anda tahu siapa saja yang mengirim email atas nama domain Anda. Record-nya berupa TXT di alamat _dmarc.contoh.com, misalnya:

v=DMARC1; p=none; rua=mailto:[email protected]

Nilai p menentukan kebijakan:

• none: hanya memantau dan mengirim laporan, tanpa menindak email yang gagal.
• quarantine: email yang gagal diperlakukan mencurigakan, biasanya masuk spam.
• reject: email yang gagal ditolak.

Pendekatan yang aman adalah mulai dari none, membaca laporannya sampai semua pengirim sah terdaftar, baru naik ke quarantine lalu reject. Langsung memasang reject bisa membuat email sah ikut tertolak.

Cara mengecek keamanan email domain Anda

1. Buka Cek Keamanan Email.
2. Ketik nama domain Anda, misalnya contoh.com.
3. Lihat hasilnya: record MX untuk penerimaan email, serta SPF dan DMARC untuk keamanan pengiriman.

Untuk melihat isi record mentahnya, gunakan DNS Lookup dan pilih record TXT. Pemeriksaan DKIM memerlukan nama selector dari penyedia email Anda, jadi periksa statusnya juga di panel layanan email atau hosting Anda.

Masalah yang paling sering ditemukan

• Tidak ada SPF: penerima tidak punya daftar server yang sah, sehingga email lebih mudah dicurigai.
• Lebih dari satu record SPF: gabungkan menjadi satu record.
• SPF terlalu banyak include: SPF membatasi jumlah pencarian DNS (maksimal 10). Melebihinya membuat pemeriksaan gagal.
• Layanan baru belum didaftarkan: misalnya Anda memakai aplikasi newsletter atau tagihan, tetapi servernya belum masuk SPF dan DKIM.
• Tidak ada DMARC: penyalahgunaan domain tidak terpantau dan tidak ada kebijakan penolakan.
• Kebijakan DMARC terlalu ketat terlalu cepat: email sah ikut tertolak.

Langkah praktis untuk pemilik website

1. Cek kondisi saat ini di Cek Keamanan Email.
2. Pasang atau perbaiki SPF sesuai penyedia email Anda.
3. Aktifkan DKIM di panel penyedia email atau hosting.
4. Tambahkan DMARC dengan p=none dan alamat laporan yang aktif.
5. Setelah beberapa minggu tanpa masalah, naikkan kebijakan bertahap.

Ingat bahwa perubahan DNS tidak langsung tampil di semua tempat. Bila hasil belum berubah, tunggu beberapa waktu lalu cek lagi.

Ringkasnya

SPF menentukan siapa yang boleh mengirim, DKIM membuktikan email tidak diubah, dan DMARC menetapkan tindakan serta laporan. Ketiganya bekerja bersama untuk melindungi domain Anda. Mulailah dengan memeriksa domain Anda sekarang di Cek Keamanan Email.

Catatan: mengubah record DNS email yang keliru dapat menghentikan pengiriman atau penerimaan email. Catat nilai lama sebelum mengubah, dan bila ragu, tanyakan ke penyedia email atau hosting Anda.