Apa Itu SPF, DKIM, DMARC?

SPF, DKIM, dan DMARC adalah tiga pilar autentikasi email modern. Ketiga mekanisme ini bekerja bersama untuk membuktikan kepada penerima email bahwa pesan benar-benar datang dari domain Anda, bukan pemalsuan. Sejak Februari 2024, Gmail dan Yahoo Mail mewajibkan SPF dan DKIM untuk semua pengirim email massal — jika Anda menjalankan newsletter, transaksional email, atau e-commerce dari domain Anda sendiri di Indonesia, ketiga autentikasi ini bukan lagi pilihan, tetapi keharusan.

Apa Itu SPF (Sender Policy Framework)?

SPF adalah mekanisme yang paling sederhana dari ketiganya. Ini adalah aturan TXT di DNS domain Anda yang memberitahu setiap server email penerima: "IP address mana saja yang diizinkan mengirim email atas nama domain saya".

Cara kerjanya: ketika email diterima, server penerima langsung mengecek DNS domain pengirim, menemukan record SPF, dan membandingkan IP yang sebenarnya mengirim email dengan daftar IP yang diizinkan dalam record tersebut. Jika cocok, SPF pass. Jika tidak, SPF fail, dan email berisiko tinggi masuk folder spam atau ditolak sama sekali.

Contoh praktis: Anda memiliki domain example.iddan menggunakan MailChimp untuk mengirim newsletter. Anda perlu menambahkan server MailChimp ke record SPF Anda, misalnya v=spf1 include:mailchimp.com ~all. Setiap email yang dikirim MailChimp atas nama example.id akan lulus pemeriksaan SPF di pihak penerima.

Keterbatasan SPF: mekanisme ini hanya memeriksa IP pengirim, tidak ada verifikasi terhadap isi pesan atau header. Ini mengapa DKIM dan DMARC diperlukan untuk perlindungan yang lebih kuat.

Apa Itu DKIM (DomainKeys Identified Mail)?

DKIM adalah sistem kriptografi yang menandatangani setiap email dengan private key milik domain Anda. Penerima email kemudian memverifikasi tanda tangan itu menggunakan public key yang tersimpan di DNS domain Anda.

Keuntungan DKIM dibanding SPF: DKIM tidak hanya memeriksa siapa yang mengirim (IP), tetapi juga memastikan isi pesan tidak diubah selama perjalanan dari pengirim ke penerima. Jika ada yang mencoba mengubah isi email atau header setelah email ditandatangani, DKIM akan fail. Inilah perlindungan terhadap serangan man-in-the-middle.

Setup DKIM: biasanya platform email (MailChimp, MTARGET, ESP apapun, atau hosti Anda) sudah menyediakan tools untuk generate DKIM key. Anda tinggal copy public key ke record DNS domain Anda — platform akan otomatis menandatangani semua email yang dikirim atas nama domain Anda. Tidak perlu lakukan apa-apa per email; semuanya otomatis.

Apa Itu DMARC (Domain-based Message Authentication, Reporting and Conformance)?

DMARC adalah standar yang mengintegrasikan SPF dan DKIM. Ini adalah "kebijakan" yang Anda terapkan di domain Anda, yang memberitahu server penerima: "Bagaimana seharusnya Anda perlakukan email saya jika SPF atau DKIM gagal?"

DMARC punya tiga kebijakan utama:

• p=none:Tidak ada aturan, hanya laporkan hasil ke saya. Email tetap sampai, tapi Anda dapat laporan tentang kegagalan autentikasi dan kemungkinan spoofing domain Anda.
• p=quarantine:Jika SPF atau DKIM gagal, kirim email ke folder spam atau quarantine. Email tidak dihapus, tapi dipisahkan dari inbox.
• p=reject:Jika SPF atau DKIM gagal, tolak email sepenuhnya. Email tidak sampai sama sekali. Kebijakan paling ketat.

Keuntungan DMARC: laporan yang Anda terima (aggregate reports) memberitahu siapa saja yang mencoba mengirim email dari domain Anda. Ini cara ampuh untuk mendeteksi spoofing dan phishing yang menargetkan brand Anda. Praktik terbaik adalah mulai dengan p=none, pantau laporan selama 1-2 minggu, pastikan tidak ada email sah yang gagal autentikasi, baru upgrade ke p=quarantineatau p=reject.

Bagaimana Cara Memeriksa Record SPF, DKIM, dan DMARC Anda?

Ada beberapa cara untuk memverifikasi bahwa ketiga autentikasi sudah benar-benar terpasang di domain Anda.

1. Command line (advanced):Gunakan tools seperti nslookupatau diguntuk query DNS record langsung. Contoh: dig example.id TXTakan menampilkan semua record TXT, termasuk SPF.
2. Online DNS lookup tools:Kunjungi MXToolbox atau Google Admin Toolbox, masukkan domain Anda, dan tools akan parse SPF, DKIM, dan DMARC record untuk Anda. Hasilnya ditampilkan dalam format yang mudah dibaca.
3. Tes inbox placement gratis kami:Kirim email test ke seed-address yang kami sediakan, dan lihat secara langsung apakah SPF/DKIM/DMARC pass di berbagai provider (Gmail, Yahoo Mail, Outlook, Yandex, dll). Anda juga mendapat screenshot bagaimana email Anda tampil di inbox masing-masing provider — pengguna Indonesia, misalnya, akan lihat di Gmail mobile dan Yahoo Mail seperti apa email Anda.

Apa yang dicari: semua tiga autentikasi harus menunjukkan status "pass" atau "none" (untuk DMARC dengan kebijakan p=none, hasilnya tetap "pass" jika SPF/DKIM lulus). Jika ada yang fail, cek konfigurasi DNS Anda atau hubungi support penyedia email/hosting Anda.

Mengapa Autentikasi Email Penting untuk Bisnis di Indonesia?

Indonesia adalah pasar mobile-first dengan penetrasi Android sangat tinggi. Gmail adalah email utama bagi mayoritas pengguna (Gmail account = ID utama untuk banyak service di Indonesia), dan sejak Februari 2024, Gmail sangat ketat mengenai autentikasi. Tanpa SPF dan DKIM, email Anda akan masuk spam atau ditolak.

Yahoo Mail masih punya basis pengguna yang signifikan di Indonesia — terutama di kalangan yang sudah menggunakan email sejak era Yahoo dominan. Surat dari domain Anda yang tidak lulus autentikasi juga akan masuk spam di Yahoo.

Bagi pelaku e-commerce yang menggunakan WooCommerce di hosting lokal (Niagahoster, IDwebhost), setup SPF/DKIM yang benar sering diabaikan. Hasilnya, email transaksional (order confirmation, shipping update) masuk spam, pelanggan tidak tahu status pesanan mereka, dan conversion merosot. Fitur one-click unsubscribe (RFC 8058) juga kini wajib untuk Gmail/Yahoo — gabungan SPF+DKIM+DMARC + unsubscribe link adalah standar baru untuk inbox placement.

Dari sisi hukum, UU PDP (Undang-Undang Pelindungan Data Pribadi) dan UU ITE mengharuskan komunikasi email Anda jelas, terautentikasi, dan memiliki cara untuk unsubscribe. Email yang masuk spam atau tidak teraurantikasi tidak memenuhi standar ini.

Checklist Implementasi SPF, DKIM, dan DMARC

1. Hubungi penyedia email Anda (ESP, platform email, atau hosti). Minta SPF record yang perlu ditambahkan ke DNS.
2. Login ke panel DNS hosting Anda (cPanel, Plesk, ISPmanager, atau panel hosti Anda). Tambahkan record SPF baru atau edit record yang ada.
3. Minta public key DKIM dari penyedia email Anda, copy ke DNS domain Anda sebagai DKIM record.
4. Buat record DMARC dengan kebijakan p=none. Format: v=DMARC1; p=none; rua=mailto:your-email@domain.id(ganti your-email@domain.iddengan email Anda untuk menerima laporan).
5. Tunggu propagasi DNS (4-48 jam, sering lebih cepat). Cek dengan DNS lookup tools.
6. Pantau laporan DMARC selama 1-2 minggu. Pastikan tidak ada email sah yang gagal SPF atau DKIM.
7. Setelah yakin, upgrade DMARC ke p=quarantineatau p=reject.