Cara Setting DMARCLangkah demi Langkah

Jika Anda mengirim email massal dari domain sendiri ke Indonesia, Gmail dan Yahoo sudah mensyaratkan SPF + DKIM + DMARC sejak 2024. DMARC (Domain-based Message Authentication, Reporting and Conformance) adalah yang terakhir dari tiga standar autentikasi ini — dan yang paling berpengaruh pada keputusan Inbox vs Spam.

Masalahnya: DMARC tidak bisa langsung di-set ke p=reject (kebijakan tertinggi) tanpa risiko kehilangan email yang sah. Panduan ini menunjukkan cara setup bertahap yang aman, dari p=none (monitor mode) hingga p=reject (enforce full), ditambah troubleshooting kesalahan umum.

Apa itu DMARC?

DMARC adalah standar email yang memberitahu penerima: "Hanya terima email dari domain @yourdomain.com jika SPF atau DKIM-nya valid, dan jika tidak, lakukan tindakan ini." Tiga komponen utama:

• Authentication:Memverifikasi SPF dan DKIM pada email yang masuk
• Alignment:Memastikan domain SPF/DKIM cocok dengan domain From header
• Policy:Memberitahu ISP apa yang harus dilakukan jika autentikasi gagal (monitor, quarantine, atau reject)

Gmail dan Yahoo mengandalkan DMARC untuk mengidentifikasi spoofing dan phishing. Email tanpa DMARC atau dengan p=none dianggap "belum dipercaya" — tidak langsung spam, tapi tidak akan mendapat boost reputasi. Dengan p=reject atau p=quarantine, email yang fail authentication ditolak atau di-spam secara konsisten, melindungi baik recipient maupun reputasi Anda.

Prasyarat: SPF dan DKIM Sudah Bekerja

Sebelum setup DMARC, Anda harus sudah punya SPF dan DKIM yang valid dan berjalan di domain Anda. DMARC hanya memverifikasi email yang sudah punya SPF/DKIM signature — tanpa keduanya, DMARC tidak ada yang untuk diperiksa.

Jika belum punya SPF dan DKIM:

1. Setup SPF terlebih dahulu (TXT record dengan v=spf1 include:... ~all)
2. Setup DKIM melalui panel hosting atau email service provider Anda (biasanya generate private/public key pair)
3. Test dengan inbox placement test gratis— lihat apakah SPF dan DKIM sudah passing sebelum lanjut ke DMARC

Yang paling penting: SPF atau DKIM domain (Return-Path untuk SPF, d= untuk DKIM) harus cocok dengan domain di From header Anda. Ini disebut "alignment" — tanpanya, DMARC tidak bekerja meski SPF/DKIM valid.

Langkah 1: Buat TXT Record DMARC dengan p=none

DMARC record ditempatkan di DNS dengan nama subdomain _dmarc.yourdomain.com. Mulai dengan policy yang paling lunak — p=none — untuk monitor tanpa dampak pada delivery:

Langkah setup praktis:

1. Login ke panel DNS hosting Anda (Niagahoster, IDwebhost, Cloudflare, atau provider lainnya)
2. Buat record TXT baru untuk subdomain _dmarc.yourdomain.com(ganti yourdomain.com dengan domain Anda)
3. Copy-paste record di atas ke value field
4. Tunggu DNS propagate (15 menit–2 jam tergantung TTL provider)
5. Verifikasi dengan command dig _dmarc.yourdomain.com TXTatau online DNS checker tool

Langkah 2: Monitor RUA dan RUF Reports

Setelah p=none aktif, Gmail, Yahoo, dan ISP lainnya akan mengirim laporan DMARC harian (aggregate/rua) dan real-time (forensic/ruf) ke alamat yang Anda sediakan. Laporan ini sangat penting karena menunjukkan:

• Berapa persen email Anda yang pass SPF + DKIM dengan alignment yang benar
• Mana saja service pihak ketiga (CRM, e-commerce platform) yang mengirim email pakai domain Anda tapi belum aligned
• Apakah ada spoofing atau phishing attempt terhadap domain Anda

Biarkan p=none berjalan minimal 1–2 minggu sambil monitor laporan setiap hari. Jika laporan menunjukkan lebih dari 95% email legitimate pass SPF/DKIM alignment, Anda siap escalate ke p=quarantine. Jika kurang dari 95%, ada email dari service pihak ketiga yang belum aligned — investigate dan atur mereka sebelum lanjut.

Langkah 3: Escalate ke p=quarantine, Lalu p=reject

Setelah 1–2 minggu p=none dan Anda yakin semua email legitimate pass DMARC alignment:

1. Update record DMARC jadi p=quarantine:Email yang fail akan masuk folder Spam/Junk, bukan ditolak sepenuhnya. Monitor laporan selama 1 minggu lagi.
2. Jika tidak ada issue, escalate ke p=reject:Ubah policy jadi p=reject. Email yang fail authentication akan ditolak di server penerima — tidak ada kesempatan masuk Spam. Ini adalah enforcement penuh.

Beberapa domain memilih tetap di p=quarantine — trade-off antara keamanan domain dan risiko false positives (email sah yang tidak terdeteksi alignment-nya). Gmail/Yahoo tidak ada persyaratan wajib p=reject, tapi p=reject adalah status "paling terpercaya" untuk reputasi domain jangka panjang.

Kesalahan Umum dalam DMARC Setup

1. Lupa alignment SPF/DKIM dengan domain From.DMARC hanya bekerja jika domain SPF (Return-Path) atau DKIM (d=) cocok dengan domain From header. Jika email dari CRM atau platform e-commerce punya domain pengirim berbeda, alignment akan gagal. Solusi: setup CNAME record atau subdomain khusus untuk alignment dengan service tersebut.

2. Tidak monitor laporan DMARC.Banyak admin setup DMARC tapi tidak membaca rua/ruf reports. Akibatnya, email sah ditolak tanpa mereka tahu. Set reminder mingguan untuk baca laporan atau setup aggregator tool.

3. Syntax error di TXT record.Typo kecil (spasi ganda, semicolon hilang, tanda kutip salah) akan membuat DMARC tidak terbaca. Selalu gunakan online DMARC validator sebelum deploy ke production.

4. Escalate ke p=reject terlalu cepat.Upgrade tanpa test p=none 1–2 minggu akan menghasilkan bounce rate tinggi dan delivery rate jatuh drastis. Selalu escalate bertahap: p=none → p=quarantine (1 minggu) → p=reject.

5. Record DMARC di subdomain yang salah.DMARC harus di _dmarc.yourdomain.com, bukan yourdomain.comatau subdomain lain. Verify dengan DNS checker setelah setup.

Verifikasi DMARC dengan Inbox Placement Test

Sebelum commit ke p=reject, gunakan inbox placement testuntuk memverifikasi DMARC bekerja di Gmail, Yahoo, dan provider lokal Indonesia lainnya. Layanan ini akan:

• Mengirim email test ke seed-addresses asli di puluhan provider
• Melaporkan status SPF/DKIM/DMARC (pass/fail) per provider
• Menunjukkan folder destination (Inbox, Spam, Promotions)
• Memberikan screenshot rendering email di setiap mailbox

Jika DMARC masih fail di test, berarti alignment belum selaras — cek Return-Path dan DKIM domain di email header Anda sebelum eskalasi ke p=quarantine atau p=reject.