SPF, DKIM, dan DMARC: Cara Mengamankan Email Domain dari Pemalsuan

Email dengan nama domain sendiri terlihat profesional, tetapi nama pengirim saja tidak membuktikan bahwa pesan benar-benar berasal dari pemilik domain. Penyerang dapat mencoba memalsukan alamat pengirim untuk menipu pelanggan, karyawan, atau mitra bisnis. Tiga mekanisme yang sering digunakan untuk mengurangi risiko tersebut adalah SPF, DKIM, dan DMARC.

Ketiganya saling melengkapi. SPF membantu memeriksa server pengirim, DKIM memeriksa tanda tangan digital pada pesan, sedangkan DMARC menentukan bagaimana penerima sebaiknya menangani pesan yang gagal pemeriksaan dan memberi laporan kepada pemilik domain. Pengaturan yang tepat dapat mengurangi pemalsuan domain, tetapi tidak menjamin semua spam atau phishing akan berhenti.

Apa Itu SPF?

Sender Policy Framework (SPF) adalah mekanisme DNS yang menyatakan server mana yang diizinkan mengirim email menggunakan domain tertentu pada pemeriksaan SPF. Pemilik domain menerbitkan catatan TXT berisi kebijakan tersebut. Server penerima kemudian membandingkan alamat IP pengirim dengan kebijakan DNS yang ditemukan.

Misalnya, sebuah domain menggunakan layanan email perusahaan dan satu platform pengiriman newsletter. Keduanya perlu diperhitungkan dalam catatan SPF sesuai petunjuk penyedia masing-masing. Jika layanan yang sah tertinggal dari konfigurasi, email yang sebenarnya valid dapat gagal pemeriksaan.

SPF bukan daftar seluruh alamat pengirim yang tampil di kolom “From”. Pemeriksaannya biasanya menggunakan domain pada identitas envelope sender atau HELO. Karena itu, SPF saja tidak cukup untuk memastikan alamat yang dilihat penerima cocok dengan domain yang diautentikasi.

Apa Fungsi DKIM?

DomainKeys Identified Mail (DKIM) menambahkan tanda tangan kriptografis pada email. Sistem pengirim menandatangani bagian tertentu dari pesan menggunakan kunci privat, sedangkan penerima mengambil kunci publik dari DNS untuk memeriksa tanda tangan tersebut.

Jika pemeriksaan berhasil, DKIM memberi bukti bahwa bagian pesan yang ditandatangani tidak berubah setelah penandatanganan dan bahwa pihak yang mengirim memiliki akses ke kunci yang sesuai. Namun, DKIM tidak membuktikan bahwa isi pesan aman atau bahwa pengirimnya tidak berniat menipu. Pesan phishing pun dapat ditandatangani jika dikirim melalui akun atau sistem yang telah disalahgunakan.

Biasanya penyedia email memberikan selector dan nilai DNS yang harus dipasang. Ikuti petunjuk penyedia, lalu aktifkan penandatanganan DKIM setelah catatan DNS terdeteksi. Jangan membuat kunci atau selector sendiri jika layanan email sudah menyediakan konfigurasi otomatis.

Mengapa DMARC Diperlukan?

Domain-based Message Authentication, Reporting, and Conformance (DMARC) menghubungkan hasil SPF dan DKIM dengan domain yang terlihat pada alamat From. DMARC juga memungkinkan pemilik domain menentukan kebijakan untuk pesan yang gagal pemeriksaan dan meminta laporan agregat dari penerima yang mendukungnya.

DMARC memerlukan keselarasan (alignment): domain yang lolos SPF atau domain pada tanda tangan DKIM harus selaras dengan domain From menurut mode yang dipilih. Karena itu, email dapat lolos SPF tetapi gagal DMARC jika domain autentikasinya tidak selaras.

Catatan DMARC diterbitkan sebagai TXT pada nama _dmarc di domain. Kebijakan yang umum antara lain p=none untuk pemantauan, p=quarantine untuk meminta penerima memperlakukan pesan yang gagal sebagai mencurigakan, dan p=reject untuk meminta penolakan. Penerima tetap menentukan penanganan akhirnya sesuai implementasi dan kebijakan mereka.

Urutan Penerapan yang Lebih Aman

1. Inventarisasi semua pengirim. Catat layanan email utama, sistem invoice, CRM, newsletter, formulir website, dan aplikasi lain yang mengirim memakai domain. Periksa dokumentasi resmi setiap penyedia.
2. Pasang SPF dengan hati-hati. Gabungkan sumber pengiriman yang memang diperlukan ke satu catatan SPF untuk nama domain yang sama. Hindari membuat beberapa catatan SPF terpisah dan jangan menambahkan layanan yang tidak digunakan. SPF juga memiliki batas pencarian DNS, jadi ikuti petunjuk penyedia dan evaluasi hasilnya.
3. Aktifkan DKIM. Tambahkan catatan DNS yang diberikan layanan email, tunggu propagasi, lalu verifikasi status penandatanganan. Pastikan setiap platform pengirim yang sah memiliki konfigurasi yang sesuai.
4. Mulai DMARC dengan pemantauan. Setelah pengirim sah terinventarisasi, terapkan kebijakan pemantauan dan siapkan alamat laporan yang dapat menerima laporan agregat. Periksa laporan secara berkala untuk menemukan sumber sah yang belum dikonfigurasi dan pola pengiriman yang tidak dikenal.
5. Naikkan kebijakan secara bertahap. Setelah yakin layanan penting sudah selaras dan pesan sah tidak terdampak, pertimbangkan kebijakan karantina lalu penolakan. Lakukan perubahan bertahap, bukan langsung menerapkan kebijakan paling ketat tanpa pengujian.

Cara Memeriksa Hasilnya

Gunakan alat pemeriksaan DNS atau konsol administrasi penyedia email untuk melihat catatan TXT SPF dan DMARC serta kunci DKIM. Setelah konfigurasi berubah, kirim pesan uji ke kotak surat yang dapat menampilkan header lengkap. Cari hasil autentikasi seperti spf=pass, dkim=pass, dan dmarc=pass. Hasil tersebut harus dibaca bersama domain yang diuji; status “pass” saja tidak menjelaskan apakah seluruh konfigurasi sudah sesuai tujuan.

Perubahan DNS mungkin tidak langsung terlihat di semua resolver karena caching dan TTL. Jika catatan belum terbaca, pastikan nama host, jenis record, dan nilainya tepat sebelum mengubah kebijakan. Jangan menghapus catatan yang sudah ada tanpa memahami layanan yang bergantung padanya.

Kesalahan yang Perlu Dihindari

• Menerbitkan beberapa catatan SPF pada nama domain yang sama.
• Mengaktifkan DMARC dengan kebijakan penolakan sebelum semua layanan pengirim diperiksa.
• Menganggap SPF atau DKIM yang lolos berarti isi email pasti aman.
• Mengabaikan layanan pihak ketiga yang mengirim email atas nama domain.
• Membiarkan laporan DMARC masuk ke alamat yang tidak dipantau atau tidak mampu menerima laporan.

Kesimpulan

SPF, DKIM, dan DMARC bekerja paling baik sebagai satu rangkaian: SPF memeriksa izin pengiriman, DKIM memverifikasi tanda tangan, dan DMARC menilai keselarasan serta menyampaikan kebijakan untuk pesan yang gagal autentikasi. Untuk menghindari gangguan email sah, inventarisasi semua pengirim, uji konfigurasi, pantau laporan, lalu perketat kebijakan secara bertahap.

Untuk panduan teknis, baca dokumentasi Google tentang SPF, Google tentang DKIM, dan ringkasan DMARC dari DMARC.org. Selalu cocokkan langkah konfigurasi dengan dokumentasi terbaru penyedia DNS dan email yang digunakan.