SPF, DKIM, dan DMARC adalah tiga mekanisme yang digunakan untuk membantu meningkatkan autentikasi dan kepercayaan terhadap email yang dikirim menggunakan sebuah domain. Ketiganya bekerja dengan cara yang berbeda, tetapi saling melengkapi dalam membantu server penerima menilai apakah sebuah email benar-benar dikirim melalui sistem yang berwenang dan bagaimana pesan yang gagal autentikasi sebaiknya diperlakukan.
Dalam praktiknya, konfigurasi SPF, DKIM, dan DMARC dipublikasikan melalui DNS. Karena itu, pengaturan autentikasi email biasanya dilakukan pada zona DNS domain menggunakan TXT Record atau record terkait yang diberikan oleh penyedia layanan email.
Ketiga mekanisme ini penting terutama untuk domain bisnis yang digunakan mengirim email melalui hosting, mail server, aplikasi website, layanan newsletter, atau penyedia email pihak ketiga.
Apa Itu SPF?
SPF atau Sender Policy Framework adalah mekanisme yang memungkinkan pemilik domain menentukan server atau alamat IP mana yang diizinkan mengirim email atas nama domain tersebut.
Ketika sebuah email diterima, server tujuan dapat memeriksa SPF domain pengirim dan membandingkannya dengan server yang benar-benar mengirim pesan. Jika server pengirim tercantum dalam kebijakan SPF, pemeriksaan dapat dinyatakan sesuai. Jika tidak, hasilnya dapat menunjukkan kegagalan atau kondisi lain sesuai konfigurasi SPF.
Contoh SPF Record
v=spf1 include:example.com -allContoh di atas hanya menggambarkan struktur dasar SPF. Nilai sebenarnya harus disesuaikan dengan server atau layanan email yang benar-benar digunakan.
Beberapa mekanisme yang umum digunakan dalam SPF antara lain:
ip4:untuk mengizinkan alamat IPv4 tertentu.ip6:untuk mengizinkan alamat IPv6 tertentu.include:untuk memasukkan kebijakan SPF dari layanan lain.auntuk mengacu pada alamat dari A/AAAA record tertentu.mxuntuk mengacu pada server yang terdapat pada MX Record.-alluntuk menyatakan kegagalan tegas bagi sumber yang tidak cocok.~alluntuk soft fail.
SPF sebaiknya dibuat berdasarkan seluruh sumber pengiriman email yang sah. Jika ada layanan pengirim yang tidak dimasukkan, email dari layanan tersebut dapat gagal pemeriksaan SPF.
Apa Itu DKIM?
DKIM atau DomainKeys Identified Mail adalah mekanisme autentikasi email yang menggunakan tanda tangan digital. Server pengirim menandatangani bagian tertentu dari email menggunakan private key, sedangkan public key dipublikasikan melalui DNS domain.
Ketika email diterima, server tujuan dapat mengambil public key DKIM dari DNS lalu menggunakannya untuk memverifikasi tanda tangan pada pesan. Proses ini membantu memastikan bahwa pesan memang ditandatangani oleh sistem yang memiliki private key sesuai domain DKIM dan bahwa bagian email yang ditandatangani tidak berubah selama proses pengiriman.
Contoh DKIM Record
DKIM biasanya menggunakan selector. Sebagai contoh:
default._domainkey.example.comNilai TXT Record dapat memiliki struktur seperti:
v=DKIM1; k=rsa; p=PUBLIC_KEY_DKIMBagian PUBLIC_KEY_DKIM akan berisi public key yang sebenarnya. Nilai ini biasanya dibuat oleh mail server atau penyedia layanan email dan harus dipasang sesuai instruksi yang diberikan.
Apa Itu DMARC?
DMARC atau Domain-based Message Authentication, Reporting and Conformance adalah kebijakan autentikasi email yang menggunakan hasil SPF dan DKIM serta memeriksa alignment antara domain yang terlihat pada alamat From dengan domain yang digunakan dalam autentikasi.
DMARC memungkinkan pemilik domain menentukan bagaimana server penerima sebaiknya memperlakukan email yang tidak lolos pemeriksaan sesuai kebijakan. Selain itu, DMARC juga dapat digunakan untuk menerima laporan mengenai aktivitas autentikasi email domain.
Contoh DMARC Record
DMARC dipublikasikan pada hostname:
_dmarc.example.comContoh konfigurasi dasar:
v=DMARC1; p=none; rua=mailto:[email protected]Nilai tersebut berarti DMARC aktif dengan kebijakan none dan laporan agregat dikirim ke alamat email yang ditentukan. Ini hanya contoh struktur dan tidak harus digunakan pada semua domain.
Perbedaan SPF, DKIM, dan DMARC
Walaupun ketiganya digunakan untuk autentikasi email, fungsi masing-masing berbeda.
- SPF memeriksa apakah server pengirim diizinkan mengirim email untuk domain tertentu.
- DKIM memverifikasi tanda tangan digital pada email menggunakan public key yang dipublikasikan melalui DNS.
- DMARC menggunakan hasil SPF dan DKIM beserta alignment domain untuk menentukan kebijakan penanganan email dan menyediakan mekanisme pelaporan.
Secara sederhana, SPF berfokus pada sumber pengiriman, DKIM berfokus pada tanda tangan pesan, sedangkan DMARC menghubungkan hasil autentikasi tersebut dengan domain yang terlihat oleh penerima.
Bagaimana SPF, DKIM, dan DMARC Bekerja Bersama?
Ketika sebuah email dikirim, server penerima dapat melakukan beberapa pemeriksaan secara bertahap.
- SPF memeriksa apakah server pengirim diperbolehkan berdasarkan kebijakan domain.
- DKIM memeriksa tanda tangan digital pada email.
- DMARC mengevaluasi apakah SPF atau DKIM lolos dengan alignment domain yang sesuai.
- Jika DMARC gagal, server penerima dapat mempertimbangkan kebijakan yang dipublikasikan oleh pemilik domain.
DMARC tidak sekadar menanyakan apakah SPF atau DKIM lolos. Alignment juga penting. Domain yang digunakan dalam autentikasi harus memiliki hubungan yang sesuai dengan domain pada alamat From agar dapat memenuhi pemeriksaan DMARC.
Jenis Kebijakan DMARC
DMARC menyediakan beberapa kebijakan utama melalui parameter p=.
p=none
Kebijakan ini digunakan untuk monitoring. Pemilik domain dapat menerima laporan tanpa meminta server penerima melakukan tindakan khusus terhadap email yang gagal DMARC.
v=DMARC1; p=none;p=quarantine
Kebijakan ini meminta server penerima memperlakukan email yang gagal DMARC sebagai pesan yang mencurigakan. Dalam praktiknya, pesan dapat diarahkan ke folder spam atau diproses sesuai kebijakan server penerima.
v=DMARC1; p=quarantine;p=reject
Kebijakan ini meminta server penerima menolak email yang gagal pemeriksaan DMARC.
v=DMARC1; p=reject;Penerapan kebijakan yang lebih ketat sebaiknya dilakukan setelah seluruh sumber email yang sah telah dipastikan menggunakan konfigurasi SPF dan DKIM yang benar.
Contoh Konfigurasi SPF, DKIM, dan DMARC
Berikut adalah contoh sederhana bagaimana ketiganya dapat terlihat pada DNS sebuah domain.
SPF
Type: TXT
Name: @
Value: v=spf1 include:mail.example.com -allDKIM
Type: TXT
Name: default._domainkey
Value: v=DKIM1; k=rsa; p=PUBLIC_KEY_DKIMDMARC
Type: TXT
Name: _dmarc
Value: v=DMARC1; p=none; rua=mailto:[email protected]Contoh tersebut hanya bersifat ilustratif. Nama record, selector DKIM, alamat email laporan, dan isi SPF harus mengikuti konfigurasi dari mail server atau penyedia email yang digunakan.
Kesalahan Umum dalam Konfigurasi SPF
SPF terlihat sederhana, tetapi kesalahan konfigurasi dapat menyebabkan autentikasi gagal.
Beberapa kesalahan yang umum antara lain:
- Membuat lebih dari satu SPF record pada hostname yang sama.
- Tidak memasukkan seluruh layanan pengirim email yang sah.
- Menggunakan terlalu banyak DNS lookup.
- Menyalin konfigurasi SPF dari domain lain tanpa menyesuaikannya.
- Menghapus mekanisme yang sebenarnya masih digunakan.
Sebuah domain sebaiknya memiliki satu kebijakan SPF yang valid pada nama yang sama. Jika menggunakan beberapa layanan email, seluruh mekanisme yang dibutuhkan perlu digabungkan dalam kebijakan tersebut.
Kesalahan Umum dalam Konfigurasi DKIM
Beberapa masalah DKIM biasanya disebabkan oleh selector atau public key yang salah.
- Selector yang dipasang tidak sesuai dengan konfigurasi server pengirim.
- Public key terpotong atau berubah saat dimasukkan ke DNS.
- Record dibuat pada DNS zone yang tidak aktif.
- Private key pada mail server tidak sesuai dengan public key di DNS.
Jika DKIM gagal, periksa selector yang tercantum pada header email dan pastikan record DNS yang sesuai dapat ditemukan.
Kesalahan Umum dalam Konfigurasi DMARC
Salah satu kesalahan yang sering terjadi adalah langsung menerapkan kebijakan p=reject sebelum seluruh sumber pengiriman email diperiksa.
Hal ini dapat menyebabkan email sah ikut gagal apabila sistem pengirim belum dikonfigurasi dengan SPF atau DKIM yang memenuhi alignment DMARC.
Pada banyak kasus, penerapan DMARC dapat dimulai dengan kebijakan monitoring seperti p=none, kemudian laporan dianalisis sebelum kebijakan diperketat secara bertahap.
Apakah SPF Saja Sudah Cukup?
Tidak selalu. SPF memiliki keterbatasan, terutama ketika email diteruskan melalui sistem forwarding. Dalam kondisi tertentu, server yang meneruskan pesan bukan merupakan server yang tercantum dalam SPF domain pengirim sehingga pemeriksaan SPF dapat gagal.
DKIM dapat tetap membantu karena tanda tangan digital dapat tetap valid selama bagian pesan yang ditandatangani tidak berubah. DMARC kemudian dapat menggunakan SPF atau DKIM yang memenuhi alignment untuk menentukan hasil autentikasi.
Apakah DKIM Saja Sudah Cukup?
DKIM sangat membantu dalam autentikasi pesan, tetapi DMARC tetap diperlukan jika pemilik domain ingin menentukan kebijakan untuk email yang gagal autentikasi dan memperoleh laporan mengenai penggunaan domain dalam pengiriman email.
Karena itu, SPF, DKIM, dan DMARC sebaiknya dipandang sebagai mekanisme yang saling melengkapi, bukan sebagai pilihan yang selalu saling menggantikan.
Hubungan SPF, DKIM, DMARC, dan TXT Record
SPF dan DMARC dipublikasikan menggunakan TXT Record. DKIM juga umumnya menggunakan TXT Record untuk mempublikasikan public key pada selector tertentu.
Jika Anda belum memahami fungsi DNS TXT Record, Anda dapat membaca artikel Apa Itu TXT Record? sebelum melakukan konfigurasi autentikasi email.
Cara Mengecek SPF, DKIM, dan DMARC
Konfigurasi dapat diperiksa menggunakan DNS lookup atau dengan menganalisis header email yang telah dikirim.
Untuk SPF:
dig TXT example.comUntuk DKIM:
dig TXT default._domainkey.example.comUntuk DMARC:
dig TXT _dmarc.example.comSelector DKIM pada contoh di atas adalah default. Pada konfigurasi sebenarnya, selector dapat memiliki nama yang berbeda.
Selain pemeriksaan DNS, header email biasanya menampilkan hasil autentikasi seperti SPF, DKIM, dan DMARC sehingga dapat digunakan untuk membantu proses troubleshooting.
Kesimpulan
SPF, DKIM, dan DMARC merupakan tiga mekanisme penting dalam autentikasi email domain. SPF menentukan sumber pengiriman yang diizinkan, DKIM menggunakan tanda tangan digital untuk membantu memverifikasi pesan, dan DMARC menggabungkan hasil autentikasi dengan pemeriksaan alignment serta kebijakan penanganan email.
Konfigurasi ketiganya perlu disesuaikan dengan seluruh sistem yang mengirim email menggunakan domain tersebut. Kesalahan kecil pada SPF, selector DKIM, atau kebijakan DMARC dapat menyebabkan email yang sah gagal autentikasi.
Sebelum menerapkan kebijakan DMARC yang ketat, pastikan seluruh layanan pengiriman email telah diperiksa dan bekerja dengan konfigurasi SPF serta DKIM yang benar.
Pertanyaan Umum tentang SPF, DKIM, dan DMARC
Apakah SPF, DKIM, dan DMARC wajib digunakan?
Tidak semua sistem secara teknis mewajibkan ketiganya untuk mengirim email, tetapi penggunaan SPF, DKIM, dan DMARC sangat dianjurkan untuk membantu autentikasi email, mengurangi penyalahgunaan domain, dan meningkatkan kepercayaan terhadap pesan yang dikirim.
Apakah SPF dan DKIM harus sama-sama lolos agar DMARC lolos?
Tidak. DMARC dapat lolos apabila SPF atau DKIM berhasil dan memenuhi alignment dengan domain pada alamat From. Namun, mengaktifkan keduanya tetap memberikan lapisan autentikasi yang lebih lengkap.
Apakah boleh memiliki lebih dari satu SPF Record?
Pada hostname yang sama, sebaiknya hanya ada satu kebijakan SPF. Beberapa SPF record terpisah dapat menyebabkan evaluasi menghasilkan PermError. Jika menggunakan beberapa layanan pengirim, mekanismenya perlu digabungkan dalam satu record yang valid.
Apa perbedaan p=none, p=quarantine, dan p=reject pada DMARC?
p=none digunakan untuk monitoring, p=quarantine meminta email yang gagal diperlakukan sebagai mencurigakan, sedangkan p=reject meminta email yang gagal ditolak oleh server penerima.
Apakah DMARC dapat mencegah semua email spoofing?
Tidak sepenuhnya. DMARC membantu melindungi penggunaan domain pada alamat From yang diautentikasi melalui SPF dan DKIM, tetapi tidak dapat mencegah seluruh bentuk penipuan email, seperti penggunaan domain yang mirip, akun email yang diretas, atau teknik social engineering lainnya.
