SPF, DKIM, dan DMARC: Menjaga Email Bisnis Tetap Sampai ke Pelanggan dan Aman dari Pemalsuan Domain

Banyak bisnis baru menyadari masalah email ketika sudah terlambat: faktur yang dikirim sistem tidak pernah sampai ke pelanggan, penawaran masuk ke folder spam, atau yang lebih buruk, pelanggan menerima email penipuan yang tampak berasal dari domain perusahaan Anda. Semua itu bukan sekadar gangguan teknis. Email adalah saluran utama untuk faktur, reset kata sandi, konfirmasi pesanan, dan komunikasi dengan calon klien, sehingga email yang tidak terkirim berarti pendapatan yang tertunda dan kepercayaan yang berkurang.

Sejak penyedia email besar memperketat aturan pengirim massal, tiga mekanisme autentikasi, yaitu SPF, DKIM, dan DMARC, berubah dari pilihan tambahan menjadi syarat dasar. Artikel ini menjelaskan ketiganya dengan bahasa yang bisa dipahami pemilik bisnis, lalu membahas cara menyiapkannya tanpa merusak email yang sudah berjalan, termasuk email yang dikirim oleh aplikasi, ERP, dan alat pemasaran.

Ringkasan

• SPF menyatakan server mana yang berhak mengirim email atas nama domain Anda, DKIM menandatangani email secara kriptografis, dan DMARC menentukan tindakan bila keduanya gagal serta mengirim laporan kepada Anda
• Tanpa ketiganya, email sah lebih sering masuk spam dan pihak lain lebih mudah memalsukan domain Anda untuk menipu pelanggan atau mitra
• Daftarkan dulu semua sumber email: kantor, aplikasi, ERP, toko online, alat pemasaran, dan sistem tiket, karena sumber yang terlupa adalah penyebab utama email sah ditolak
• Terapkan DMARC bertahap dari mode pemantauan ke karantina lalu penolakan, sambil membaca laporan agregat
• Pisahkan email transaksional dari email pemasaran, dan pantau reputasi domain serta tingkat penolakan secara berkala

Mengapa email bisnis bisa gagal sampai ke tujuan

Protokol email dirancang puluhan tahun lalu, ketika jaringan masih kecil dan saling percaya. Secara bawaan, siapa pun dapat menulis alamat pengirim apa saja pada sebuah email. Itu sebabnya penipu dapat mengirim pesan yang tampak berasal dari bagian keuangan perusahaan Anda. Penyedia email modern menanggapinya dengan menilai setiap pesan masuk: apakah pengirimnya benar-benar berwenang atas domain yang tertera, dan apakah pesannya dimodifikasi di tengah jalan.

Bagi bisnis, akibatnya ada dua sisi. Pertama, bila domain Anda tidak mengatur autentikasi, pesan sah dari Anda dicurigai dan lebih sering masuk spam atau ditolak. Kedua, bila domain Anda mudah dipalsukan, pelanggan dan mitra menjadi sasaran penipuan yang memakai nama Anda, dan reputasi merek ikut rusak. Ancaman ini berkaitan erat dengan pembahasan di artikel phishing, ransomware, dan keamanan siber untuk UMKM, karena pemalsuan domain adalah bahan utama serangan phishing yang meyakinkan.

Memahami tiga mekanisme: SPF, DKIM, dan DMARC

Ketiganya dipasang sebagai catatan DNS pada domain Anda. Tidak ada perangkat lunak yang perlu dipasang di komputer pegawai. Yang penting adalah memahami peran masing-masing agar konfigurasinya tidak sekadar disalin dari internet.

SPF: daftar pengirim yang diizinkan

Sender Policy Framework adalah catatan yang berisi daftar server atau layanan yang diizinkan mengirim email untuk domain Anda. Ketika penerima menerima pesan, ia memeriksa alamat IP pengirim terhadap daftar itu. Bila cocok, pemeriksaan lulus. Batasan SPF yang sering terlupa adalah jumlah pencarian DNS maksimal sepuluh. Bisnis yang memakai banyak layanan sekaligus, misalnya email kantor, platform pemasaran, sistem tiket, dan aplikasi, mudah melampaui batas itu sehingga SPF gagal tanpa disadari.

DKIM: tanda tangan digital pada pesan

DomainKeys Identified Mail menambahkan tanda tangan kriptografis pada header setiap email. Penerima memeriksa tanda tangan itu dengan kunci publik yang tersimpan di DNS Anda. Bila tanda tangan valid, berarti pesan benar-benar dikirim oleh pihak yang memegang kunci privat dan isinya tidak diubah selama perjalanan. Setiap layanan pengirim biasanya memberi Anda catatan DKIM sendiri yang harus ditambahkan ke DNS.

DMARC: kebijakan dan pelaporan

Domain-based Message Authentication, Reporting, and Conformance menghubungkan keduanya. DMARC menyatakan bahwa pesan harus lulus SPF atau DKIM dengan domain yang selaras dengan alamat pengirim yang terlihat oleh pembaca. Lebih penting lagi, DMARC memberi tahu penerima apa yang harus dilakukan bila pemeriksaan gagal: tidak melakukan apa-apa, menaruh di karantina, atau menolak. DMARC juga meminta penyedia email mengirim laporan agregat tentang siapa saja yang mengirim email atas nama domain Anda. Laporan inilah yang membuat Anda tahu sumber email yang sebelumnya tidak diketahui.

Menyusun inventaris semua sumber email

Kesalahan paling umum bukan pada teknik, melainkan pada pendataan. Banyak sistem mengirim email atas nama domain perusahaan tanpa pernah dicatat oleh bagian TI. Sebelum menyentuh DNS, buat daftar yang mencakup:

• Layanan email kantor yang dipakai karyawan sehari-hari
• Aplikasi bisnis dan portal yang mengirim notifikasi, reset kata sandi, dan kode verifikasi
• ERP, sistem akuntansi, dan sistem penagihan yang mengirim faktur serta pengingat jatuh tempo
• Toko online dan gateway pembayaran yang mengirim konfirmasi pesanan dan bukti bayar
• Platform pemasaran email, formulir situs, dan alat otomasi penjualan
• Sistem tiket dukungan pelanggan dan perangkat lunak SDM

Untuk setiap sumber, catat siapa pemiliknya, domain atau subdomain yang dipakai, dan apakah layanan itu mendukung DKIM dengan domain sendiri. Sistem yang sudah lama dibangun sering mengirim email dari server aplikasi langsung tanpa penyedia email khusus. Jenis ini paling berisiko gagal autentikasi dan perlu dialihkan ke layanan pengiriman yang andal. Pembahasan integrasi antarsistem yang lebih umum ada di artikel tentang webhook dan integrasi real-time untuk bisnis.

Langkah penerapan yang aman

Menyalakan DMARC langsung dengan kebijakan penolakan adalah cara tercepat membuat email faktur sendiri ditolak. Urutan yang lebih aman adalah sebagai berikut.

1. Rapikan SPF dan aktifkan DKIM di semua sumber

Gabungkan catatan SPF menjadi satu catatan saja, karena satu domain tidak boleh memiliki lebih dari satu. Hapus layanan yang sudah tidak dipakai. Aktifkan penandatanganan DKIM di setiap layanan pengirim, lalu uji dengan mengirim email ke alamat penguji dan memeriksa header hasilnya.

2. Pasang DMARC dengan kebijakan pemantauan

Mulai dengan kebijakan yang hanya memantau. Pada mode ini, tidak ada email yang ditolak, tetapi Anda mulai menerima laporan. Sediakan alamat khusus untuk laporan, atau gunakan layanan pengurai laporan, sebab laporan mentah berbentuk berkas XML yang sulit dibaca manual.

3. Baca laporan selama beberapa minggu

Cari tiga hal: sumber sah yang gagal, sumber tidak dikenal yang mengirim atas nama domain Anda, dan volume tiap sumber. Sumber sah yang gagal harus diperbaiki dulu. Sumber tidak dikenal perlu diselidiki, karena bisa berupa sistem terlupa di departemen lain atau upaya pemalsuan.

4. Naikkan kebijakan secara bertahap

Setelah tingkat kelulusan email sah mendekati seratus persen, naikkan kebijakan ke karantina untuk sebagian persentase email, lalu perlahan ke seluruhnya, dan akhirnya ke penolakan. Setiap kenaikan perlu jeda pengamatan. Di tahap ini, rencana komunikasi internal penting agar karyawan tahu kapan perubahan dilakukan.

5. Dokumentasikan dan jadikan rutinitas

Catat siapa yang berwenang mengubah DNS, bagaimana layanan baru didaftarkan, dan siapa yang meninjau laporan. Tanpa rutinitas, setiap layanan baru yang ditambahkan pemasaran atau tim penjualan akan merusak konfigurasi diam-diam.

Email transaksional dan email pemasaran sebaiknya dipisah

Email transaksional, seperti faktur, reset kata sandi, dan konfirmasi pesanan, memiliki harapan pengiriman yang berbeda dari email pemasaran. Pelanggan menunggu email transaksional dan membukanya segera, sehingga reputasinya biasanya tinggi. Email pemasaran massal lebih sering dilaporkan sebagai spam dan dapat menurunkan reputasi.

Bila keduanya memakai domain dan alamat IP yang sama, masalah di sisi pemasaran dapat menyeret email transaksional ke folder spam. Praktik yang umum adalah memakai subdomain terpisah untuk pemasaran, misalnya untuk buletin, dan subdomain lain untuk notifikasi sistem, masing-masing dengan SPF dan DKIM sendiri. Pembahasan strategi isi dan otomasi pemasaran ada di artikel email marketing dan otomasi untuk toko online.

Faktor lain yang memengaruhi deliverability

Autentikasi adalah syarat dasar, bukan jaminan. Penyedia email juga menilai hal lain yang bisa Anda kendalikan:

• Kebersihan daftar: hapus alamat yang sering memantul dan penerima yang lama tidak aktif
• Persetujuan penerima: kirim hanya kepada orang yang memang meminta, dan sediakan cara berhenti berlangganan yang mudah
• Konsistensi volume: lonjakan mendadak dari domain yang sebelumnya sepi terlihat mencurigakan, jadi naikkan volume bertahap bagi domain atau alamat IP baru
• Kualitas isi: hindari tautan yang dipendekkan secara tidak jelas, lampiran berbahaya, dan rasio gambar terhadap teks yang berlebihan
• Tingkat keluhan: usahakan sangat rendah, karena keluhan spam adalah sinyal negatif terkuat
• Pemanasan alamat IP: bila memakai IP khusus, mulailah dengan volume kecil kepada penerima paling aktif

Aturan pengirim massal yang diperketat penyedia besar secara umum mensyaratkan autentikasi, mekanisme berhenti berlangganan satu klik, dan tingkat keluhan yang rendah. Rincian ambang berubah dari waktu ke waktu, jadi periksa dokumentasi resmi penyedia sebelum menyusun kebijakan internal.

Indikator yang perlu dipantau

Setelah konfigurasi berjalan, pantau beberapa angka secara berkala agar masalah terlihat sebelum pelanggan mengeluh.

• Tingkat kelulusan DMARC pada laporan agregat, idealnya mendekati seratus persen untuk sumber sah
• Tingkat pantulan permanen dan sementara pada email transaksional
• Tingkat penempatan di kotak masuk dibandingkan spam, bisa diuji dengan akun contoh di beberapa penyedia
• Jumlah keluhan spam per seribu email pemasaran
• Daftar sumber baru yang muncul di laporan DMARC, sebagai tanda ada layanan tidak terdaftar atau upaya pemalsuan

Masukkan indikator ini ke pemantauan operasional yang sama dengan pemantauan ketersediaan situs, sebagaimana dibahas di monitoring dan uptime website dan aplikasi bisnis. Email yang gagal terkirim adalah salah satu gangguan layanan yang paling lambat disadari karena tidak ada pesan galat yang tampak.

Kesalahan umum yang sering terjadi

Ada beberapa pola kegagalan yang berulang di banyak perusahaan.

• Memiliki dua catatan SPF pada satu domain sehingga keduanya dianggap tidak valid
• Menyalin catatan dari panduan lain tanpa menyesuaikan layanan yang benar-benar dipakai
• Melupakan sistem yang jarang mengirim email, misalnya aplikasi penggajian atau sistem tiket, lalu email gajian ditolak
• Langsung memakai kebijakan penolakan tanpa masa pemantauan
• Tidak mengamankan akun penyedia DNS dengan autentikasi dua langkah, padahal siapa pun yang menguasainya dapat mengubah catatan email
• Tidak memperbarui catatan ketika berganti penyedia email atau vendor aplikasi
• Mengabaikan laporan DMARC setelah dipasang sehingga manfaat pemantauan hilang

Terkait poin pengamanan akun, pertimbangkan juga metode masuk yang lebih kuat seperti yang dibahas pada artikel passkey dan login tanpa kata sandi untuk bisnis.

Hubungan dengan SEO, reputasi merek, dan keamanan

Deliverability sering dianggap urusan pemasaran, padahal dampaknya lebih luas. Email yang sampai menjaga alur pendapatan: faktur terbayar tepat waktu, pesanan terkonfirmasi, dan prospek mendapat jawaban cepat. Domain yang terlindungi dari pemalsuan menjaga reputasi merek, dan itu berkaitan dengan kepercayaan yang juga dibangun lewat konten dan situs Anda, seperti dibahas di SEO dasar untuk website perusahaan. Dari sisi keamanan, DMARC yang ketat mempersulit penipuan berbasis pemalsuan alamat pengirim, dan menjadi bagian yang wajar dari rencana respons insiden keamanan siber untuk bisnis.

Pertanyaan yang sering diajukan

Apakah kami perlu DMARC bila hanya bisnis kecil? Ya. Penipu tidak memilih target berdasarkan ukuran, dan pemalsuan domain kecil sama mudahnya. Mulai dari kebijakan pemantauan sudah memberi manfaat tanpa risiko email sah ditolak.

Berapa lama proses penerapannya? Untuk perusahaan dengan beberapa sumber email, pemasangan awal bisa selesai dalam sehari, tetapi perjalanan menuju kebijakan penolakan umumnya memerlukan beberapa minggu sampai beberapa bulan karena harus menunggu laporan dan memperbaiki sumber yang gagal.

Apakah email dari aplikasi kami otomatis terautentikasi? Tidak otomatis. Aplikasi yang mengirim langsung dari servernya perlu dikonfigurasi atau dialihkan ke penyedia pengiriman email yang mendukung SPF dan DKIM untuk domain Anda.

Apakah DMARC menjamin email tidak masuk spam? Tidak. DMARC membuktikan keaslian pengirim, tetapi penempatan di kotak masuk juga bergantung pada reputasi, isi pesan, dan perilaku penerima.

Siapa yang sebaiknya memegang tanggung jawab ini? Tetapkan satu pemilik, biasanya bagian TI atau mitra teknis, dengan masukan dari pemasaran, keuangan, dan operasional sebagai pemilik sumber email.

Kesimpulan

SPF, DKIM, dan DMARC adalah investasi kecil dengan dampak besar: email sah lebih sering sampai, dan nama domain Anda lebih sulit disalahgunakan. Kuncinya ada pada pendataan semua sumber email, penerapan bertahap dari pemantauan ke penolakan, pemisahan email transaksional dan pemasaran, serta rutinitas membaca laporan. Bila aplikasi, ERP, dan toko online Anda mengirim email penting, pastikan konfigurasi pengirimnya ditinjau sebagai bagian dari proyek integrasi, bukan sebagai pikiran susulan setelah masalah muncul.