Memahami SPF, DKIM, DMARC: Panduan Sederhana

Untuk apa panduan ini?

• Ini adalah panduan penting bagi orang yang mengembangkan, mendukung, dan memelihara aplikasi yang mengirim email.
• Membantu memastikan email sampai ke kotak masuk penerima, bukan ke folder spam.
• Menjelaskan cara melindungi domain dari penjahat siber dan pengirim spam.

Mengapa memilih panduan ini?

• Menjelaskan SPF, DKIM, dan DMARC dengan cara yang mudah dipahami melalui penjelasan dan contoh yang sederhana serta jelas.
• Di-host di GitHub sehingga dapat terintegrasi dengan lingkungan pengembangan dan memungkinkan akses informasi dengan cepat.
• Dokumen yang dapat terus diperbarui dan dipelihara oleh komunitas.

Untuk apa panduan ini bukan dibuat?

• Tidak membahas topik lanjutan seperti konfigurasi server email, enkripsi, atau secure email gateway.

Penjelasan singkat tentang SPF, DKIM, DMARC

SPF (Sender Policy Framework)

• SPF: Seperti daftar teman yang diizinkan mengirim email.
• SPF record: Daftar teman ini disimpan dalam DNS TXT record.
• Contoh: v=spf1 ip4:123.123.123.123 ~all

DKIM (DomainKeys Identified Mail)

• DKIM: Seperti menyisipkan catatan rahasia di dalam email.
• DKIM record: Kunci publik disimpan dalam DNS TXT record agar penerima dapat memverifikasi keaslian email.
• Contoh: v=DKIM1; k=rsa; p=NICfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQDBolTXCqbxwoRBffyg2efs+Dtlc+CjxKz9grZGBaISRvN7EOZNoGDTyjbDIG8CnEK479niIL4rPAVriT54MhUZfC5UU4OFXTvOW8FWzk6++a0JzYu+FAwYnOQE9R8npKNOl2iDK/kheneVcD4IKCK7IhuWf8w4lnR6QEW3hpTsawIDAQ0B

DMARC (Domain-based Message Authentication, Reporting & Conformance)

• DMARC: Seperti membuat buku aturan besar yang merangkum aturan SPF dan DKIM.
• DMARC record: Buku aturan ini disimpan dalam DNS TXT record agar penerima dapat menentukan cara menangani email.
• Contoh: v=DMARC1; p=none; rua=mailto:[e-mail]

Contoh penggunaan nyata SPF, DKIM, DMARC

• Aplikasi mobile: Saat aplikasi kebugaran atau aplikasi perbankan mengirim email, SPF, DKIM, dan DMARC digunakan untuk membantu memastikan email sampai ke kotak masuk, bukan ke folder spam.
• Penyedia layanan email: Gmail, Yahoo, Outlook, dan lainnya menggunakan SPF, DKIM, dan DMARC untuk mengautentikasi email masuk.
• Platform media sosial: LinkedIn, Facebook, Twitter, dan lainnya menggunakan SPF, DKIM, dan DMARC saat mengirim email notifikasi.
• Perusahaan: Saat mengirim email promosi, SPF, DKIM, dan DMARC digunakan agar email tidak ditandai sebagai spam dan agar domain tidak digunakan untuk email spoofing.
• Instansi pemerintah: Saat mengirim pemberitahuan kepada warga, SPF, DKIM, dan DMARC digunakan untuk mencegah serangan phishing.

Apa yang harus dilakukan sekarang?

1. Identifikasi alamat email dan domain: Pahami alamat email dan domain yang digunakan oleh aplikasi.
2. Periksa status saat ini: Pastikan apakah SPF, DKIM, dan DMARC record sudah ada dan dikonfigurasi dengan benar.
3. Hak akses domain: Pastikan Anda memiliki izin untuk mengubah DNS record.
4. Pantau DMARC: Pantau laporan DMARC untuk memastikan tidak ada masalah dan perbaiki jika diperlukan.

Memeriksa status SPF, DKIM, DMARC

• MXToolbox:
  • Kunjungi https://mxtoolbox.com/
  • Gunakan alat 'SPF Record Lookup', 'DKIM Record Lookup', 'DMARC Record Lookup'
• DMARCTester:
  • Kunjungi https://www.dmarctester.com/
  • Gunakan cara mengirim email atau menempelkan header email

FAQ's with SPF, DKIM and DMARC

1. Alamat email untuk laporan DMARC: Sebaiknya gunakan mailbox bersama yang dapat diperiksa oleh beberapa orang.
2. Perbedaan ~all, -all, ?all, +all pada SPF record:
   • ~all (SoftFail): Email dari server yang tidak ada dalam daftar tetap diizinkan, tetapi mungkin dianggap mencurigakan.
   • -all (Fail): Email dari server yang tidak ada dalam daftar ditolak.
   • ?all (Neutral): Email diproses tanpa instruksi khusus.
   • +all (Pass): Email dari semua server diizinkan.
3. Apakah DMARC bisa diatur tanpa SPF?: Bisa, tetapi tidak efisien. Sebaiknya gunakan SPF bersama DKIM.
4. Saat beberapa SPF gagal dan sebagian SPF lolos terlihat di header email: Anda harus mempercayai pemeriksaan SPF yang terkait dengan domain Anda sendiri.

Penutup

• SPF, DKIM, dan DMARC adalah pahlawan tersembunyi dalam keamanan email.
• Ketiganya memainkan peran penting dalam menjaga keandalan email.

Pendapat GN⁺

• Pentingnya keamanan email: Email adalah sarana komunikasi yang penting, sehingga keamanannya sangat krusial.
• Kebutuhan akan SPF, DKIM, DMARC: Tiga teknologi ini sangat penting untuk mencegah email spoofing dan serangan phishing.
• Hal yang perlu dipertimbangkan saat adopsi: Diperlukan konfigurasi dan pemantauan, dan pengaturan yang salah dapat menyebabkan masalah pada pengiriman email.
• Alat terkait: Dengan alat seperti MXToolbox dan DMARCTester, status konfigurasi dapat diperiksa dengan mudah.
• Standar industri: Untuk memperkuat keamanan email, SPF, DKIM, dan DMARC telah menjadi standar industri.

[kty1965]

Sepertinya sekarang SPF, DKIM, dan DMARC sudah menjadi sangat penting.

[ninebow]

Saat menggunakan Google Workspace atau SES dan sebagainya, selain record MX, pengaturan seperti SPF dan DKIM juga makin bertambah satu per satu. Saya sendiri sebenarnya tidak kepikiran untuk mencari tahu, cuma berpikir ya pasti semuanya berjalan dengan baik entah dari mana, jadi terima kasih! :D

[GN⁺]

Opini Hacker News

• Pengalaman admin TI: Saat mengelola TI di perusahaan kecil dan menengah, sering menerima permintaan untuk melepas email yang dikarantina akibat record SPF yang salah. Memberikan bantuan agar record SPF diperbaiki alih-alih menggunakan whitelist. Untuk mengotomatisasi hal ini, menulis skrip dalam bahasa Racket.

• Rekomendasi buku: Michael W. Lucas sedang menyiapkan buku berjudul "Run Your Own Mail Server" yang membahas secara rinci pengaturan SPF/DKIM/DMARC. Pernah mengikuti tutorial dan ceramahnya di BSDCan, dan merekomendasikan buku tersebut.

• Perlunya panduan SPF/DKIM/DMARC: Diperlukan panduan SPF/DKIM/DMARC untuk pengembang aplikasi yang mengirim email ke domain lain. Banyak sistem tiket dan platform pemasaran tidak memahami konsep ini.

• Pentingnya otomatisasi: Sedang menjalankan startup yang mengotomatisasi pengaturan SPF/DKIM/DMARC dan menilai kualitas panduan ini sangat tinggi. Namun, karena pengguna biasanya hanya mengalami masalah ini sekali, pemahaman jangka panjang menjadi sulit. Otomatisasi itu penting.

• Rekomendasi alat debugging: Membagikan tautan alat yang bagus untuk men-debug masalah DMARC.

• Rekomendasi alat pengujian: Merekomendasikan versi gratis dari mail-tester.com dan eu.dmarcian.com sebagai alat pengujian. Juga membagikan tautan blog untuk memahami DKIM.

• Masalah spam: Bahkan setelah konfigurasi email dibuat sempurna, kadang email tetap diklasifikasikan sebagai spam oleh Gmail. Sudah menghabiskan ratusan jam tetapi tetap tidak terpecahkan, sehingga akhirnya menggunakan layanan hosting pihak ketiga seperti iCloud.

• Perlunya keberagaman email: Jangan bergantung pada layanan email perusahaan besar seperti Apple, Google, dan Microsoft; gunakan server email sendiri sebisa mungkin.

• Layanan pemantauan DMARC gratis: Layanan bernama Postmark menyediakan layanan pemantauan DMARC gratis.

• Hasil pengaturan SPF/DKIM/DMARC: Membagikan hasil untuk domain contoh yang menunjukkan bahwa SPF, DKIM, dan DMARC semuanya lolos.