SPF, DKIM, dan DMARC dijelaskan sederhana (dan cara memeriksa milik Anda dalam lima menit)

Tiga singkatan selalu muncul setiap kali kita membahas deliverability: SPF, DKIM, DMARC. Biasanya kita mengonfigurasinya sekali saja, dengan menyalin baris-baris dari halaman bantuan penyedia hosting, lalu melupakannya. Sampai suatu hari email masuk ke folder spam dan tidak ada lagi yang benar-benar tahu apa yang sudah dipasang.

Padahal ketiga mekanisme ini menjawab pertanyaan sederhana yang diajukan setiap server penerima email Anda: "apakah pesan ini benar-benar berasal dari pihak yang diklaimnya?" Tanpa jawaban yang jelas, pesan dianggap mencurigakan.

Mengapa sekarang menjadi wajib

Selama bertahun-tahun, record ini hanya sangat disarankan. Sekarang sudah menjadi kewajiban. Pada Februari 2024, Gmail dan Yahoo mewajibkan pengirim dengan volume email besar untuk memiliki SPF dan DKIM yang valid, kebijakan DMARC yang dipublikasikan, tautan berhenti berlangganan sekali klik, dan tingkat keluhan yang rendah. Microsoft mengumumkan persyaratan serupa untuk Outlook.com, yang berlaku mulai Mei 2025.

Ambang batas resminya memang menyasar pengirim besar, tetapi kenyataannya domain tanpa autentikasi yang benar akan tersaring jauh sebelum mencapai volume tersebut. Untuk prospecting, ketiga record ini harus dianggap sebagai syarat minimum.

SPF: daftar server yang diizinkan

SPF (Sender Policy Framework) adalah satu baris yang dipublikasikan di DNS domain Anda. Isinya: "email dari domain ini hanya boleh dikirim dari server-server berikut". Ketika sebuah server menerima pesan yang mengaku berasal dari domain Anda, ia memeriksa apakah server pengirim tercantum dalam daftar tersebut.

Record SPF terlihat seperti ini:

v=spf1 include:_spf.mail.hostinger.com ~all

Bacalah dari kiri ke kanan: versi, lalu server yang diizinkan (di sini server milik penyedia hosting), lalu apa yang harus dilakukan terhadap server lain. "~all" di akhir meminta server lain diperlakukan dengan curiga tanpa langsung ditolak, dan ini pilihan yang aman.

Kesalahan yang paling sering terjadi:

• dua record SPF pada domain yang sama: ini tidak diperbolehkan, dan hasilnya menjadi tidak valid. Keduanya harus digabung menjadi satu baris;
• ada layanan yang terlupa: Anda juga mengirim faktur dari perangkat lunak pihak ketiga, tetapi layanan itu tidak ada dalam daftar;
• terlalu banyak "include": SPF membatasi jumlah pencarian DNS hingga sepuluh. Di atas itu, record akan gagal.

DKIM: tanda tangan pesan

DKIM (DomainKeys Identified Mail) menambahkan tanda tangan terenkripsi pada setiap email. Server pengirim menandatangani dengan kunci privat, dan kunci publik yang sesuai dipublikasikan di DNS Anda. Penerima memverifikasi tanda tangan tersebut: jika valid, ia tahu pesan memang berasal dari domain Anda dan tidak diubah di tengah jalan.

Kunci publik berada di alamat DNS tertentu, yang dibentuk dengan "selector" pilihan penyedia hosting Anda, misalnya:

hostingermail1._domainkey.votredomaine.fr

Di sinilah sebagian besar masalah DKIM bersembunyi: kunci yang disalin tidak lengkap (kuncinya panjang), selector yang berbeda dari yang benar-benar digunakan server, atau kunci yang tidak pernah dipublikasikan karena penyedia hosting menunggu aktivasi manual. Satu-satunya pemeriksaan yang andal adalah mengirim email sungguhan dan melihat header-nya saat tiba.

DMARC: instruksi jika autentikasi gagal

DMARC (Domain-based Message Authentication, Reporting and Conformance) menghubungkan kedua mekanisme sebelumnya. Ia memberi tahu server penerima: "jika sebuah pesan mengaku berasal dari domain saya tetapi gagal di SPF dan DKIM, inilah yang harus kamu lakukan". DMARC juga memungkinkan Anda menerima laporan tentang pesan yang dikirim atas nama domain Anda.

Record DMARC untuk tahap awal terlihat seperti ini:

v=DMARC1; p=none; rua=mailto:dmarc@votredomaine.fr

"p=none" berarti: jangan blokir apa pun, tetapi kirimkan laporan. Ini kebijakan minimum yang diwajibkan Gmail dan Yahoo, sekaligus titik awal yang baik. Setelah Anda yakin semua pengiriman sah lolos autentikasi, Anda bisa beralih ke "p=quarantine" (memindahkan pesan yang tidak terautentikasi ke spam), lalu mungkin "p=reject".

Satu hal yang sering terlewat: DMARC mensyaratkan domain yang diautentikasi oleh SPF atau DKIM sama dengan domain yang muncul di alamat pengirim. Inilah yang disebut alignment. Email yang dikirim dari paul@votredomaine.fr tetapi ditandatangani DKIM oleh domain teknis penyedia hosting bisa lolos DKIM namun tetap gagal di DMARC.

Memeriksa record Anda dalam lima menit

Anda tidak perlu menjadi administrator sistem. Tiga pemeriksaan sudah cukup:

1. Periksa record TXT domain Anda dengan alat pencarian DNS daring. Anda harus menemukan satu baris yang dimulai dengan "v=spf1", dan satu baris "v=DMARC1" di alamat _dmarc.votredomaine.fr.
2. Kirim email dari kotak yang bersangkutan ke alamat Gmail pribadi, buka email tersebut, dan tampilkan pesan aslinya. Gmail menampilkan "SPF: PASS", "DKIM: PASS", dan "DMARC: PASS" secara jelas, beserta domain yang digunakan untuk masing-masing.
3. Pastikan domain yang tertera untuk DKIM memang milik Anda, bukan milik penyedia hosting.

Di SmartOutbound, pemeriksaan ini dilakukan otomatis: setiap domain diperiksa setiap hari, email uji yang dikirim saat menghubungkan sebuah kotak email memastikan tanda tangan DKIM yang benar-benar terdeteksi saat tiba, dan tombol "Periksa DNS" di halaman kotak email menjalankan ulang pemeriksaan sesuai permintaan. Jika DMARC belum ada dan domain Anda di Hostinger, alat ini bahkan bisa menambahkannya untuk Anda.

Bagaimana dengan sisanya?

Ketiga record ini tidak menjamin email Anda sampai ke inbox. Mereka hanya menjamin email tidak ditolak karena alasan teknis yang bisa dihindari. Sisanya bergantung pada reputasi domain Anda, kualitas daftar, dan isi pesan Anda. Untuk domain baru, Anda juga harus memperhitungkan waktu warmup. Dan jika Anda ragu untuk melakukan prospecting dari domain utama, artikel kami tentang domain khusus akan membantu Anda memutuskan.