--- title: "Lindungi Domain dari Spoofing dengan SPF, DKIM, dan DMARC" description: "Cegah email palsu atas nama domainmu: contoh record, tahapan DMARC dari p=none ke reject, membaca laporan, dan syarat Gmail serta Yahoo." url: "https://nivelva.com/insight/spf-dkim-dmarc-anti-spoofing" category: "Keamanan/Cyber Security" tags: ["dmarc","spoofing email","spf","dkim","keamanan domain"] author: "Theresia Candiawan" published: "2026-11-07T06:15:00+07:00" updated: "2026-11-07T06:15:00+07:00" language: "id" publisher: "Nivelva (https://nivelva.com)" --- # Lindungi Domain dari Spoofing dengan SPF, DKIM, dan DMARC > **Jawaban singkat:** Domain terlindung dari spoofing bila SPF dan DKIM lolos dan selaras dengan alamat From, lalu DMARC dinaikkan bertahap dari p=none ke quarantine dan reject sambil membaca laporan agregat. Per 4 November 2026, Gmail dan Yahoo mewajibkan DMARC minimal p=none untuk pengirim massal. Untuk melindungi domain dari spoofing, kamu perlu DMARC dengan kebijakan `quarantine` atau `reject`, ditopang SPF dan DKIM yang lolos dan selaras dengan alamat pengirim. Tanpa DMARC yang tegas, siapa pun bisa mengirim email dengan alamat From `keuangan@domainmu.com`, dan banyak server penerima akan tetap mengantarkannya. Email palsu seperti itu dipakai untuk invoice tipuan, phishing ke pelanggan, atau penipuan internal, dan reputasi domainmu ikut tercoreng. Kalau kamu baru mulai dan email bisnis masih sering masuk spam, dasar pemasangan ketiga record ada di [SPF, DKIM, DMARC: cara setting agar email tidak masuk spam](https://nivelva.com/insight/spf-dkim-dmarc). Artikel ini melanjutkan dari sana, dengan fokus pada pencegahan pemalsuan. ## Kenapa SPF dan DKIM saja belum cukup? SPF memeriksa apakah server pengirim diizinkan oleh domain di alamat "envelope" (Return-Path), sedangkan DKIM memeriksa tanda tangan digital dari domain tertentu. Keduanya tidak otomatis memeriksa alamat **From** yang dilihat penerima. Celah inilah yang dipakai pelaku. Email bisa lolos SPF untuk domain milik pelaku, sambil menampilkan From domainmu. DMARC menutup celah itu dengan syarat **keselarasan (alignment)**: domain yang lolos SPF atau DKIM harus sama, atau satu domain induk, dengan domain di From. Lalu DMARC memberi tahu penerima apa yang harus dilakukan bila syarat itu gagal. ## Contoh record untuk domain yang aktif mengirim email Contoh berikut memakai domain `contoh.co.id`. Sesuaikan isinya dengan layanan email yang benar-benar kamu pakai. - **SPF** (TXT di `contoh.co.id`): `v=spf1 include:_spf.penyedia-email.com -all` Satu domain hanya boleh punya satu record SPF. Tambahkan semua layanan pengirim (email kantor, aplikasi newsletter, sistem invoice) dalam satu record. - **DKIM** (TXT di `selektor._domainkey.contoh.co.id`): diisi kunci publik dari penyedia email. Google menyarankan kunci 2048 bit bila penyedianya mendukung, dan menyebut minimal 1024 bit. - **DMARC** (TXT di `_dmarc.contoh.co.id`): `v=DMARC1; p=none; rua=mailto:dmarc@contoh.co.id` Tag `rua` menentukan alamat penerima laporan agregat. Yahoo menyebut tag ini sangat disarankan untuk pemantauan. ### Domain yang tidak pernah mengirim email Domain cadangan atau domain promosi yang tidak dipakai untuk email mudah dilupakan, padahal bisa dipalsukan sama seperti domain utama. Kunci dengan dua record: SPF `v=spf1 -all` dan DMARC `v=DMARC1; p=reject;`. Artinya, tidak ada server yang berhak mengirim atas nama domain ini, dan semua yang mengaku dari sana boleh ditolak. ## Tahapan dari p=none ke reject Menaikkan kebijakan terlalu cepat bisa membuat email sah ikut ditolak, misalnya dari aplikasi tagihan yang lupa didaftarkan. Karena itu, naikkan secara bertahap. | Tahap | Kebijakan | Yang dilakukan | Pindah ke tahap berikutnya bila | |:--|:--|:--|:--| | 1. Pantau | `p=none` | Kumpulkan laporan, catat semua sumber pengirim | Semua sumber sah sudah dikenali | | 2. Perbaiki | `p=none` | Daftarkan sumber sah ke SPF, aktifkan DKIM di tiap layanan | Sumber sah konsisten lolos dan selaras | | 3. Karantina | `p=quarantine` | Email gagal masuk folder spam penerima | Tidak ada keluhan email sah hilang | | 4. Tolak | `p=reject` | Email gagal ditolak sepenuhnya | Pantau laporan secara rutin | Berapa lama tiap tahap tidak ada patokan baku. Domain dengan sedikit layanan pengirim bisa lebih cepat, sedangkan perusahaan dengan banyak sistem otomatis butuh waktu lebih lama untuk menemukan semuanya. > **Perubahan standar DMARC:** > > Sejak Mei 2026, DMARC punya spesifikasi baru berstatus Standards Track, RFC 9989, yang menggantikan RFC 7489 dan RFC 9091. Record tetap diawali `v=DMARC1`. Salah satu perubahannya: tag `pct` untuk menerapkan kebijakan ke sebagian email dihapus, dan pemakaian yang paling berguna darinya (`pct=0`) digantikan tag `t` untuk mode uji. Kalau dulu kamu menaikkan kebijakan memakai `pct`, cek dokumentasi penyedia email dan alat pembaca laporanmu soal dukungan tag baru ini. ## Bagaimana cara membaca laporan DMARC? Laporan agregat dikirim penerima besar dalam bentuk file XML terkompresi, biasanya harian. Isinya bukan salinan email, melainkan ringkasan: alamat IP pengirim, jumlah email, hasil SPF dan DKIM, serta apakah keduanya selaras dengan From. Saat membaca, kelompokkan menurut sumber: - **IP milik layanan yang kamu pakai, lolos dan selaras.** Ini kondisi yang diharapkan. - **IP milik layananmu, tapi gagal.** Biasanya SPF belum memuat layanan itu atau DKIM belum diaktifkan. Perbaiki di tahap 2. - **IP yang tidak kamu kenal, gagal.** Ini kemungkinan upaya spoofing, atau layanan lama yang terlupa. Telusuri dulu sebelum menyimpulkan. File XML sulit dibaca langsung, jadi banyak tim memakai alat pengolah laporan DMARC, baik layanan maupun aplikasi yang dipasang sendiri. Pastikan alamat `rua` adalah kotak surat khusus, karena laporan bisa datang dalam jumlah banyak. ## Apa syarat Gmail dan Yahoo untuk pengirim massal? Per 4 November 2026, halaman resmi Google menyebut syarat untuk **semua pengirim** ke akun Gmail: SPF atau DKIM, record DNS maju dan balik (PTR) yang valid, koneksi TLS, format sesuai RFC 5322, tingkat spam di Postmaster Tools di bawah 0,3%, dan tidak memalsukan header From Gmail. Untuk pengirim **lebih dari 5.000 pesan per hari** ke akun Gmail pribadi, syaratnya bertambah: SPF **dan** DKIM, DMARC dengan kebijakan minimal `p=none`, From yang selaras dengan domain SPF atau DKIM, serta berhenti berlangganan sekali klik dan tautan berhenti berlangganan yang terlihat di isi email untuk pesan pemasaran. Google menyebut mulai November 2025 penegakan diperketat, dengan email yang tidak memenuhi syarat bisa ditolak sementara maupun permanen. Yahoo menetapkan syarat serupa untuk pengirim massal: SPF dan DKIM, DMARC minimal `p=none` yang lolos, keselarasan From, header List-Unsubscribe sekali klik, permintaan berhenti berlangganan diproses dalam 2 hari, dan tingkat spam di bawah 0,3%. Perhatikan bahwa syarat penerima besar ini baru `p=none`. Untuk perlindungan dari spoofing, `p=none` hanya awal, karena kebijakan itu tidak meminta penerima menolak apa pun. ## Kesalahan yang membuat perlindungan bocor Saat memeriksa domain, cek lima hal ini: - **Dua record SPF** di domain yang sama, sehingga SPF dianggap error. - **SPF diakhiri `+all`**, yang justru mengizinkan semua server. - **Subdomain terlupa.** Kebijakan DMARC untuk subdomain bisa diatur dengan tag `sp`. Bila subdomain tidak dipakai mengirim email, kebijakan tegas di sana menutup celah tambahan. - **Layanan pihak ketiga mengirim dengan domainnya sendiri** di tanda tangan DKIM. Email lolos DKIM, tapi tidak selaras. Aktifkan DKIM dengan domain milikmu di pengaturan layanan tersebut. - **Berhenti di p=none selamanya.** Laporan terkumpul, tapi pemalsu tetap bebas mengirim. Semua record ini dikelola di DNS domain, jadi pastikan akses ke pengelola DNS dan registrar juga terlindungi. Dasar cara kerja record DNS dibahas di [apa itu DNS](https://nivelva.com/insight/apa-itu-dns), dan modus penipuan yang memanfaatkan domain palsu dijelaskan di [business email compromise](https://nivelva.com/insight/business-email-compromise-invoice-palsu). ## Pertanyaan yang sering diajukan ### Apakah p=reject bisa membuat email yang diteruskan (forward) gagal? Bisa. Penerusan sering membuat SPF gagal karena server penerus bukan server yang terdaftar. DKIM biasanya tetap lolos bila isi email tidak diubah, karena itu DKIM yang selaras penting sebelum memakai reject. ### Apakah DMARC mencegah domain tiruan yang mirip ejaannya? Tidak. DMARC hanya melindungi domain yang kamu miliki. Domain tiruan dengan ejaan mirip adalah domain lain, jadi pertahanannya adalah kewaspadaan penerima dan prosedur verifikasi. ### Berapa lama perubahan record DNS berlaku? Tergantung nilai TTL record dan cache server DNS penerima. Biasanya dalam hitungan menit sampai beberapa jam, jadi tunggu sebelum menguji ulang. ## Sumber - - - - --- Diterbitkan oleh Nivelva Insight (https://nivelva.com/insight/). Artikel ini: https://nivelva.com/insight/spf-dkim-dmarc-anti-spoofing Kontak Nivelva: WhatsApp https://wa.me/6285111245007, email hello@nivelva.com