Bagaimana cara mengatur DKIM untuk domain email kustom?

Bagaimana cara kerja DKIM?

DKIM memungkinkan server pengirim menandatangani setiap pesan dengan kunci privat, dan memungkinkan penerima mana pun memeriksa tanda tangan dengan kunci publik yang dipublikasikan di DNS. Tanda tangan berada di header DKIM-Signature. Ia memuat domain penandatangan (d=), selektor (s=), header yang ditandatangani (h=), hash isi (bh=) dan tanda tangan itu sendiri (b=). RFC 6376, sebuah Internet Standard, mendefinisikan tag-tag ini.

Penerima membangun nama DNS dari selektor dan domain: selector._domainkey.domain. Untuk selektor fm1 dan domain example.com, ia menanyakan fm1._domainkey.example.com. Jawabannya adalah catatan dengan tag v=DKIM1, k=rsa dan p= diikuti kunci publik dalam base64. p= yang kosong berarti kunci dicabut.

Tanda tangan yang valid membuktikan dua hal: pesan ditandatangani oleh sistem yang memegang kunci privat untuk domain itu, dan bagian yang ditandatangani tidak berubah dalam perjalanan. Ini tidak berarti pesan tersebut diinginkan. Penilaian itu milik DMARC, dibahas dalam SPF vs DKIM vs DMARC.

Mengapa penyedia meminta catatan CNAME alih-alih kunci?

CNAME menyerahkan kunci kepada penyedia: kunci publik tetap berada di alamat penyedia dan penyedia dapat menggantinya tanpa meminta Anda mengedit DNS. Proton Mail, Fastmail dan Mailbox.org semuanya menggunakan pola ini. Catatan mereka berupa CNAME dari nama selektor Anda ke host yang mereka kendalikan, yang menyimpan catatan kunci sebenarnya.

Manfaatnya adalah rotasi kunci. RFC 6376 menyarankan untuk mempublikasikan kunci baru di bawah selektor baru daripada menggunakan kembali selektor, dan Proton Mail mempublikasikan tiga selektor (protonmail, protonmail2, protonmail3), yang memberi penyedia ruang untuk berpindah dari satu kunci ke kunci berikutnya. Biayanya bagi Anda adalah kepercayaan: Anda bergantung pada host penyedia untuk terus merespons.

Menurut perbandingan Postelva pada 12 November 2026, ketiga penyedia yang catatan DKIM-nya dibaca dari halaman bantuan mereka membutuhkan 3, 4 dan 3 catatan CNAME, total 10, dan tidak satu pun meminta kunci TXT.

Berapa panjang kunci DKIM sebaiknya?

Gunakan kunci RSA 2048-bit; 1024 bit adalah minimum yang diizinkan RFC 6376 untuk kunci berumur panjang. Standarnya menyatakan bahwa penandatangan harus menggunakan kunci RSA minimal 1024 bit, dan verifikasi harus dapat memeriksa kunci dari 512 hingga 2048 bit. Pedoman pengirim Google meminta minimal 1024 bit dan merekomendasikan 2048. Jika penyedia yang membuat kuncinya, seperti pada pengaturan CNAME di atas, panjangnya adalah pilihan penyedia dan tidak ada yang perlu Anda konfigurasi.

Jika Anda harus memilih ukuran sendiri, pilih 2048. Kunci 2048-bit lebih panjang dari satu string 255 karakter di DNS, sehingga nilai TXT dipecah menjadi beberapa string, yang sebagian besar editor DNS lakukan sendiri. Batas editor yang sama berlaku untuk catatan SPF yang dijelaskan dalam cara membuat catatan SPF.

Bisakah saya memakai beberapa penyedia pada satu domain?

Bisa: setiap penyedia menandatangani dengan selektornya sendiri, sehingga catatan DKIM mereka tidak bertabrakan. Selektor adalah alasannya. Proton memakai protonmail, protonmail2 dan protonmail3; Fastmail memakai fm1, fm2 dan fm3; Mailbox.org memakai MBO0001 sampai MBO0004. Layanan buletin yang mengirim atas nama Anda menambahkan selektornya sendiri.

SPF berbeda: ia memiliki satu catatan untuk semua pengirim, dengan batas 10 pencarian. Saat Anda meninggalkan penyedia untuk selamanya, hapus catatan DKIM-nya setelah Anda memastikan penyedia baru menandatangani, agar kunci yang ditinggalkan tidak dapat dipakai oleh siapa pun yang mendapatkan akses ke akun lama. Untuk urutan lengkap migrasi, lihat cara memindahkan email ke penyedia baru tanpa kehilangan email.

Bagaimana cara memeriksa bahwa DKIM berfungsi?

Cari selektornya dengan dig lalu kirim pesan nyata. Perintah dig CNAME fm1._domainkey.example.com +short seharusnya mencetak target penyedia. Untuk kunci TXT, minta TXT. Pengujian yang menentukan adalah pesan: header salinan yang diterima menunjukkan apakah server penerima mencatat dkim=pass.

Jika catatannya benar dan pemeriksaan masih gagal, penyebab yang biasa adalah nama host yang salah (domain ditambahkan dua kali oleh editor DNS), cache yang usang, atau pesan yang dikirim sebelum penyedia mengaktifkan penandatanganan. Panduan berikutnya, cara memeriksa catatan MX, SPF, DKIM dan DMARC, mencantumkan perintahnya. Langkah Fastmail secara lengkap ada di panduan domain kustom Fastmail.