SPF vs DKIM vs DMARC: apa bedanya?

Apa yang dilakukan SPF?

SPF menjawab satu pertanyaan: apakah server yang mengirim pesan ini diizinkan mengirim untuk domain tersebut? Pemilik domain menerbitkan catatan TXT yang diawali v=spf1 dan mencantumkan sumber yang diizinkan, misalnya include:_spf.protonmail.ch untuk Proton Mail. Penerima membandingkan alamat IP yang terhubung dengan daftar itu dan mendapatkan hasil: pass, fail, softfail atau neutral, tergantung kualifier di akhirnya (-all, ~all atau ?all).

SPF memeriksa envelope sender (MAIL FROM) dan nama HELO, bukan alamat From yang dilihat pembaca. Celah itulah alasan DMARC ada. SPF juga punya batasan keras: sebuah domain hanya boleh memiliki satu catatan SPF, dan evaluasi berhenti dengan kesalahan permanen setelah 10 istilah yang melakukan pencarian DNS (include, a, mx, ptr, exists, redirect). Metode lengkapnya ada di panduan membuat catatan SPF.

Apa yang dilakukan DKIM?

DKIM menjawab pertanyaan yang berbeda: apakah pesan ini ditandatangani oleh domain yang diklaimnya, dan apakah ia tiba tanpa perubahan? Server pengirim menandatangani header yang dipilih dan isinya dengan kunci privat. Penerima membaca domain penanda tangan (d=) dan selector (s=) dari header DKIM-Signature, mengambil kunci publik di selector._domainkey.domain melalui DNS, lalu memeriksa tanda tangannya.

Karena tanda tangan ikut bersama pesan, DKIM bertahan saat diteruskan selama pesan tidak berubah, sedangkan SPF tidak, karena peneruskan mengirim dari alamat IP-nya sendiri. RFC 6376 menyatakan bahwa penanda tangan harus memakai kunci RSA minimal 1024 bit untuk kunci berumur panjang, dan menganjurkan selector baru saat kunci berubah. Penyedia menerbitkan kunci untuk Anda: tiga catatan CNAME untuk Proton Mail dan Fastmail, empat untuk Mailbox.org. Rinciannya ada di panduan menyiapkan DKIM.

Apa yang dilakukan DMARC?

DMARC menghubungkan SPF dan DKIM ke domain From yang terlihat, dan memberi tahu penerima apa yang harus dilakukan saat tidak ada pemeriksaan yang selaras. Sebuah pesan lolos DMARC saat SPF atau DKIM lolos dan domain yang diautentikasinya cocok dengan domain From. Keselarasan bersifat relaks secara default (domain organisasi yang sama) dan ketat jika diatur dengan aspf=s atau adkim=s.

Catatan berada di _dmarc.yourdomain dan membawa kebijakan: p=none (hanya memantau), p=quarantine (dianggap mencurigakan) atau p=reject (ditolak). Alamat rua menerima laporan agregat, yang memperlihatkan siapa yang mengirim email atas nama Anda. RFC 9989, yang diterbitkan Mei 2026, adalah spesifikasi terkini; ia menggantikan RFC 7489, menghapus tag pct dan menambahkan flag uji t. Peralihan dari pemantauan ke penolakan ada di panduan menyiapkan DMARC.

Apakah saya membutuhkan ketiganya?

Ya: domain kustom yang mengirim email sebaiknya menerbitkan SPF, DKIM dan DMARC, karena penerima besar memintanya. Pedoman pengirim Google mewajibkan SPF, DKIM dan catatan DMARC (kebijakan none saja sudah cukup) untuk pengirim di atas 5.000 pesan sehari ke akun Gmail. Microsoft meminta pengirim Outlook.com di atas 5.000 sehari untuk ketiganya, sejak 5 Mei 2025, dan Yahoo juga mewajibkan SPF, DKIM dan DMARC untuk pengirim massal.

Kotak surat pribadi mengirim jauh lebih sedikit pesan, jadi ambang batas itu tidak mengikat Anda. Catatan tetap menentukan apakah email Anda sampai ke kotak masuk, dan mencegah orang lain memalsukan alamat Anda. Menurut hitungan Postelva tanggal 12 November 2026 dari halaman bantuan penyedia, penyiapan Proton Mail lengkap membutuhkan 8 catatan DNS dan penyiapan Mailbox.org lengkap 11, dengan 3 dan 4 di antaranya adalah kunci DKIM. Catatan MX dibahas di apa itu catatan MX.

Kesalahan apa yang merusak ketiga catatan?

Tiga kesalahan menyebabkan sebagian besar kegagalan: dua catatan SPF, lebih dari 10 pencarian, dan kebijakan DMARC yang terlalu ketat terlalu cepat. Domain dengan dua catatan SPF menghasilkan kesalahan permanen, jadi tambahkan include penyedia baru ke catatan yang sudah ada. Menumpuk host surat, alat buletin dan meja bantuan bisa membuat jumlah pencarian melewati 10, dan catatan itu kemudian gagal untuk setiap pengirim. Mailbox.org dan Proton sama-sama menganjurkan memulai DMARC dengan p=none, dan Mailbox.org memperingatkan bahwa kebijakan yang ketat terlalu cepat dapat memantulkan email yang sah.

Kesalahan keempat adalah menyimpan entri DKIM dan SPF penyedia sebelumnya selama berbulan-bulan. Entri itu tidak merugikan pengiriman, tetapi memperluas daftar server yang boleh berbicara atas nama Anda. Hapus setelah pemindahan dikonfirmasi.

Bagaimana ketiganya bekerja bersama pada satu pesan?

Penerima menjalankan SPF dan DKIM, lalu DMARC menggabungkan hasilnya. Ambil pesan dari [email protected] yang dikirim melalui Proton Mail. SPF lolos jika server yang terhubung ada dalam daftar _spf.protonmail.ch. DKIM lolos jika tanda tangan yang dibuat dengan kunci di bawah yourname.com terverifikasi. DMARC lalu menanyakan apakah setidaknya salah satu dari keduanya lolos dengan yourname.com sebagai pengenal yang selaras. Jika ya, pesan lolos; jika tidak, penerima menerapkan kebijakan Anda dan mencatat hasilnya di laporan agregat berikutnya.

RFC 9989 menyatakan bahwa domain dengan p=reject tidak boleh hanya mengandalkan SPF dan sebaiknya menandatangani dengan DKIM, karena SPF gagal saat diteruskan. ARC (RFC 8617), standar eksperimental, memungkinkan peneruskan mencatat hasil asli, meskipun itu bukan bagian dari penyiapan Anda sendiri. Setelah menerbitkan catatan, periksa dengan dig sebelum Anda memperketat kebijakan apa pun.

Definisi yang bisa dikutip: SPF mengotorisasi server, DKIM mengautentikasi pesan, dan DMARC menegakkan kecocokan dengan domain From serta melaporkan hasilnya.