Panduan
Cek DMARC: membaca record DMARC tag demi tag
DMARC memberi tahu server email penerima apa yang harus dilakukan terhadap pesan yang mengaku berasal dari domain Anda tetapi gagal SPF dan DKIM. Record yang salah membuat email palsu lolos, atau email Anda sendiri masuk spam. Berikut cara mengeceknya.
Letak record DMARC
DMARC adalah record TXT di _dmarc. di depan domain Anda. Untuk example.com, cari record TXT dari _dmarc.example.com:
_dmarc.example.com. TXT "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com; pct=100"Harus ada tepat satu record seperti itu. Jika ada dua record DMARC, penerima mengabaikan keduanya.
Tag yang penting
| Tag | Arti | Contoh |
|---|---|---|
v | Versi. Harus berada di awal dan harus DMARC1. | v=DMARC1 |
p | Kebijakan untuk domain: none (hanya laporan), quarantine (anggap mencurigakan, biasanya folder spam), atau reject (tolak pesan). | p=reject |
sp | Kebijakan untuk subdomain. Default-nya sama dengan p. | sp=quarantine |
pct | Persentase pesan gagal yang dikenai kebijakan, 0–100. Default-nya 100. | pct=25 |
rua | Tujuan pengiriman laporan agregat. | rua=mailto:dmarc@example.com |
ruf | Tujuan pengiriman laporan kegagalan. Banyak penyedia tidak mengirimkannya. | ruf=mailto:forensic@example.com |
adkim, aspf | Mode alignment untuk DKIM dan SPF: r relaxed (subdomain dianggap cocok, default) atau s strict. | adkim=s |
p=none, quarantine, atau reject?
- p=none tidak melindungi apa pun; penerima hanya mengirim laporan. Gunakan selama beberapa minggu untuk melihat siapa saja yang mengirim email atas nama domain Anda.
- p=quarantine mengirim email yang gagal ke spam. Langkah yang aman setelah semua layanan Anda lolos.
- p=reject memblokir email palsu sepenuhnya. Tujuan akhir bagi sebagian besar domain.
Record dengan p=none dan tanpa rua tidak memberi perlindungan maupun laporan, jadi sama sekali tidak berguna.
Cara DMARC memutuskan: alignment
Pesan lolos DMARC jika SPF atau DKIM lolos dan domain yang dicek cocok dengan domain di header From. SPF mengecek pengirim envelope (Return-Path); DKIM mengecek domain d= di tanda tangan. Layanan newsletter yang menandatangani dengan domainnya sendiri lolos DKIM tetapi gagal alignment DMARC sampai Anda menyiapkan DKIM untuk domain Anda di layanan tersebut.
Kesalahan umum
- Record dipasang di domain itu sendiri, bukan di
_dmarc. - Dua record DMARC, atau record DMARC di dalam record SPF.
pctdibiarkan di bawah 100 setelah pengujian, sehingga sebagian besar email palsu tetap terkirim.- Beralih ke
p=rejectsebelum setiap layanan pengirim (CRM, helpdesk, newsletter) lolos SPF atau DKIM dengan alignment. - Laporan dikirim ke alamat di domain lain tanpa record izin dari domain tersebut.
Cek juga SPF dan DKIM
DMARC bergantung pada keduanya. Record SPF harus tetap dalam batas 10 DNS lookup, termasuk include bertingkat, atau akan gagal dengan error permanen. Kunci DKIM berada di bawah nama selector (misalnya google._domainkey) yang tidak bisa didaftar oleh DNS, jadi Anda perlu tahu selector yang dipakai penyedia Anda.