SPF, DKIM, DMARC: Cara Agar Email Bisnis Tidak Masuk Spam

Anda sudah mengirim penawaran, invoice, atau balasan ke pelanggan, tetapi mereka bilang tidak menerima apa pun. Setelah dicek, email ternyata mendarat di folder spam, atau bahkan ditolak server penerima. Salah satu penyebab yang paling sering terlewat adalah autentikasi domain: SPF, DKIM, dan DMARC.

Ketiganya adalah catatan DNS yang membuktikan bahwa email dengan nama domain Anda memang dikirim oleh pihak yang berwenang. Penyedia besar seperti Google dan Yahoo kini menjadikannya syarat, dan pembahasannya ramai di kalangan admin IT serta pemilik bisnis yang memakai email domain sendiri. Artikel ini menjelaskan aturannya, cara setting di Google Workspace dan Zimbra, serta kesalahan yang perlu dihindari.

Isi artikel ini berdasarkan dokumentasi resmi Google Workspace dan Zimbra, ditambah rujukan dari beberapa panduan teknis. Aturan penyedia email bisa berubah, jadi selalu cek dokumentasi terbaru sebelum mengubah DNS domain Anda.

Apa Itu SPF, DKIM, dan DMARC?

Bayangkan email sebagai surat yang membawa nama perusahaan Anda. Tanpa autentikasi, siapa pun bisa menulis alamat pengirim “direksi@perusahaananda.com” dan server penerima tidak punya cara mudah untuk memeriksanya. Tiga mekanisme berikut menutup celah itu.

• SPF (Sender Policy Framework): daftar server atau layanan yang boleh mengirim email atas nama domain Anda, disimpan sebagai TXT record di DNS.
• DKIM (DomainKeys Identified Mail): tanda tangan digital pada setiap email keluar. Menurut dokumentasi Google Workspace, kunci publik disimpan di DNS, sedangkan kunci privat dipakai server untuk menandatangani pesan.
• DMARC: kebijakan yang memberi tahu server penerima apa yang harus dilakukan bila SPF atau DKIM gagal, sekaligus mengirim laporan ke Anda.

Dengan DMARC, kebijakan dapat diatur untuk mengarantina atau menolak pesan yang gagal pemeriksaan, seperti dijelaskan dalam materi video Google Workspace.

Aturan Pengirim Gmail yang Perlu Anda Ketahui

Google menerapkan syarat bagi pengirim ke akun Gmail pribadi. Dokumentasi Google Workspace menyebut semua pengirim wajib memasang SPF atau DKIM, sedangkan pengirim massal (lebih dari 5.000 pesan per hari) wajib memasang SPF, DKIM, sekaligus DMARC.

Menurut rangkuman beberapa panduan teknis, aturan Google dan Yahoo ini mulai berlaku pada Februari 2024. Untuk pengirim massal, syarat tambahannya mencakup:

• kebijakan DMARC minimal p=none, dengan domain pada kolom From selaras (aligned) dengan domain SPF atau DKIM;
• tautan berhenti berlangganan satu klik pada email pemasaran, dengan permintaan diproses dalam dua hari;
• tingkat laporan spam di Postmaster Tools tetap di bawah 0,30%.

Kunci DKIM sebaiknya berukuran 2048 bit; panjang minimum yang disyaratkan adalah 1024 bit.

Apakah bisnis kecil aman karena jarang mengirim 5.000 email sehari? Tidak sepenuhnya. Beberapa sumber menyebut Google, Yahoo, dan Microsoft sama-sama menyarankan SPF, DKIM, dan DMARC untuk semua pengirim, berapa pun volumenya, karena autentikasi memperbaiki peluang email sampai ke kotak masuk.

Mengapa Ini Penting untuk Bisnis di Indonesia

Alasan lainnya adalah keamanan nama perusahaan Anda. Pada Juni 2024, BSSN mengingatkan adanya email phishing yang mengatasnamakan BSSN terkait insiden Pusat Data Nasional Sementara. Kasus seperti ini menunjukkan bahwa penipu memang memanfaatkan nama institusi yang dikenal.

Data lembaga pengelola domain juga menunjukkan penyalahgunaan nama domain cukup masif. Ketua PANDI menyebut IDADX mencatat 32.535 URL terindikasi penyalahgunaan domain sepanjang semester I 2026. Angka ini mencakup berbagai bentuk penyalahgunaan, bukan hanya email, tetapi gambarannya jelas: domain adalah aset yang perlu dijaga.

SPF, DKIM, dan DMARC tidak menghentikan semua penipuan. Namun, DMARC dengan kebijakan yang tegas mempersulit pihak lain memalsukan alamat pengirim dengan domain Anda.

Cara Setting SPF DKIM DMARC di Google Workspace

Bila tim Anda memakai Google Workspace, urutannya cukup jelas. Anda butuh akses admin Google dan akses ke pengelola DNS domain.

1. Pasang SPF. Jika email hanya dikirim lewat Google, buat satu TXT record di domain utama dengan nilai v=spf1 include:_spf.google.com ~all. Jika ada layanan lain yang mengirim email (newsletter, CRM, helpdesk), tambahkan di record yang sama.
2. Aktifkan DKIM. Di Admin console, buka Apps > Google Workspace > Gmail > Authenticate email, buat kunci, tambahkan ke DNS, lalu klik Start Authentication. Satu panduan menyarankan menunggu 24-72 jam setelah Gmail aktif sebelum membuat kunci.
3. Tambahkan DMARC. Buat TXT record di _dmarc.domainanda.com, mulai dari p=none dan alamat rua untuk menerima laporan.

Beberapa panduan menyarankan DMARC baru dipasang setelah SPF dan DKIM berjalan sekitar 48 jam. Tujuannya agar propagasi DNS selesai dan Anda tidak salah membaca hasil.

Contoh Ringkas Record DNS

Ganti “domainanda.com” dengan domain Anda. Nilai DKIM selalu diambil dari Admin console, bukan ditulis sendiri.

Cara Setting di Zimbra Mail Server

Untuk perusahaan yang mengelola server sendiri, Zimbra Mail Server mendukung ketiganya, tetapi pembagian kerjanya sedikit berbeda. Dokumentasi Zimbra menjelaskan bahwa DKIM dibuat per domain di server Zimbra, lalu kunci publiknya dipasang di DNS publik masing-masing domain. SPF dan DMARC cukup diatur di DNS publik.

• DKIM: jalankan perintah zmdkimkeyutil -a -d domainanda.com sebagai user zimbra, lalu salin selector dan kunci publik yang muncul ke TXT record DNS. Tanda tangan 2048-bit didukung sejak ZCS 8.7.x.
• SPF: daftarkan alamat IP server mail Anda, misalnya dengan format v=spf1 mx a ip4:x.x.x.x ~all. Materi Zimbra mengingatkan agar jangan pernah memasukkan IP privat.
• DMARC: mulai dari p=none untuk memantau, lalu naikkan bertahap.

Satu catatan penting: jika Anda memakai fitur persona di Zimbra dengan alamat Return Path yang berbeda dari alamat From, dokumentasi Zimbra memperingatkan uji kesejajaran SPF bisa gagal ketika DMARC diset quarantine atau reject.

Kesalahan Umum yang Sering Terjadi

• Membuat lebih dari satu SPF record. Domain hanya boleh punya satu record SPF. Zimbra menyebut beberapa record dapat diabaikan dan dianggap seolah-olah tidak ada SPF sama sekali.
• Terlalu banyak include. SPF dibatasi 10 pencarian DNS, jadi jangan menumpuk layanan tanpa dihitung.
• Lupa layanan pihak ketiga. Bila Anda memakai server atau layanan kirim baru dan SPF tidak diperbarui, Google mengingatkan pesan dari pengirim baru itu bisa ditandai spam.
• Langsung memakai p=reject. Kebijakan ketat tanpa memantau laporan dapat memblokir email sah, misalnya dari aplikasi tagihan.

Langkah Bertahap yang Aman

1. Daftar semua sistem yang mengirim email dengan domain Anda: email kantor, website, aplikasi, CRM, newsletter.
2. Pasang SPF dan DKIM, lalu uji dengan mengirim email ke akun Gmail dan periksa header (SPF dan DKIM berstatus pass).
3. Pasang DMARC p=none dan baca laporan selama beberapa minggu.
4. Perbaiki sumber kirim yang gagal, lalu naikkan ke quarantine dan kemudian reject bila sudah yakin.

Urutan ini mengikuti saran umum para praktisi, yaitu memulai dari pemantauan sebelum penegakan. Hasil tiap domain bisa berbeda, jadi sesuaikan dengan jumlah sistem pengirim di perusahaan Anda.

Perlu Bantuan Menyiapkannya?

Setting DNS terlihat sederhana, tetapi satu salah ketik dapat membuat email penting tertahan. Jika tim IT Anda terbatas, NEX Network dapat membantu migrasi dan konfigurasi email bisnis, baik Google Workspace maupun Zimbra. Untuk pengelolaan rutin seperti pemantauan laporan DMARC, tersedia juga layanan Managed Service Provider.

Silakan hubungi tim NEX Network untuk berdiskusi tentang kebutuhan email dan keamanan domain bisnis Anda.

Pertanyaan yang Sering Diajukan

Apakah email bisnis kecil tetap butuh SPF, DKIM, dan DMARC?

Ya. Walaupun kewajiban penuh Google berlaku untuk pengirim massal di atas 5.000 pesan per hari, semua pengirim ke Gmail tetap diwajibkan memasang SPF atau DKIM. Memasang ketiganya juga membantu email Anda lebih mudah sampai ke kotak masuk dan mempersulit pemalsuan domain.

Berapa lama sampai SPF, DKIM, dan DMARC aktif?

Perubahan DNS perlu waktu propagasi. Beberapa panduan menyebut DKIM di Google Workspace bisa memakan waktu hingga 48 jam, dan DMARC sebaiknya dipasang setelah SPF serta DKIM berjalan sekitar 48 jam.

Kebijakan DMARC mana yang sebaiknya dipilih di awal?

Mulailah dari p=none untuk memantau laporan tanpa memengaruhi pengiriman. Setelah semua sumber email sah lolos pemeriksaan, naikkan bertahap ke quarantine lalu reject.

Bolehkah domain punya dua SPF record?

Tidak. Domain hanya boleh memiliki satu SPF record. Jika ada layanan tambahan, masukkan ke record yang sama dengan include, dan perhatikan batas 10 pencarian DNS.

Apakah Zimbra mendukung DKIM, SPF, dan DMARC?

Ya. DKIM dibuat per domain di server Zimbra menggunakan perintah zmdkimkeyutil, sedangkan SPF dan DMARC diatur sebagai TXT record di DNS publik domain Anda.

Sumber

• Set up DKIM | Google Workspace Help
• Set up SPF | Google Workspace Help
• Google Workspace videos & webinars
• How to Set Up DMARC, SPF & DKIM for Google Workspace
• SetUp Guide to Google Workspace DKIM, DMARC, SPF in 2026 (EasyDMARC)
• Google Workspace DMARC: Why It’s Important to Set Up a DMARC Policy (Promevo)
• Gmail & Yahoo Sender Requirements: The 2026 Reference (Mailercloud)
• Gmail and Yahoo Bulk Sender Requirements: 2026 Checklist (AiEmaily)
• Bulk Email Sender Rules For Google, Yahoo, Microsoft & Apple (PowerDMARC)
• Best Practices on Email Protection: SPF, DKIM and DMARC – Zimbra Tech Center