Keamanan email perusahaan menjadi semakin penting di tengah meningkatnya ancaman phishing, spoofing, dan penyalahgunaan domain, sehingga fungsi SPF, DKIM, dan DMARC perlu dipahami dan diterapkan secara tepat.
Ketiga mekanisme autentikasi email tersebut memiliki peran berbeda, tetapi saling melengkapi untuk memastikan email berasal dari sumber yang sah, melindungi reputasi domain, serta mengurangi risiko email perusahaan dimanfaatkan untuk serangan siber.
Keamanan Email Tidak Lagi Cukup Mengandalkan Kata Sandi
Email masih menjadi salah satu media komunikasi yang paling penting dalam dunia bisnis. Setiap hari perusahaan mengirim penawaran, invoice, purchase order, kontrak kerja sama, laporan keuangan, hingga notifikasi sistem melalui email. Aktivitas tersebut membuat email menyimpan informasi yang bernilai tinggi sekaligus menjadi sasaran utama pelaku kejahatan siber.
Salah satu ancaman yang paling sering terjadi adalah email spoofing, yaitu teknik yang membuat email tampak seolah-olah berasal dari perusahaan atau organisasi tertentu. Pelaku memanfaatkan cara tersebut untuk mengelabui penerima agar membuka lampiran berbahaya, mengklik tautan palsu, atau memberikan informasi yang bersifat rahasia.
Bayangkan seorang pelanggan menerima email yang terlihat berasal dari perusahaan Anda. Logo, nama perusahaan, bahkan alamat pengirim tampak meyakinkan. Setelah pelanggan membuka email tersebut, ia diminta mentransfer pembayaran ke rekening yang ternyata milik pelaku. Situasi seperti ini tidak hanya merugikan pelanggan, tetapi juga dapat merusak reputasi perusahaan.
Karena alasan itulah keamanan email tidak cukup mengandalkan kata sandi yang kuat. Perusahaan juga perlu memastikan bahwa setiap email benar-benar berasal dari domain resmi dan tidak dapat dipalsukan oleh pihak lain.
Tiga teknologi yang berperan penting dalam proses tersebut adalah SPF, DKIM, dan DMARC. Ketiganya bekerja saling melengkapi untuk membantu server penerima mengenali apakah sebuah email benar-benar berasal dari domain yang sah.
Artikel ini membahas fungsi SPF, DKIM, dan DMARC dari sudut pandang bisnis sehingga mudah dipahami oleh pemilik perusahaan, manajemen, maupun pengguna email yang tidak memiliki latar belakang teknis.
Mengapa Keamanan Email Menjadi Semakin Penting?
Transformasi digital membuat hampir seluruh aktivitas perusahaan bergantung pada email. Selain berfungsi sebagai media komunikasi, email juga menjadi identitas utama untuk mengakses berbagai layanan digital seperti Google Workspace, Microsoft 365, sistem ERP, CRM, layanan cloud, hingga platform digital marketing.
Akibatnya, serangan terhadap email tidak lagi hanya bertujuan mencuri isi pesan. Pelaku juga berusaha mengambil alih akun, memalsukan identitas perusahaan, atau memanfaatkan nama domain untuk menjalankan aksi penipuan.
Kondisi tersebut menuntut perusahaan menerapkan lapisan keamanan yang mampu melindungi identitas domain, bukan hanya akun pengguna.
SPF, DKIM, dan DMARC hadir untuk memenuhi kebutuhan tersebut.
Apa Itu SPF, DKIM, dan DMARC?
Banyak orang menganggap SPF, DKIM, dan DMARC sebagai istilah teknis yang hanya dipahami oleh administrator server. Padahal, konsep dasarnya cukup sederhana.
Ketiga teknologi tersebut membantu server email membedakan email asli dan email palsu sebelum pesan sampai ke kotak masuk penerima.
Masing-masing memiliki fungsi yang berbeda, tetapi saling melengkapi.
Apa Itu SPF?
SPF merupakan singkatan dari Sender Policy Framework.
Teknologi ini berfungsi menentukan server mana saja yang berhak mengirim email menggunakan nama domain perusahaan.
Sebagai ilustrasi, anggap sebuah perusahaan memiliki beberapa kantor cabang. Setiap cabang memiliki petugas resmi yang boleh mengirim surat atas nama perusahaan. Petugas di luar daftar tersebut tidak memiliki wewenang.
SPF bekerja menggunakan prinsip yang hampir sama.
Perusahaan membuat daftar server yang diizinkan mengirim email atas nama domainnya. Ketika server penerima menerima sebuah email, sistem akan memeriksa apakah pengirim termasuk dalam daftar tersebut.
Apabila cocok, proses pengiriman dapat dilanjutkan.
Sebaliknya, apabila server pengirim tidak termasuk dalam daftar, sistem akan memberikan tanda bahwa email tersebut patut dicurigai.
Melalui mekanisme tersebut, SPF membantu mengurangi peluang pihak lain mengirim email menggunakan nama domain perusahaan secara sembarangan.
Apa Itu DKIM?
DKIM merupakan singkatan dari DomainKeys Identified Mail.
Berbeda dari SPF yang memverifikasi asal server pengirim, DKIM berfungsi memberikan tanda tangan digital pada setiap email.
Tanda tangan tersebut membuktikan bahwa isi email tidak berubah sejak pertama kali dikirim.
Bayangkan sebuah surat resmi yang telah direktur perusahaan berikan tanda tangan.
Selama tanda tangan tersebut masih utuh, penerima dapat lebih yakin bahwa dokumen tersebut memang berasal dari pihak yang berwenang dan belum mengalami perubahan.
DKIM menerapkan prinsip yang sama pada email.
Saat perusahaan mengirim email, server akan menambahkan tanda tangan digital yang hanya dapat dibuat oleh domain tersebut.
Kemudian, server penerima akan memveriksa tanda tangan itu sebelum menampilkan email kepada pengguna.
Apabila isi email berubah selama proses pengiriman, tanda tangan digital tidak lagi sesuai sehingga sistem dapat mengenali adanya kejanggalan.
Apa Itu DMARC?
DMARC merupakan singkatan dari Domain-based Message Authentication, Reporting, and Conformance.
Teknologi ini membantu perusahaan menentukan tindakan yang harus dilakukan ketika sebuah email gagal melewati pemeriksaan SPF atau DKIM.
Sebagai contoh, perusahaan dapat memilih salah satu kebijakan berikut.
- tetap menerima email
- mengarahkan email ke folder spam
- menolak email sepenuhnya
Selain menentukan kebijakan tersebut, DMARC juga menyediakan laporan mengenai aktivitas pengiriman email yang menggunakan domain perusahaan.
Laporan tersebut membantu administrator mengetahui apakah ada pihak lain yang mencoba mengirim email menggunakan identitas perusahaan tanpa izin.
Mengapa SPF, DKIM, dan DMARC Harus Digunakan Bersama?
Sebagian perusahaan hanya mengaktifkan SPF karena menganggap langkah tersebut sudah cukup.
Padahal, setiap teknologi memiliki fungsi yang berbeda.
- SPF memverifikasi server pengirim.
- DKIM memastikan isi email tetap utuh.
- DMARC mengevaluasi hasil pemeriksaan keduanya lalu menentukan tindakan yang harus diambil.
Ketika ketiga teknologi tersebut bekerja secara bersamaan, proses verifikasi menjadi jauh lebih kuat dibandingkan apabila perusahaan hanya mengandalkan salah satunya.
Pendekatan ini membantu server penerima membedakan email resmi dan email palsu secara lebih akurat sekaligus meningkatkan kepercayaan terhadap domain perusahaan.
Mengapa Perusahaan Perlu Memedulikan SPF, DKIM, dan DMARC?
Sebagian pemilik usaha beranggapan bahwa keamanan email hanya menjadi urusan divisi IT. Pandangan tersebut kurang tepat karena dampak penyalahgunaan email dapat dirasakan oleh seluruh bagian perusahaan.
Sebagai contoh, tim pemasaran dapat kehilangan kepercayaan pelanggan ketika email promosi masuk ke folder spam. Tim keuangan berisiko menerima invoice palsu yang tampak berasal dari vendor resmi. Sementara itu, divisi sumber daya manusia dapat menjadi sasaran pengiriman dokumen berbahaya yang menyamar sebagai lamaran pekerjaan.
Masalah tersebut tidak selalu muncul karena sistem perusahaan diretas. Dalam banyak kasus, pelaku hanya memanfaatkan domain yang belum memiliki autentikasi email yang memadai.
Oleh sebab itu, penerapan SPF, DKIM, dan DMARC sebaiknya dipandang sebagai bagian dari strategi perlindungan identitas perusahaan, bukan sekadar konfigurasi teknis pada server email.
Selain itu, email server seperti Google, Yahoo, dan email server yang memberantas SPAM akan memasukkan email ke Spam Folder ketika menerima email yang SPF, DKIM, dan DMARC tidak terkonfigurasi dengan benar.
Fungsi SPF untuk Melindungi Identitas Pengirim Email
SPF atau Sender Policy Framework membantu server penerima memverifikasi apakah sebuah email benar-benar dikirim dari server yang telah mendapat izin menggunakan nama domain perusahaan.
Sekilas, proses tersebut memang terlihat sederhana. Namun, manfaatnya sangat besar karena mampu mengurangi peluang pihak lain mengirim email palsu yang mengatasnamakan perusahaan Anda.
Sebagai ilustrasi, PT ABC menggunakan domain ptabc.co.id untuk seluruh komunikasi bisnis. Tim operasional mengirim email melalui Google Workspace, sedangkan sistem website mengirim formulir kontak melalui layanan hosting.
Karena kedua layanan tersebut telah mendapat izin melalui konfigurasi SPF, server penerima dapat mengenali bahwa email memang berasal dari sumber yang sah.
Sebaliknya, apabila ada pihak yang mencoba mengirim email menggunakan domain ptabc.co.id dari server lain yang tidak terdaftar, server penerima akan mengenali ketidaksesuaian tersebut. Hasil pemeriksaan inilah yang menjadi salah satu dasar dalam menentukan apakah email layak diterima atau perlu dicurigai.
Bagi perusahaan, SPF memberikan beberapa manfaat penting.
- Mengurangi risiko email spoofing.
- Membantu server penerima mengenali pengirim yang sah.
- Meningkatkan kepercayaan terhadap domain perusahaan.
- Mendukung tingkat keberhasilan pengiriman email (email deliverability).
- Melindungi identitas perusahaan saat mengirim email bisnis.
Walaupun demikian, SPF tidak dapat bekerja sendiri. Teknologi ini belum mampu memastikan bahwa isi email tetap utuh selama proses pengiriman. Di sinilah DKIM mengambil peran.
Fungsi DKIM untuk Menjamin Keaslian Isi Email
DKIM atau DomainKeys Identified Mail berfungsi memastikan bahwa isi email tidak mengalami perubahan sejak pertama kali dikirim.
Bayangkan sebuah kontrak kerja sama yang telah ditandatangani oleh direktur perusahaan. Selama tanda tangan tersebut masih utuh, penerima memiliki keyakinan bahwa isi dokumen belum mengalami perubahan.
DKIM menerapkan konsep yang serupa pada email.
Setiap email yang keluar akan memperoleh tanda tangan digital unik. Setelah email sampai ke server tujuan, sistem akan memeriksa apakah tanda tangan tersebut masih sesuai.
Apabila seseorang mencoba mengubah isi email selama proses pengiriman, tanda tangan digital tidak lagi cocok. Server penerima pun dapat mengenali bahwa pesan tersebut telah dimodifikasi.
Fungsi tersebut memberikan beberapa keuntungan bagi perusahaan.
- Menjamin integritas isi email.
- Membantu membedakan email asli dan email yang telah dimanipulasi.
- Mengurangi risiko pemalsuan identitas.
- Meningkatkan kepercayaan server penerima terhadap domain perusahaan.
- Mendukung reputasi pengiriman email.
DKIM juga membantu meningkatkan peluang email masuk ke kotak masuk utama karena penyedia layanan email lebih mudah memverifikasi keaslian pesan.
Fungsi DMARC untuk Mengendalikan Perlindungan Domain
Apabila SPF dan DKIM berperan sebagai alat verifikasi, DMARC bertindak sebagai pengambil keputusan.
DMARC atau Domain-based Message Authentication, Reporting, and Conformance membantu pemilik domain menentukan tindakan ketika sebuah email gagal melewati proses autentikasi.
Perusahaan dapat memilih salah satu dari tiga kebijakan utama.
None
Server tetap menerima email, tetapi administrator memperoleh laporan mengenai hasil pemeriksaan.
Kebijakan ini biasanya digunakan pada tahap awal implementasi untuk memantau kondisi tanpa memengaruhi pengiriman email.
Quarantine
Server menganggap email tersebut mencurigakan sehingga mengarahkannya ke folder spam atau folder karantina.
Pendekatan ini memberikan perlindungan tambahan tanpa langsung menolak seluruh email yang gagal diverifikasi.
Reject
Server langsung menolak email yang tidak memenuhi persyaratan autentikasi.
Pilihan ini memberikan tingkat perlindungan paling tinggi karena email palsu tidak akan sampai ke penerima.
Selain menentukan kebijakan tersebut, DMARC juga menghasilkan laporan yang memperlihatkan aktivitas pengiriman email menggunakan domain perusahaan.
Melalui laporan tersebut, administrator dapat mengetahui apabila ada server atau layanan yang mencoba mengirim email tanpa izin.
Bagaimana SPF, DKIM, dan DMARC Bekerja Secara Bersamaan?
Ketiga teknologi tersebut saling melengkapi. Masing-masing memiliki tugas yang berbeda sehingga hasil akhirnya menjadi lebih akurat.
Alur sederhananya dapat digambarkan sebagai berikut.
Meskipun proses tersebut berlangsung hanya dalam hitungan detik, setiap tahapan memiliki peran penting.
SPF memveriksa apakah server pengirim mendapat izin.
DKIM memastikan isi email tetap utuh.
DMARC menentukan tindakan berdasarkan hasil pemeriksaan keduanya.
Kolaborasi tersebut membantu penyedia layanan email seperti Gmail atau Microsoft 365 mengenali email resmi secara lebih akurat.
Manfaat SPF, DKIM, dan DMARC bagi Perusahaan
Banyak perusahaan baru menyadari pentingnya autentikasi email setelah mengalami masalah, misalnya pelanggan menerima email palsu atau pesan resmi justru masuk ke folder spam.
Padahal, penerapan SPF, DKIM, dan DMARC mampu memberikan manfaat yang jauh lebih luas.
Melindungi Reputasi Perusahaan
Reputasi perusahaan tidak hanya dibangun melalui kualitas produk atau layanan. Cara perusahaan berkomunikasi juga memengaruhi tingkat kepercayaan pelanggan.
Email palsu yang mengatasnamakan perusahaan dapat menurunkan kepercayaan tersebut dalam waktu singkat.
Autentikasi email membantu mengurangi risiko tersebut.
Mengurangi Risiko Phishing
Pelaku phishing sering memanfaatkan nama perusahaan terkenal agar korban merasa yakin.
SPF, DKIM, dan DMARC membantu server penerima mengenali email yang tidak memenuhi proses autentikasi sehingga peluang keberhasilan serangan menjadi lebih kecil.
Walaupun teknologi ini tidak dapat menghentikan seluruh serangan phishing, penerapannya mampu menambah lapisan perlindungan yang penting.
Meningkatkan Tingkat Keberhasilan Pengiriman Email
Penyedia layanan email terus meningkatkan kemampuan mereka dalam menyaring email yang tidak terpercaya.
Domain yang telah menerapkan autentikasi email secara benar cenderung memiliki reputasi pengiriman yang lebih baik.
Akibatnya, peluang email bisnis masuk ke kotak masuk utama juga meningkat.
Hal tersebut sangat penting bagi perusahaan yang rutin mengirim:
- penawaran bisnis
- invoice
- purchase order
- notifikasi sistem
- newsletter
- email promosi
- konfirmasi transaksi
Memperkuat Kepercayaan Pelanggan
Mendukung Tata Kelola Teknologi Informasi
Autentikasi email juga menunjukkan bahwa perusahaan menerapkan praktik pengelolaan teknologi informasi yang lebih baik.
Langkah tersebut membantu organisasi membangun sistem komunikasi yang lebih aman sekaligus mengurangi risiko penyalahgunaan identitas domain.
Selain itu, penerapan SPF, DKIM, dan DMARC sering menjadi bagian dari rekomendasi keamanan yang diterapkan oleh banyak organisasi dan penyedia layanan email berskala global.
Risiko Jika Perusahaan Tidak Menggunakan SPF, DKIM, dan DMARC
Banyak perusahaan baru menyadari pentingnya autentikasi email setelah menghadapi insiden keamanan. Padahal, sebagian besar risiko dapat kita tekan sejak awal melalui konfigurasi yang tepat.
Berikut beberapa dampak yang paling sering terjadi ketika domain belum menerapkan SPF, DKIM, dan DMARC.
Email Palsu Mengatasnamakan Perusahaan
Risiko yang paling umum adalah email spoofing. Pelaku memalsukan alamat pengirim sehingga email tampak berasal dari domain perusahaan.
Sebagai contoh, pelanggan menerima email yang terlihat dikirim oleh finance@perusahaan.com. Isi pesannya meminta pelanggan mentransfer pembayaran ke rekening baru karena perusahaan disebut sedang melakukan perubahan rekening operasional. Cukup berbahaya bukan?
Apabila pelanggan tidak melakukan verifikasi, kerugian finansial dapat terjadi dalam hitungan menit.
Lebih dari itu, perusahaan juga harus menghadapi penurunan kepercayaan pelanggan karena nama domainnya dipakai untuk tindakan penipuan.
Email Masuk ke Folder Spam
Penyedia layanan email seperti Gmail, Microsoft Outlook, dan Yahoo terus meningkatkan sistem penyaringan untuk melindungi pengguna dari email yang tidak terpercaya.
Domain yang belum memiliki autentikasi email sering memperoleh reputasi yang lebih rendah daripada domain yang telah menerapkan SPF, DKIM, dan DMARC.
Akibatnya, email yang sebenarnya sah dapat masuk ke folder spam, meskipun isi pesannya tidak mengandung unsur berbahaya.
Kondisi tersebut tentu merugikan perusahaan, terutama ketika mengirim:
- proposal kerja sama
- penawaran harga
- invoice
- purchase order
- konfirmasi pembayaran
- informasi kepada pelanggan
- dan sebagainya.
Semakin sering email masuk ke folder spam, semakin besar pula peluang terhambatnya komunikasi bisnis.
Reputasi Domain Menurun
Setiap domain memiliki reputasi yang dinilai oleh penyedia layanan email.
Reputasi tersebut dipengaruhi oleh berbagai faktor, termasuk konsistensi pengiriman, kualitas daftar penerima, hingga penerapan autentikasi email.
Apabila banyak email palsu menggunakan domain perusahaan, reputasi domain dapat menurun.
Ketika reputasi sudah memburuk, proses pemulihannya tidak selalu berlangsung cepat. Perusahaan perlu melakukan evaluasi, memperbaiki konfigurasi, dan membangun kembali kepercayaan penyedia layanan email.
Karena itu, pencegahan selalu lebih baik daripada memperbaiki reputasi yang telah terlanjur rusak.
Meningkatnya Risiko Phishing
Serangan phishing tidak selalu menargetkan pelanggan. Pelaku juga sering mengincar karyawan perusahaan.
Misalnya, seorang staf keuangan menerima email yang tampak berasal dari direktur perusahaan. Email tersebut meminta pembayaran kepada vendor baru dan menekankan bahwa transaksi harus segera dilakukan.
Apabila staf tidak memverifikasi keaslian email, perusahaan dapat mengalami kerugian finansial yang cukup besar.
SPF, DKIM, dan DMARC memang tidak dapat menghentikan seluruh serangan phishing. Namun, ketiganya mampu mengurangi peluang pelaku menggunakan identitas domain perusahaan untuk melancarkan aksinya.
Kesalahan yang Masih Sering Dilakukan Perusahaan
Banyak perusahaan sebenarnya telah menggunakan email dengan domain sendiri. Sayangnya, konfigurasi keamanan belum selalu mendapat perhatian.
Beberapa kesalahan berikut masih sering ditemukan.
Tidak Pernah Mengaktifkan SPF
Sebagian perusahaan hanya membuat akun email, lalu menganggap proses konfigurasi telah selesai.
Padahal, tanpa SPF, server penerima akan lebih sulit memverifikasi apakah email benar-benar berasal dari server yang sah.
DKIM Belum Dikonfigurasi
Email tetap dapat dikirim tanpa DKIM.
Namun, server penerima kehilangan salah satu mekanisme penting untuk memastikan bahwa isi email tidak mengalami perubahan selama proses pengiriman.
DMARC Menggunakan Kebijakan None Terlalu Lama
Kebijakan none memang bermanfaat pada tahap awal implementasi karena administrator dapat memantau laporan tanpa memengaruhi pengiriman email.
Akan tetapi, sebagian perusahaan membiarkan konfigurasi tersebut selama bertahun-tahun.
Akibatnya, domain belum memperoleh perlindungan maksimal karena server penerima tetap menerima email yang gagal melewati proses autentikasi.
Tidak Memperbarui SPF Setelah Menambah Layanan Baru
Perusahaan sering menggunakan lebih dari satu layanan untuk mengirim email.
Sebagai contoh:
- Google Workspace
- Microsoft 365
- sistem CRM
- aplikasi newsletter
- website perusahaan
- sistem tiket layanan pelanggan
Setiap layanan tersebut mungkin memerlukan izin untuk mengirim email atas nama domain perusahaan.
Apabila konfigurasi SPF tidak diperbarui, sebagian email dapat gagal melewati proses autentikasi meskipun berasal dari sistem yang sah.
Tidak Pernah Melakukan Audit DNS
Konfigurasi DNS bukan pekerjaan yang selesai sekali saja.
Perusahaan sebaiknya melakukan audit secara berkala untuk memastikan konfigurasi SPF, DKIM, dan DMARC masih sesuai dengan layanan yang digunakan.
Langkah sederhana tersebut membantu mengurangi kesalahan konfigurasi sekaligus menjaga keamanan email dalam jangka panjang.
Praktik Terbaik untuk Menjaga Keamanan Email Perusahaan
Autentikasi email akan memberikan hasil yang lebih optimal apabila perusahaan juga menerapkan tata kelola yang baik.
Beberapa langkah berikut layak menjadi bagian dari kebijakan keamanan informasi.
Pendekatan tersebut membantu perusahaan membangun sistem keamanan yang lebih menyeluruh, bukan hanya mengandalkan satu teknologi.
Pertanyaan yang Sering Diajukan tentang SPF, DKIM, dan DMARC
Apakah SPF saja sudah cukup?
Apakah SPF, DKIM, dan DMARC dapat hentikan phishing?
Mengapa email perusahaan tetap masuk ke folder spam meskipun sudah menggunakan SPF?
Bagaimana cara mengetahui apakah domain sudah menggunakan SPF, DKIM, dan DMARC?
Mendukung Tata Kelola Teknologi Informasi
Autentikasi email juga menunjukkan bahwa perusahaan menerapkan praktik pengelolaan teknologi informasi yang lebih baik.
Langkah tersebut membantu organisasi membangun sistem komunikasi yang lebih aman sekaligus mengurangi risiko penyalahgunaan identitas domain.
Selain itu, penerapan SPF, DKIM, dan DMARC sering menjadi bagian dari rekomendasi keamanan yang diterapkan oleh banyak organisasi dan penyedia layanan email berskala global.
[/et_pb_toggle][/et_pb_column][/et_pb_row][/et_pb_section]Kesimpulan
Email telah berkembang menjadi salah satu fondasi komunikasi bisnis modern. Karena itu, perusahaan tidak cukup hanya menyediakan alamat email dengan domain sendiri. Identitas domain juga perlu mendapat perlindungan agar pihak lain tidak dapat memanfaatkannya untuk melakukan penipuan atau menyebarkan email palsu.
SPF, DKIM, dan DMARC bekerja sebagai lapisan autentikasi yang saling melengkapi. SPF memverifikasi server pengirim, DKIM menjaga integritas isi pesan, sedangkan DMARC menentukan tindakan ketika proses autentikasi gagal.
Kolaborasi ketiganya membantu meningkatkan kepercayaan terhadap email perusahaan sekaligus mengurangi risiko penyalahgunaan identitas domain.
Di tengah meningkatnya ancaman siber, penerapan autentikasi email bukan lagi sekadar kebutuhan teknis. Langkah tersebut telah menjadi bagian dari tata kelola teknologi informasi yang baik dan berperan penting dalam menjaga reputasi perusahaan, melindungi pelanggan, serta mendukung kelancaran operasional bisnis.
