DKIM dan DMARC: tanda tangan dan aturan main
Kalau SPF diibaratkan daftar tamu, DKIM adalah tanda tangan, dan DMARC adalah aturan tentang apa yang harus dilakukan kalau keduanya tidak cocok.
DKIM: tanda tangan yang tidak bisa dipalsukan
Setiap surat yang dikirim diberi tanda tangan digital oleh server pengirim. Kunci untuk memeriksa tanda tangan itu Anda pasang di DNS sebagai catatan TXT. Penerima membaca tanda tangan pada surat, mengambil kunci dari DNS Anda, lalu memeriksa apakah keduanya cocok.
Kalau cocok, penerima mengetahui dua hal: surat ini memang berasal dari pihak yang menguasai domain tersebut, dan isinya tidak diubah selama pengiriman.
Pekerjaan yang perlu Anda lakukan sebenarnya sedikit. Layanan email Anda menyediakan kunci tersebut melalui panelnya, biasanya di menu bernama autentikasi atau DKIM, dan Anda tinggal menyalinnya ke DNS. Sebagian layanan bahkan memberi tahu nama catatan dan isinya secara lengkap. Salin apa adanya tanpa menambah atau mengurangi apa pun, dan perhatikan spasi yang mungkin ikut tersalin.
DKIM memiliki satu keunggulan dibandingkan SPF: tanda tangannya melekat pada surat, sehingga tetap sah walaupun surat diteruskan ke alamat lain. SPF sering gagal ketika surat diteruskan, dan inilah salah satu alasan kenapa penerusan surat antarlayanan tidak disarankan, seperti dibahas di Bab 17.
Kalau Anda memakai lebih dari satu layanan yang mengirim surat atas nama domain Anda, masing-masing memiliki kuncinya sendiri, dan hal itu tidak menjadi masalah. Berbeda dengan SPF, DKIM boleh memiliki banyak catatan karena setiap catatan berdiri sendiri dengan namanya masing-masing.
DMARC: aturan main dan laporannya
DMARC menyatukan SPF dan DKIM dalam satu catatan TXT yang menyatakan dua hal: apa yang harus dilakukan penerima kalau pemeriksaan gagal, dan ke mana laporannya harus dikirim.
Ada tiga tingkatan tindakan.
Tingkat pertama adalah tanpa tindakan. Penerima diminta memperlakukan surat seperti biasa, tetapi tetap mengirimkan laporan kepada Anda. Ini titik awal yang wajib, karena laporan inilah yang akan memberi tahu Anda hal-hal yang selama ini tidak Anda ketahui.
Tingkat kedua adalah karantina. Surat yang gagal pemeriksaan dimasukkan ke folder spam.
Tingkat ketiga adalah penolakan. Surat yang gagal pemeriksaan ditolak dan tidak sampai sama sekali.
Satu hal yang sering terlewat padahal sangat menentukan adalah keselarasan. DMARC tidak hanya memeriksa apakah SPF atau DKIM lulus, tetapi juga apakah domain yang lulus pemeriksaan itu sama dengan domain yang tertera sebagai pengirim di layar penerima. Pemeriksaan inilah yang menutup celah yang disebutkan di akhir bab sebelumnya.
Langkah bertahap yang aman
Jangan langsung memasang tingkat penolakan. Kalau ada satu saja layanan yang mengirim surat atas nama Anda tetapi belum terdaftar dengan benar, suratnya akan hilang tanpa jejak, dan surat yang hilang itu bisa saja faktur untuk pelanggan.
Untuk usaha kecil, saya menyarankan urutan berikut.
Pasang catatan DMARC pada tingkat tanpa tindakan, lengkap dengan alamat penerima laporan, lalu biarkan selama beberapa minggu.
Baca laporannya. Bentuk aslinya berupa berkas data yang sulit dibaca, jadi gunakan layanan pembaca laporan DMARC yang mengubahnya menjadi tampilan sederhana. Beberapa layanan menyediakan tingkatan gratis untuk jumlah surat yang kecil.
Dari laporan tersebut, Anda akan melihat semua pihak yang mengirim surat atas nama domain Anda. Hampir selalu ada yang mengejutkan, misalnya sistem lama yang ternyata masih aktif, alat yang dipakai seorang staf tanpa sepengetahuan Anda, atau memang pihak lain yang mengaku-aku.
Perbaiki satu per satu sampai semua pengirim yang sah lulus pemeriksaan. Setelah itu, naikkan ke tingkat karantina, amati beberapa minggu lagi, dan terakhir naikkan ke tingkat penolakan kalau memang diperlukan.
Bagi banyak usaha kecil, tingkat karantina sudah memadai. Yang terpenting bukan mencapai tingkat tertinggi, tetapi mengetahui dengan pasti siapa saja yang mengirim surat atas nama Anda.
