DMARC langkah demi langkah: dari “hanya pantau” ke perlindungan nyata

Yang akan Anda capai

• menerima laporan DMARC dan memahami isinya;
• menemukan semua layanan yang mengirim email atas nama domain Anda;
• beralih dari p=none ke p=quarantine lalu ke p=reject, tanpa kehilangan pesan yang sah.

Sebelum memulai

• SPF dan DKIM lolos untuk pesan yang dikirim dari server kami: di Enhance, pada “Emails”, keduanya tampil “Valid”.
• Daftar layanan yang mengirim “dari” domain Anda: aplikasi faktur, platform newsletter, toko online, CRM, formulir (lihat langkah 3 di Mengapa email saya masuk spam: SPF, DKIM, DMARC).
• Di mana DNS domain dikelola: di tempat kami (editor di Enhance, lihat Editor zona DNS: A, CNAME, MX, dan TXT) atau di penyedia lain (perubahan yang sama dilakukan di sana).
• Nama menu Enhance ditulis dalam bahasa Inggris, persis seperti di layar. Jika panel tampil dalam bahasa lain, ubah ke bahasa Inggris dari kanan atas: “My account” » “Language”.

Cara membaca record DMARC

v=DMARC1; p=none; rua=mailto:dmarc@domeniul-tau.ro

• p= — kebijakan: none (hanya pantau), quarantine (masukkan pesan yang gagal ke spam), reject (tolak pesan tersebut);
• rua= — alamat tempat server besar (Gmail, Outlook, Yahoo, dan lainnya) mengirimkan laporan harian: berapa pesan yang mereka lihat “dari” domain Anda, dari server mana, dan apakah lolos pemeriksaan.

Sebuah pesan lolos DMARC jika lolos SPF atau DKIM dan domain yang diverifikasi sama dengan domain di kolom “Dari”. Layanan eksternal yang menandatangani dengan DKIM miliknya sendiri, bukan DKIM Anda, bisa lolos SPF namun tetap gagal DMARC.

Langkah-langkah

A. Mengaktifkan laporan

1. Di Enhance, buat alamat khusus untuk laporan, misalnya dmarc@domeniul-tau.ro (lihat Cara membuat akun email di Enhance). Laporan berupa file lampiran, jumlahnya banyak dan datang setiap hari; jangan dicampur dengan email kerja.
2. Buka zona DNS: “Websites” » website » “Domains” » “Manage” di samping domain » “DNS records”.
3. Cari record TXT bernama _dmarc, klik “⋯” » “Edit” dan ubah “Value” menjadi:

   v=DMARC1; p=none; rua=mailto:dmarc@domeniul-tau.ro

4. Klik “Save”. Laporan pertama datang dalam 1–2 hari.

B. Membaca laporan, 2–4 minggu

5. Laporan berupa file XML terkompresi (.zip atau .gz), satu dari setiap penyedia, per hari. Anda bisa membukanya dengan editor teks, tetapi lebih mudah dengan penganalisis laporan DMARC: ada layanan online, banyak yang punya paket gratis untuk domain kecil.
6. Untuk setiap server yang muncul di laporan, tanyakan pada diri sendiri: apakah saya mengenalnya?
   • server kami (server.nbt-host.com, alamat 185.230.138.193): pesan-pesan Anda yang biasa;
   • layanan yang Anda pakai tetapi gagal: konfigurasikan layanan tersebut (langkah 7);
   • server yang tidak Anda kenal: biasanya pihak yang mencoba mengirim pesan palsu atas nama Anda. Justru inilah yang akan dihentikan oleh DMARC.
7. Untuk setiap layanan yang Anda kenal tetapi gagal, tambahkan ke SPF dan, yang terpenting, pasang DKIM layanan itu di domain Anda dengan record yang diberikannya (langkahnya di Mengapa email saya masuk spam: SPF, DKIM, DMARC, langkah 3). Dengan DKIM di domain Anda, layanan tersebut tetap lolos DMARC bahkan setelah pesan diteruskan.

C. Memperketat kebijakan

8. Jika laporan menunjukkan semua layanan Anda lolos, ubah kebijakan menjadi quarantine:

   v=DMARC1; p=quarantine; rua=mailto:dmarc@domeniul-tau.ro

9. Pantau laporan selama 2–4 minggu lagi. Jika ada layanan sah yang muncul dengan pesan yang gagal, perbaiki dulu sebelum melanjutkan.

10. Lalu beralih ke reject:

    v=DMARC1; p=reject; rua=mailto:dmarc@domeniul-tau.ro

    Mulai sekarang, pesan yang mengaku berasal dari domain Anda tetapi tidak lolos pemeriksaan akan ditolak oleh server yang mematuhi DMARC.

D. Subdomain

11. Kebijakan juga berlaku untuk subdomain, jika subdomain tersebut tidak punya DMARC sendiri. Jika ada layanan yang mengirim dari subdomain (misalnya news.domeniul-tau.ro), periksa subdomain itu secara terpisah di laporan.

Jika ada kendala

• Laporan tidak datang. Periksa dengan Dig (https://toolbox.googleapps.com/apps/dig/, tipe TXT, nama _dmarc.domeniul-tau.ro) bahwa record memiliki rua= dan alamatnya ada. Sebagian penyedia hanya mengirim laporan jika pada hari itu mereka melihat pesan dari Anda.
• Anda sudah beralih ke quarantine atau reject dan sebuah layanan tidak lagi sampai ke pelanggan. Kembali ke p=none, perbaiki SPF atau DKIM layanan tersebut, dan ulangi dari langkah 8.
• Pesan yang diteruskan otomatis gagal. Penerusan biasanya mempertahankan tanda tangan DKIM, tetapi merusak SPF. Dengan DKIM aktif di domain (kami mengaktifkannya di domain utama), pesan tetap lolos.
• Laporan memenuhi kotak surat. Perbesar ruang alamat laporan atau hapus laporan lama setelah dibaca (lihat Berapa ruang yang terpakai dan apa yang memakainya).
• Ada beberapa record _dmarc. Seharusnya hanya ada satu. Hapus yang berlebih.