Tutorial: Rekomendasi peluncuran DMARC

Domain-based Message Authentication, Reporting, and Conformance (DMARC) dirancang untuk diluncurkan secara bertahap. Mulai dengan kebijakan none yang hanya memantau alur email, kemudian ubah menjadi kebijakan yang menolak semua pesan yang tidak diautentikasi.

Kebijakan none memungkinkan Anda mulai mendapatkan laporan tanpa risiko pesan Anda ditolak atau dimasukkan ke folder spam oleh server penerima. Anda juga dapat menetapkan kebijakan DMARC agar berlaku hanya untuk sebagian pesan yang dikirim dari organisasi Anda. Kedua fitur ini memungkinkan Anda men-deploy DMARC secara bertahap, sekaligus mengontrol alur email Anda.

Penting: Konfigurasi DomainKeys Identified Mail (DKIM) dan Sender Policy Framework (SPF) sebelum mengonfigurasi DMARC. DKIM dan SPF harus mengautentikasi pesan setidaknya selama 48 jam sebelum mengaktifkan DMARC. Untuk mengetahui detail langkah penyiapan SPF dan DKIM, buka Membantu mencegah spoofing, phishing, dan spam.

1. Mulai dengan kebijakan DMARC yang longgar

Mulai dengan data DMARC dengan penerapan yang ditetapkan ke none, dan alamat email yang dikonfigurasi untuk mendapatkan laporan DMARC harian. Ini memungkinkan Anda mulai mendapatkan laporan tanpa risiko pesan dari domain Anda ditolak atau ditandai sebagai spam oleh server penerima. Sebaiknya gunakan data ini selama setidaknya satu minggu. Satu minggu biasanya sudah cukup lama bagi laporan harian untuk menampung data yang mewakili semua aliran email Anda.

Tinjau laporan DMARC harian untuk memastikan pesan dari domain Anda dikirim oleh server resmi yang dikenal, dan lulus pemeriksaan autentikasi.

Sebaiknya mulai dengan kebijakan DMARC yang tidak terlalu ketat atau yang berlaku untuk sebagian kecil traffic email Anda, misalnya:

1. Login ke host domain Anda untuk memperbarui data TXT DNS DMARC di penyedia domain Anda.
2. Masukkan kebijakan yang berlaku untuk 100% pesan, tetapi penerapannya ditetapkan ke none:

   v=DMARC1; p=none; rua=mailto:[e-mail]

Kebijakan ini berlaku untuk 100% dari seluruh pesan yang diterima oleh server email. Namun, penerapan ditetapkan ke none, sehingga pesan akan dikirim seperti biasa, meski pesan tersebut tidak lulus autentikasi DMARC. Setiap server email yang menerima email dari domain Anda akan mengirimkan laporan harian ke [e-mail].

2. Tinjau laporan DMARC

Setiap hari, tinjau laporan yang Anda terima untuk mengetahui:

• Server atau pengirim pihak ketiga yang mengirim email untuk domain Anda
• Persentase pesan dari domain yang lulus DMARC
• Server atau layanan yang mengirim pesan yang tidak lulus DMARC 

Cari tren masalah seperti:

• Jika penerima mendapatkan pesan yang valid dari Anda, tetapi pesan berada di folder spam.
• Jika Anda mendapatkan pesan tidak terkirim atau pesan error dari penerima.

Untuk memperbaiki masalah pesan dari domain Anda yang ditolak atau dimasukkan ke folder spam, buka Memecahkan masalah DMARC.

Terus dapatkan laporan harian dengan memastikan bahwa data yang telah diperbarui masih berisi tag rua dengan alamat email atau kotak surat Anda. Sebaiknya tetaplah berada dalam fase ini setidaknya selama 7 hari sebelum beralih ke fase berikutnya. Durasi fase ini akan bervariasi, tergantung ukuran organisasi dan alur email. 

Pelajari lebih lanjut cara Membaca laporan DMARC. 

3. Karantina sebagian kecil pesan

Setelah memantau laporan DMARC selama setidaknya seminggu tanpa hasil yang negatif, perbarui kebijakan Anda menjadi quarantine , dan tambahkan tag pct untuk menerapkan kebijakan tersebut ke sebagian kecil email Anda. Contoh:

1. Login ke host domain Anda untuk memperbarui data TXT DNS DMARC di penyedia domain Anda.
2. Tambahkan kebijakan yang berlaku untuk 5% pesan dan penerapannya ditetapkan ke quarantine. Dari 5% pesan yang tidak lulus DMARC, pesan yang tidak lulus DMARC akan dimasukkan ke folder spam penerima:

   v=DMARC1; p=quarantine; pct=5; rua=mailto:[e-mail]

Kebijakan ini berlaku hanya untuk 5% pesan yang diterima oleh server email. Pesan yang tidak lulus DMARC akan dimasukkan ke folder spam penerima. Hanya sebagian kecil pesan yang terpengaruh, dan penerima dapat meninjau pesan yang dimasukkan ke folder spam. Setiap server email yang menerima email dari domain Anda akan mengirimkan laporan harian ke [e-mail].

Organisasi kecil mungkin lebih paham tentang semua alur email dan dapat menerapkan kebijakan ke lebih banyak pesan daripada organisasi besar. Organisasi besar sering kali memiliki beberapa alur email yang dapat menyertakan server lama dan pengirim pihak ketiga.

 Sebaiknya organisasi besar secara bertahap meningkatkan persentase pesan yang terpengaruh, untuk mengurangi risiko banyak pesan yang ditolak atau ditandai sebagai spam. Organisasi kecil dapat memulai dengan mengarantina 10%, sedangkan perusahaan yang sangat besar dapat memulai dengan 1%.

4: Tolak semua pesan yang tidak diautentikasi

Ini adalah langkah terakhir dalam men-deploy DMARC. Setelah yakin bahwa sebagian besar atau semua pesan yang dikirim dari domain selaras, dan lulus autentikasi (SPF dan DKIM), Anda dapat menerapkan kebijakan DMARC yang lebih ketat.

Jika DMARC berfungsi seperti yang diharapkan, perbarui kebijakan Anda agar kebijakan data DMARC ditetapkan menjadi reject untuk 100% pesan yang dikirim dari organisasi Anda. Contoh:

1. Login ke host domain Anda untuk memperbarui data TXT DNS DMARC di penyedia domain Anda.
2. Perbarui data agar lebih ketat. Contoh:

   v=DMARC1; p=reject; rua=mailto:[e-mail],[e-mail]

Kebijakan ini memengaruhi semua pesan yang diterima oleh server email. Jika data tidak menyertakan tag pct, kebijakan ini berlaku untuk 100% pesan yang dikirim dari domain Anda. Semua pesan yang tidak lulus autentikasi DMARC akan ditolak. Pengirim dapat menerima pesan email tidak terkirim untuk setiap pesan yang ditolak. Setiap server email yang menerima email dari domain Anda akan mengirimkan laporan harian ke dua alamat email berikut: [e-mail] dan [e-mail].