Kalau email dari domain sendiri terus mendarat di folder spam, penyebabnya jarang isi pesannya. Yang lebih sering bermasalah adalah tiga catatan DNS: SPF, DKIM, dan DMARC. Ketiganya menjawab pertanyaan yang sangat mendasar dari sisi server penerima — benarkah email ini dikirim oleh pemilik domain yang tertulis di kolom pengirim? Selama jawabannya tidak jelas, Gmail dan Outlook akan bersikap curiga, seberapa pun rapi rancangan newsletter Anda.
Urutan kerjanya penting. Rapikan autentikasi dulu, baru bersihkan daftar penerima — misalnya dengan memeriksa keabsahan alamat email sebelum impor — dan setelah itu barulah kirim. Membalik urutan ini adalah cara tercepat merusak reputasi domain yang masih baru.
Tiga catatan, tiga tugas berbeda
| Catatan | Menjawab pertanyaan | Lokasi |
|---|---|---|
| SPF | Server mana yang boleh mengirim atas nama domain ini? | TXT di domain utama |
| DKIM | Apakah isi pesan benar ditandatangani domain ini dan tidak diubah? | TXT di selektor._domainkey |
| DMARC | Apa yang harus dilakukan kalau pemeriksaan gagal, dan ke mana laporannya? | TXT di _dmarc |
SPF: daftar server yang diizinkan
SPF adalah satu catatan TXT di domain Anda yang isinya kira-kira v=spf1 include:_spf.google.com include:sendgrid.net ~all. Server penerima melihat alamat IP pengirim, membandingkannya dengan daftar itu, lalu memutuskan lolos atau tidak.
Bagian ~all di akhir berarti "selain yang di atas, tandai sebagai mencurigakan tetapi jangan tolak". Versi kerasnya adalah -all, yang menyuruh penerima menolak langsung. Mulailah dengan ~all, dan pindah ke -all hanya setelah Anda yakin semua sistem pengirim — layanan email, alat pemasaran, formulir situs, aplikasi tagihan — sudah masuk daftar.
DKIM: tanda tangan kriptografis
DKIM menambahkan tanda tangan digital di header setiap pesan. Kunci privatnya ada di server pengirim; kunci publiknya Anda publikasikan sebagai catatan TXT di alamat seperti s1._domainkey.domainanda.com dengan isi v=DKIM1; k=rsa; p=MIGfMA0GCSq.... Bagian s1 disebut selektor, dan setiap layanan pengirim biasanya memakai selektornya sendiri.
Karena tanda tangan mencakup isi dan sebagian header, DKIM juga membuktikan pesan tidak diubah di tengah jalan. Ini keunggulannya dibanding SPF: tanda tangan tetap sah walau email diteruskan lewat milis, sementara SPF biasanya rusak dalam kondisi itu. Gunakan kunci 2048 bit kalau penyedia Anda menawarkannya.
DMARC: kebijakan dan laporan
DMARC mengikat keduanya. Catatannya berada di _dmarc.domainanda.com dan bentuk minimalnya adalah v=DMARC1; p=none; rua=mailto:laporan@domainanda.com.
Nilai p menentukan tindakan saat pemeriksaan gagal: none hanya memantau, quarantine mengarahkan ke spam, reject menolak sepenuhnya. Parameter rua adalah alamat penerima laporan agregat harian dari penyedia email besar — dari situ Anda tahu siapa saja yang mengirim atas nama domain Anda.
Konsep yang paling sering terlewat adalah alignment. DMARC tidak cukup melihat SPF atau DKIM lolos; domain yang lolos itu harus cocok dengan domain di kolom From yang dilihat pengguna. Banyak layanan pihak ketiga mengirim dengan amplop return-path milik mereka sendiri, sehingga SPF lolos tetapi alignment gagal. Solusinya biasanya mengaktifkan domain kustom atau CNAME yang mereka sediakan.
Kesalahan yang paling sering terjadi
- Dua catatan SPF. Hanya boleh ada satu. Kalau ada dua, hasilnya permerror dan seolah-olah Anda tidak punya SPF sama sekali. Gabungkan semua include ke dalam satu baris.
- Lebih dari 10 pencarian DNS. Tiap include memakan jatah. Melewati batas berarti gagal total. Buang layanan yang sudah tidak dipakai.
- Langsung memakai -all atau p=reject. Tanpa memantau laporan lebih dulu, Anda berisiko memblokir tagihan dan notifikasi sistem Anda sendiri.
- p=none selamanya. Memantau itu tahap awal, bukan tujuan. Setelah satu bulan laporan bersih, naikkan ke quarantine, lalu reject.
- Melupakan subdomain. Domain yang tidak pernah mengirim email tetap perlu kebijakan; gunakan parameter sp untuk mengaturnya.
- Menyalin kunci DKIM dengan spasi tambahan. Satu karakter meleset membuat verifikasi gagal tanpa pesan kesalahan yang jelas.
Cara memeriksa milik Anda
Cara paling cepat: kirim satu email ke akun Gmail, buka pesannya, pilih "Tampilkan pesan asli". Di bagian atas akan tertera hasil SPF, DKIM, dan DMARC. Ketiganya harus berstatus PASS. Kalau salah satu berstatus fail atau tidak muncul sama sekali, mulailah dari catatan itu.
Kalau Anda ingin menguji alur pendaftaran atau email transaksional tanpa mengotori kotak masuk pribadi, gunakan alamat sementara dari layanan email sementara 1mail.lt, lalu periksa header pesan yang masuk di sana.
Setelah autentikasi beres
Catatan DNS yang benar hanya membuat Anda dipercaya sebagai pengirim. Reputasi tetap ditentukan oleh perilaku: seberapa banyak email Anda gagal terkirim, dan seberapa sering pesan Anda dilaporkan sebagai sampah.
Karena itu langkah berikutnya adalah membersihkan daftar. Alamat yang salah ketik dan akun yang sudah mati harus dibuang sebelum pengiriman pertama; menjalankan daftar melalui alat validasi email menghapus sebagian besar masalah dalam sekali proses. Pahami juga perbedaan bounce permanen dan bounce sementara supaya Anda tahu alamat mana yang wajib dihapus permanen, dan waspadai alamat lama yang bisa berubah menjadi spam trap setelah lama tidak aktif.
Pertanyaan yang sering diajukan
Apakah saya perlu ketiganya, atau cukup SPF saja?
Perlu ketiganya. Gmail dan Yahoo sudah mewajibkan SPF, DKIM, dan DMARC untuk pengirim massal, dan tanpa DMARC Anda tidak punya laporan apa pun tentang siapa yang memalsukan domain Anda.
Berapa lama perubahannya berlaku?
Umumnya beberapa menit sampai beberapa jam, tergantung nilai TTL catatan DNS Anda. Turunkan TTL ke 300 detik sebelum melakukan perubahan besar supaya lebih mudah diperbaiki.
Apakah DMARC menghentikan orang memalsukan nama saya?
DMARC melindungi domain, bukan nama tampilan. Penipu tetap bisa menulis nama Anda di kolom pengirim sambil memakai domain gratisan. Yang dicegah DMARC adalah pemalsuan alamat di domain Anda sendiri.
Domain saya tidak pernah dipakai mengirim email. Perlu diatur juga?
Justru sangat perlu. Domain parkir adalah sasaran empuk pemalsuan. Pasang v=spf1 -all dan v=DMARC1; p=reject; agar tidak ada yang bisa memakainya.
