DMARC Itu Boring, Tapi Domain Lu Bisa Dipalsukan Kalau Salah Setup
Domain personal brand kelihatan profesional sampai ada orang kirim email palsu yang seolah-olah berasal dari domain itu.
Artikel ini ngebahas kenapa SPF, DKIM, dan DMARC penting buat developer, freelancer, founder kecil, dan creator yang sudah punya domain sendiri. Intinya sederhana: punya domain bukan cuma soal website dan alamat email yang rapi; domain juga bisa jadi identitas yang dipalsukan kalau email authentication lu kosong atau cuma setengah jadi. Gua nggak akan jual DMARC sebagai obat semua phishing, tapi ini security hygiene yang cukup murah buat dicek minggu ini.
Apa itu DMARC dalam bahasa sederhana?
DMARC adalah DNS record yang memberi instruksi ke mail server penerima: kalau ada email mengaku dari domain lu, tapi gagal validasi SPF/DKIM dan alignment, email itu sebaiknya diapain?
Biasanya DMARC dibahas bareng dua mekanisme lain:
- SPF: daftar server yang boleh mengirim email atas nama domain lu.
- DKIM: tanda tangan kriptografis di email supaya penerima bisa cek email itu benar dikirim dari sistem yang sah.
- DMARC: policy yang menyatukan hasil SPF/DKIM dan memberi instruksi: pantau saja, karantina, atau tolak.
Cloudflare menjelaskan SPF, DKIM, dan DMARC sebagai tiga metode umum untuk membantu mencegah pihak tidak berwenang mengirim email atas nama domain yang bukan milik mereka. DMARC.org juga menekankan bahwa DMARC dibangun di atas SPF dan DKIM, lalu menambahkan policy dan reporting supaya sender dan receiver bisa berbagi informasi.
Dengan kata lain: SPF dan DKIM membantu membuktikan “email ini valid nggak?”, sementara DMARC membantu menjawab “kalau nggak valid, harus diapain?”.
Masalahnya: banyak domain masih belum enforce DMARC
CipherCue menganalisis 67.336 domain dalam tracked entity set mereka antara 14 April sampai 28 Juli 2026. Catatan penting: ini bukan sampel statistik seluruh internet, tapi snapshot dataset mereka. Tetap menarik, karena angkanya nunjukin pola security hygiene yang sering terjadi di dunia nyata.
Dari dataset itu, 45,1% domain belum punya DMARC record. Dari domain yang sudah punya record, hanya 29,7% yang memakai p=reject, 27,7% memakai p=quarantine, dan kelompok terbesar masih di p=none sebesar 42,5%.
Masalahnya bukan karena p=none selalu salah. Google sendiri merekomendasikan rollout DMARC secara bertahap: mulai dari policy none, pantau report, lalu naik ke quarantine atau reject setelah yakin mail stream lu aman. Yang bahaya adalah ketika p=none jadi tempat parkir permanen. Lu merasa sudah “punya DMARC”, padahal penerima email belum diminta buat ngerem email gagal DMARC.
Kenapa ini relevan buat developer dan creator?
Banyak developer mikir domain itu selesai setelah A record, CNAME, dan SSL nyala. Buat website, iya. Buat trust, belum.
Kalau lu punya domain buat portfolio, SaaS kecil, newsletter, invoice freelance, atau personal brand, email dari domain itu bawa reputasi. Orang melihat alamat email dan langsung menilai: “ini beneran dari rafli.dev, studio kecil ini, atau produk ini?”
Kalau setup email domain lu lemah, ada beberapa risiko praktis:
- Impersonation lebih gampang dipercaya. Orang bisa menerima email yang tampak seolah-olah dari domain lu, terutama kalau receiver tidak punya sinyal kuat untuk menolak.
- Deliverability bisa rusak. Google mulai Februari 2024 mewajibkan sender besar memenuhi syarat email authentication, termasuk SPF/DKIM dan DMARC untuk pengirim 5.000+ email per hari ke Gmail.
- Brand trust ikut kena. Buat personal brand, domain itu identitas. Kalau identitas itu gampang dipalsukan, efeknya bukan cuma teknis.
- Incident response jadi kabur. Tanpa report DMARC, lu lebih susah melihat siapa saja yang mencoba mengirim email atas nama domain lu.
Menurut gua, ini salah satu contoh security boring yang sebenarnya cocok banget buat builder kecil. Nggak perlu nunggu punya tim security dulu. Justru makin kecil tim lu, makin penting punya checklist sederhana yang bisa dicek berulang.
DMARC bukan magic shield
Bagian ini penting biar artikelnya nggak berubah jadi fear marketing.
DMARC tidak menghentikan semua phishing. CipherCue juga menulis bahwa DMARC tidak menghentikan lookalike-domain registration, display-name spoofing, atau email phishing yang dikirim dari akun legitimate yang sudah compromised.
Contoh gampang:
- DMARC bisa membantu saat orang mencoba mengirim email sebagai
billing@domainlu.comdari server yang tidak sah. - DMARC tidak otomatis menghentikan orang yang membeli domain mirip seperti
domalnlu.comatau memakai display name palsu. - DMARC juga tidak menyelamatkan akun email beneran yang password-nya sudah dicuri.
Jadi framing yang waras: DMARC adalah satu lapis kontrol untuk domain spoofing dan visibility email authentication. Bukan pagar tunggal buat seluruh dunia phishing.
Checklist praktis buat cek domain lu minggu ini
Kalau lu punya domain sendiri, ini checklist yang bisa langsung dipakai:
- Cek SPF. Pastikan domain lu punya TXT record SPF yang mencantumkan mail provider yang benar. Jangan asal copy banyak include sampai terlalu longgar.
- Cek DKIM. Pastikan email provider lu sudah menandatangani email keluar dengan DKIM. Biasanya ada selector khusus dari Google Workspace, Zoho, Mailgun, Resend, Amazon SES, atau provider lain.
- Mulai DMARC dengan
p=none. Ini mode observasi. Gunakan report untuk melihat sumber email yang valid dan aneh. - Review report DMARC. Cari mail stream sah yang belum align. Misalnya newsletter, transactional email, CRM, atau tool invoice.
- Naikkan bertahap ke
quarantine. Jangan langsung agresif kalau lu belum yakin semua mail stream sah sudah lolos. - Target akhirnya
rejectjika sudah siap. Ini policy yang meminta receiver menolak email gagal DMARC. - Dokumentasikan provider pengirim email. Simpan daftar: siapa yang boleh kirim email atas nama domain lu, dipakai untuk apa, dan siapa owner-nya.
Kalau domain lu cuma dipakai buat website dan tidak pernah mengirim email, tetap jangan dibiarkan kosong. Banyak organisasi memasang policy yang jelas untuk domain non-sending supaya domain itu tidak gampang dipakai sebagai identitas palsu. Detail teknisnya perlu disesuaikan dengan provider DNS dan mail lu, tapi prinsipnya: domain yang tidak mengirim email juga sebaiknya punya sinyal “jangan terima email yang mengaku dari sini”.
Contoh DMARC record yang sering jadi starting point
Contoh sederhana untuk mulai observasi:
_dmarc.example.com TXT "v=DMARC1; p=none; rua=mailto:dmarc-reports@example.com"Contoh saat sudah siap lebih ketat:
_dmarc.example.com TXT "v=DMARC1; p=quarantine; rua=mailto:dmarc-reports@example.com"Dan target yang paling tegas:
_dmarc.example.com TXT "v=DMARC1; p=reject; rua=mailto:dmarc-reports@example.com"Jangan langsung copy-paste record ini tanpa memahami mail provider lu. Yang perlu lu bawa pulang bukan string DNS-nya, tapi alurnya: observasi → perbaiki sender sah → karantina bertahap → reject kalau sudah yakin.
Takeaway buat personal brand dan produk kecil
Personal website itu bukan cuma landing page. Dia juga identitas teknis. Kalau lu pakai domain buat email, newsletter, client work, invoice, atau produk digital, security hygiene domain ikut memengaruhi trust.
Gua suka topik DMARC karena dia nggak seksi, tapi efeknya nyata. Ini bukan tren baru yang harus lu FOMO-in. Ini checklist boring yang bikin fondasi lu lebih rapi.
Kalau lu baru mulai membangun personal brand sebagai developer, jangan cuma mikirin font portfolio, bio, dan post LinkedIn. Cek juga hal kecil yang membuat domain lu lebih susah dipalsukan. Trust sering dibangun dari detail yang nggak kelihatan sampai ada masalah.
FAQ singkat
Apakah DMARC wajib buat semua domain?
Secara umum, kalau domain lu dipakai untuk email, DMARC sangat layak dipasang. Untuk sender besar ke Gmail, Google sudah punya requirement email authentication yang lebih ketat sejak 2024.
Apakah p=none aman?
p=none berguna untuk observasi dan rollout awal. Tapi kalau dibiarkan permanen tanpa rencana naik ke quarantine atau reject, manfaat enforcement-nya terbatas.
Apakah DMARC menghentikan semua phishing?
Nggak. DMARC membantu domain authentication dan policy untuk email yang mengaku dari domain lu. Lookalike domain, display-name spoofing, dan akun legitimate yang compromised tetap butuh kontrol lain.
Apa langkah pertama yang paling aman?
Mulai dengan audit mail provider yang sah, aktifkan SPF/DKIM, pasang DMARC p=none, baca report, lalu naikkan policy secara bertahap setelah yakin email sah tidak ikut gagal.
