Autentikasi Email: SPF, DKIM, dan DMARC

Protokol SMTP inti (dirancang pada tahun 1970-an) tidak memiliki autentikasi pengirim bawaan. Server email mana pun dapat mengaku mengirim email dari domain mana pun — teknik yang disebut pemalsuan email. Penyerang memanfaatkannya untuk mengirim email phishing yang tampak berasal dari organisasi sah (bank Anda, CEO Anda, atau vendor yang dikenal). Tiga standar autentikasi email berbasis DNS dikembangkan untuk mengatasi hal ini: SPF, DKIM, dan DMARC. Masing-masing menangani aspek yang berbeda dari masalah pemalsuan dan bekerja paling baik jika diterapkan bersama.

SPF adalah rekaman DNS TXT yang menentukan server email mana yang berwenang mengirim email atas nama suatu domain. Saat server email penerima menerima pesan yang mengaku berasal dari example.com, server tersebut mencari rekaman SPF untuk example.com dan memverifikasi bahwa alamat IP server pengirim tercantum di sana. Jika IP tersebut tidak berwenang, pesan dapat ditandai sebagai spam atau ditolak. SPF memeriksa alamat envelope From (perintah SMTP MAIL FROM), bukan header From tampilan yang terlihat oleh pengguna.

SPF memiliki dua keterbatasan penting. Pertama, penerusan merusak SPF: ketika email diteruskan, IP server penerus tidak tercantum dalam rekaman SPF domain asli, sehingga SPF gagal pada email sah yang diteruskan. Kedua, SPF hanya mengautentikasi envelope From (tidak terlihat oleh pengguna), bukan header From yang terlihat pada klien email. Penyerang masih dapat memalsukan header From yang terlihat sambil menggunakan envelope From yang lolos SPF — inilah alasan SPF saja tidak memadai. DKIM dan DMARC mengatasi celah ini.

DKIM menambahkan tanda tangan kriptografis ke email keluar. Server email pengirim menggunakan kunci privat untuk menandatangani header email tertentu dan isi pesan, lalu menambahkan header DKIM-Signature. Kunci publik diterbitkan sebagai rekaman DNS TXT di bawah subdomain pemilih. Server penerima mengambil kunci publik dan memverifikasi tanda tangan tersebut, untuk memastikan bahwa email tidak diubah selama transit dan berasal dari server yang memiliki akses ke kunci privat. Berbeda dari SPF, tanda tangan DKIM tetap bertahan saat email diteruskan karena dibawa di dalam header email.

DKIM menggunakan pemilih untuk memungkinkan beberapa kunci publik digunakan secara bersamaan untuk satu domain — berguna saat menjalankan beberapa layanan email (Google Workspace + platform pemasaran) atau melakukan rotasi kunci tanpa gangguan. Nama pemilih disertakan dalam header DKIM-Signature sehingga server penerima mengetahui rekaman DNS mana yang harus ditanyakan. Organisasi sebaiknya merotasi kunci DKIM setiap tahun atau ketika kunci diduga telah disusupi. Panjang kunci: kunci RSA minimal 2048-bit direkomendasikan; kunci 1024-bit sudah tidak digunakan dan dapat dipecahkan dengan komputasi modern.

DMARC (Domain-based Message Authentication, Reporting, and Conformance) dibangun di atas SPF dan DKIM dengan menambahkan: pemeriksaan penyelarasan (domain pada header From yang terlihat harus selaras dengan domain yang diautentikasi SPF atau DKIM) dan kebijakan yang memberi tahu server penerima tindakan yang harus dilakukan ketika pesan gagal. Kebijakan DMARC adalah none (hanya memantau), quarantine (mengirimkan ke folder spam), atau reject (tidak mengirimkan). DMARC juga mengaktifkan laporan agregat (RUA) dan laporan forensik (RUF) yang dikirim kembali kepada pemilik domain untuk mengetahui siapa yang mengirim atas nama Anda.

Penyelarasan adalah hal yang membuat DMARC efektif melawan pemalsuan header. Untuk penyelarasan SPF, domain dalam SMTP envelope From harus cocok dengan domain pada header From yang terlihat. Untuk penyelarasan DKIM, domain penanda tangan (d= dalam DKIM-Signature) harus cocok dengan domain header From. Dalam mode ketat, domain harus sama persis. Dalam mode longgar, subdomain diperbolehkan. Sebuah email lolos DMARC jika lolos SPF ATAU DKIM dengan penyelarasan yang benar—email tersebut tidak perlu lolos keduanya. Kombinasi ini menutup celah yang masih terbuka jika hanya menggunakan SPF untuk pemalsuan header yang terlihat.

Organisasi sebaiknya menerapkan DMARC secara bertahap agar email yang sah tidak terganggu. Stage 1: Terapkan SPF dan DKIM untuk semua aliran email. Stage 2: Publikasikan catatan DMARC p=none dengan pelaporan RUA. Analisis laporan (alat: DMARC Analyzer, dmarcian) untuk menemukan semua sumber pengiriman yang sah selama 2–4 minggu. Stage 3: Beralih ke p=quarantine; pct=10, lalu tingkatkan pct secara bertahap hingga 100%. Stage 4: Beralih ke p=reject setelah semua aliran yang sah berhasil melewati pemeriksaan. Beralih ke reject terlalu cepat sebelum menemukan semua aliran email akan menyebabkan email yang sah ditolak.

BIMI adalah standar baru yang dibangun berdasarkan DMARC. Ketika suatu domain memiliki kebijakan DMARC quarantine atau reject, klien email (Gmail, Apple Mail) dapat menampilkan logo merek yang terverifikasi di samping nama pengirim dalam kotak masuk. BIMI memerlukan Verified Mark Certificate (VMC) dari penerbit yang disetujui untuk mengonfirmasi kepemilikan merek dagang. Meskipun BIMI belum termasuk dalam ujian Security+, standar ini menunjukkan arah autentikasi email—membuat pengirim terverifikasi dapat dibedakan secara visual dari pengirim palsu secara sekilas.

Ketiga standar ini membentuk sistem autentikasi email yang lengkap. SPF memverifikasi bahwa Server pengirim diizinkan oleh pemilik domain. DKIM memverifikasi integritas pesan dan bahwa Organisasi pengirim memegang kunci privat. DMARC mengaitkan keduanya dengan header From yang terlihat, menerapkan kebijakan atas kegagalan, dan menyediakan pelaporan. Tidak ada satu standar pun yang cukup: SPF saja tidak dapat mencegah pemalsuan header yang terlihat; DKIM saja tidak mewajibkan penolakan atas kegagalan; DMARC saja tanpa SPF atau DKIM tidak memiliki apa pun untuk diperiksa. Ketiganya harus diterapkan bersama untuk perlindungan penuh terhadap pemalsuan domain.

Salah satu tindakan praktis dalam pertahanan berlapis terhadap phishing dan BEC adalah menambahkan banner peringatan email eksternal pada setiap pesan yang berasal dari luar Organisasi. Banner ini—biasanya disisipkan oleh SEG—memperingatkan karyawan bahwa email berasal dari pengirim eksternal, meskipun nama tampilan tampak seperti nama rekan kerja atau eksekutif. Banner sangat efektif untuk menandai upaya BEC ketika penyerang menggunakan domain yang mirip atau pemalsuan nama tampilan. Banner harus mudah dibedakan secara visual (header atau footer berwarna) dan harus menyertakan petunjuk untuk melaporkan pesan yang mencurigakan.

Uji pemahaman Anda tentang konsep CompTIA Security+ (SY0-701) dari pelajaran ini.

Dalam pelajaran ini Anda mempelajari bahwa SPF menggunakan catatan DNS TXT untuk mengizinkan IP pengirim, tetapi hanya memeriksa envelope From, bukan header yang terlihat; DKIM menambahkan tanda tangan kriptografis yang memverifikasi integritas pesan dan tetap bertahan saat pesan diteruskan; sedangkan DMARC mengaitkan SPF dan DKIM dengan header From yang terlihat melalui pemeriksaan penyelarasan dan kebijakan yang dapat diterapkan (none/quarantine/reject), serta menyediakan pelaporan. Selanjutnya kita akan membahas secure email gateway dan pengendalian anti-spam.