Email masih menjadi salah satu alat komunikasi utama perusahaan. Mulai dari mengirim proposal, invoice, informasi proyek, hingga berkomunikasi dengan pelanggan dan vendor, banyak aktivitas bisnis bergantung pada email perusahaan. Namun, ada satu masalah yang sering luput diperhatikan: bagaimana penerima mengetahui bahwa email benar-benar dikirim oleh perusahaan Anda?
Tanpa konfigurasi autentikasi email yang tepat, pihak lain dapat mencoba mengirim email dengan mengatasnamakan domain perusahaan. Kondisi ini dikenal sebagai email spoofing dan dapat dimanfaatkan untuk melakukan phishing, penipuan pembayaran, maupun serangan Business Email Compromise (BEC).
Karena itu, perusahaan yang menggunakan Google Workspace perlu memahami tiga mekanisme penting dalam autentikasi email, yaitu SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail), dan DMARC (Domain-based Message Authentication, Reporting, and Conformance). Ketiganya memiliki fungsi yang berbeda, tetapi saling melengkapi untuk membantu melindungi domain perusahaan.
Mengapa Autentikasi Email Penting bagi Perusahaan?
Menggunakan Google Workspace tidak otomatis berarti seluruh konfigurasi keamanan domain sudah selesai. Google Workspace menangani infrastruktur email, tetapi perusahaan tetap perlu mengatur DNS domain dan memastikan bahwa layanan yang mengirim email menggunakan domain perusahaan telah dikonfigurasi dengan benar.
Hal ini menjadi semakin penting ketika perusahaan menggunakan berbagai layanan tambahan seperti CRM, platform email marketing, sistem invoice, website, atau aplikasi HR yang juga mengirim email menggunakan domain yang sama. Jika sumber pengiriman tersebut tidak dikelola dengan baik, perusahaan dapat mengalami masalah autentikasi maupun deliverability.
Selain itu, email palsu yang menggunakan nama atau domain perusahaan dapat menimbulkan risiko reputasi. Pelanggan dapat menerima email yang terlihat seperti berasal dari perusahaan Anda, padahal sebenarnya dikirim oleh pihak yang tidak berwenang. Dalam skenario tertentu, pelaku dapat menggunakannya untuk meminta pembayaran, mencuri kredensial, atau mengarahkan korban ke situs phishing.
Memahami SPF, DKIM, dan DMARC
SPF: Menentukan Siapa yang Boleh Mengirim Email
SPF (Sender Policy Framework) digunakan untuk menentukan server atau layanan mana yang diizinkan mengirim email atas nama domain perusahaan. Informasi ini disimpan dalam DNS sebagai TXT record.
Ketika server penerima mendapatkan sebuah email, server tersebut dapat memeriksa SPF untuk melihat apakah sumber pengiriman termasuk dalam daftar yang diizinkan oleh domain. Dengan demikian, SPF membantu penerima membedakan sumber pengiriman yang sah dari sumber yang tidak terdaftar.
Namun, SPF bukan perlindungan tunggal terhadap spoofing. SPF perlu dikombinasikan dengan mekanisme autentikasi lainnya, terutama DKIM dan DMARC.
DKIM: Memberikan Tanda Tangan Digital pada Email
DKIM (DomainKeys Identified Mail) menggunakan mekanisme kriptografi untuk menambahkan tanda tangan digital pada email yang dikirim. Domain perusahaan menyimpan public key di DNS, sementara sistem pengiriman menggunakan private key untuk menandatangani pesan.
Server penerima kemudian dapat menggunakan public key tersebut untuk memverifikasi tanda tangan. Proses ini membantu memastikan bahwa email berasal dari sistem yang memiliki kunci yang sesuai dan bahwa bagian pesan yang ditandatangani tidak mengalami perubahan tertentu selama proses pengiriman.
Bagi perusahaan yang menggunakan Google Workspace, DKIM dapat dikonfigurasi melalui Google Admin Console dan kemudian dihubungkan dengan DNS domain perusahaan.
DMARC: Menentukan Kebijakan untuk Email yang Gagal Verifikasi
DMARC (Domain-based Message Authentication, Reporting, and Conformance) menggunakan hasil pemeriksaan SPF dan DKIM untuk membantu menentukan apakah sebuah email memenuhi kebijakan autentikasi domain.
DMARC memungkinkan pemilik domain menentukan bagaimana server penerima sebaiknya menangani email yang tidak memenuhi persyaratan. Kebijakan yang tersedia antara lain p=none untuk monitoring, p=quarantine untuk meminta penerima memperlakukan pesan sebagai mencurigakan, dan p=reject untuk meminta penerima menolak pesan yang gagal memenuhi kebijakan.
Salah satu manfaat penting DMARC adalah kemampuan memberikan laporan mengenai aktivitas pengiriman yang mengatasnamakan domain perusahaan. Informasi tersebut dapat membantu administrator menemukan layanan pengirim yang belum teridentifikasi maupun indikasi penyalahgunaan domain.
Kapan Perusahaan Perlu Memperhatikan Konfigurasi DMARC?
Ada beberapa kondisi yang menjadi tanda bahwa perusahaan perlu segera meninjau konfigurasi autentikasi email. Salah satunya adalah ketika perusahaan menggunakan banyak layanan yang mengirim email menggunakan domain yang sama. Google Workspace mungkin menjadi layanan utama, tetapi CRM, platform marketing, sistem pembayaran, website, maupun aplikasi internal juga dapat menjadi sumber pengiriman.
Perusahaan juga perlu memperhatikan kondisi ketika pelanggan atau karyawan mulai menerima email mencurigakan yang terlihat seperti berasal dari domain perusahaan. Hal ini tidak selalu berarti domain telah berhasil diretas, tetapi merupakan alasan yang baik untuk memeriksa konfigurasi SPF, DKIM, DMARC, serta aktivitas pengiriman email.
Masalah deliverability juga dapat menjadi alasan untuk melakukan audit. SPF, DKIM, dan DMARC bukan jaminan bahwa semua email akan selalu masuk Inbox, tetapi autentikasi domain yang benar merupakan salah satu bagian penting dalam membangun kepercayaan terhadap sumber email dan memenuhi persyaratan pengiriman dari berbagai penyedia email.
Terapkan DMARC Secara Bertahap
Salah satu kesalahan yang perlu dihindari adalah langsung menerapkan kebijakan DMARC yang paling ketat tanpa mengetahui seluruh sumber pengiriman email perusahaan. Jika masih ada layanan resmi yang belum dikonfigurasi dengan benar, email yang sebenarnya sah dapat ikut terdampak.
Karena itu, perusahaan biasanya dapat memulai dengan kebijakan p=none untuk melakukan monitoring. Pada tahap ini, administrator dapat mempelajari sumber pengiriman email dan mengidentifikasi layanan yang belum masuk dalam konfigurasi SPF atau DKIM.
Setelah seluruh sumber pengiriman yang sah berhasil dipetakan dan dikonfigurasi, perusahaan dapat mempertimbangkan kebijakan p=quarantine. Pada tahap berikutnya, setelah administrator yakin bahwa konfigurasi sudah berjalan dengan baik, kebijakan dapat diperketat menjadi p=reject sesuai kebutuhan dan kesiapan organisasi.
Pendekatan bertahap seperti ini membantu perusahaan meningkatkan keamanan domain tanpa terburu-buru mengganggu pengiriman email yang sebenarnya valid.
Cara Menyiapkan SPF, DKIM, dan DMARC di Google Workspace
Langkah pertama adalah memetakan seluruh layanan yang mengirim email menggunakan domain perusahaan. Jangan hanya mencatat Google Workspace, tetapi periksa juga CRM, email marketing, website, sistem transaksi, aplikasi HR, maupun layanan SaaS lainnya.
Setelah seluruh sumber pengiriman diketahui, administrator dapat menyusun SPF record yang mencakup layanan yang memang berwenang mengirim email. Pastikan konfigurasi SPF dibuat dengan benar dan tidak melebihi batas DNS lookup yang berlaku.
Selanjutnya, aktifkan DKIM untuk Google Workspace melalui Admin Console dan publikasikan public key yang diberikan Google ke DNS domain. Setelah DNS diperbarui, administrator dapat mengaktifkan DKIM signing sehingga email yang dikirim melalui Google Workspace mendapatkan tanda tangan digital.
Setelah SPF dan DKIM dikonfigurasi, tambahkan DMARC record pada DNS domain. Untuk tahap awal, kebijakan p=none dapat digunakan untuk memonitor lalu lintas email. Laporan yang diperoleh kemudian dapat digunakan untuk memeriksa apakah terdapat sumber pengiriman yang belum dikonfigurasi dengan benar.
Setiap kali perusahaan menambahkan aplikasi baru yang mengirim email menggunakan domain perusahaan, konfigurasi autentikasi juga perlu ditinjau kembali. Dengan begitu, penambahan layanan baru tidak menyebabkan masalah pada pengiriman email yang sudah berjalan.
SPF, DKIM, dan DMARC Bukan Jaminan Email Selalu Masuk Inbox
Penting untuk memahami bahwa autentikasi email dan deliverability adalah dua hal yang saling berkaitan tetapi tidak sama.
SPF, DKIM, dan DMARC membantu memverifikasi identitas pengirim dan menentukan kebijakan terhadap email yang tidak memenuhi autentikasi. Namun, keputusan apakah sebuah email masuk Inbox atau Spam juga dapat dipengaruhi oleh reputasi domain, reputasi IP pengirim, kualitas daftar penerima, tingkat spam complaint, isi email, pola pengiriman, dan kebijakan masing-masing penyedia email.
Karena itu, perusahaan sebaiknya tidak menganggap konfigurasi SPF, DKIM, dan DMARC sebagai solusi tunggal untuk seluruh masalah email. Ketiganya merupakan bagian penting dari strategi keamanan dan pengelolaan reputasi email yang lebih luas.
Kelola Layanan Pihak Ketiga dengan Baik
Salah satu sumber masalah yang sering muncul adalah aplikasi pihak ketiga yang menggunakan domain perusahaan untuk mengirim email tanpa koordinasi dengan tim IT.
Misalnya, tim marketing dapat menggunakan platform email marketing, tim sales menggunakan CRM, sementara tim finance menggunakan aplikasi invoice. Jika seluruh layanan tersebut mengirim email dengan domain yang sama, administrator perlu mengetahui sumbernya dan memastikan autentikasinya telah dikonfigurasi sesuai kebutuhan.
Dengan inventarisasi layanan yang jelas, perusahaan dapat mengurangi risiko email sah gagal melewati autentikasi sekaligus memiliki visibilitas yang lebih baik terhadap siapa saja yang mengirim email menggunakan domain perusahaan.
Jadikan Autentikasi Email sebagai Bagian dari Keamanan
SPF, DKIM, dan DMARC sebaiknya tidak dipandang sebagai konfigurasi DNS yang dilakukan sekali lalu dilupakan. Infrastruktur bisnis terus berubah, dan perusahaan dapat menambahkan aplikasi maupun layanan baru kapan saja.
Karena itu, administrator perlu meninjau konfigurasi autentikasi email secara berkala. Perubahan vendor, migrasi sistem, penggunaan domain baru, maupun penambahan platform SaaS sebaiknya selalu disertai pemeriksaan terhadap konfigurasi email.
Pendekatan ini membantu menjaga agar domain perusahaan tetap memiliki kontrol yang baik terhadap layanan yang berwenang mengirim email atas namanya.
Kesimpulan
SPF, DKIM, dan DMARC merupakan tiga komponen penting dalam menjaga keamanan domain email perusahaan. SPF membantu menentukan sumber pengiriman yang diizinkan, DKIM membantu memverifikasi tanda tangan digital pada email, sedangkan DMARC memberikan kebijakan mengenai bagaimana email yang tidak memenuhi persyaratan autentikasi harus diperlakukan.
Bagi perusahaan yang menggunakan Google Workspace, konfigurasi ini menjadi semakin penting ketika domain juga digunakan oleh berbagai aplikasi dan layanan pihak ketiga. Dengan memetakan seluruh sumber pengiriman, mengatur SPF dan DKIM dengan benar, serta menerapkan DMARC secara bertahap, perusahaan dapat meningkatkan kontrol terhadap domain dan mengurangi risiko penyalahgunaan identitas email.
Ingin memastikan domain email perusahaan sudah dikonfigurasi dengan SPF, DKIM, dan DMARC yang tepat? Tim AquaOrange dapat membantu melakukan audit autentikasi email, konfigurasi DNS, serta memastikan layanan pihak ketiga tetap dapat mengirim email dengan aman menggunakan domain perusahaan.
