DMARC (Domain-based Message Authentication)

TL;DR: DMARC (Domain-based Message Authentication, Reporting, and Conformance) adalah standar autentikasi email yang bekerja di atas SPF dan DKIM untuk mencegah email atas nama domain Anda dipalsukan. Sejak Februari 2024, Gmail dan Yahoo mewajibkan DMARC untuk pengirim massal supaya email tidak ditolak atau dilempar ke spam.

Apa itu DMARC?

DMARC adalah catatan DNS yang memberi tahu mailbox provider seperti Gmail dan Outlook bagaimana memperlakukan email yang gagal verifikasi SPF atau DKIM. Pemilik domain bisa memilih kebijakan: none (monitor saja), quarantine (kirim ke spam), atau reject (tolak total). DMARC bekerja sama dengan domain dan dukungan teknis seperti SPF/DKIM untuk membentuk lapisan trust yang dibaca oleh mesin penerima email.

Analogi sederhana: anggap SPF sebagai daftar tamu, DKIM sebagai cap stempel notaris, dan DMARC sebagai aturan satpam, bila tamu tidak ada di daftar atau capnya palsu, harus diapakan. Tanpa DMARC, satpam bingung dan biasanya membiarkan tamu masuk dengan risiko.

Cara Kerja

Alur singkat ketika email tiba di Gmail:

• Penerima cek SPF (apakah server pengirim sah).
• Penerima cek DKIM (apakah signature cocok dengan kunci publik domain).
• Penerima cek DMARC record di DNS, ambil kebijakan dan alamat laporan.
• Bila gagal autentikasi dan policy reject, email ditolak; bila quarantine, masuk spam.
• Laporan agregat dikirim ke alamat rua= di DNS record tiap hari.

Kenapa Penting?

Per April 2026, hampir semua marketing automation dan email service Indonesia sudah meminta DMARC sebagai prasyarat onboarding. Gmail menolak hampir 30 persen email tanpa DMARC valid bagi pengirim di atas 5.000 pesan per hari. Dalam beberapa kampanye email klien e-commerce yang saya tangani, penerapan DMARC quarantine selama 2 bulan menaikkan inbox placement rate dari sekitar 78 persen menjadi 92 persen. Panduan resmi tersedia di Google Postmaster Tools.

Pertanyaan Umum

Apakah cukup pasang DMARC tanpa SPF dan DKIM?

Tidak. DMARC butuh setidaknya salah satu dari SPF atau DKIM lulus dan align dengan domain pengirim. Praktik terbaik: pasang ketiganya.

Mulai dari policy mana sebaiknya?

Mulai dari p=none selama 4-6 minggu untuk monitoring lewat laporan agregat, lalu naikkan ke quarantine, kemudian reject setelah semua sumber email sah teridentifikasi.