Banyak administrator sistem yang merasa sudah melakukan langkah pengamanan cukup setelah melihat status SPF dan DKIM pada email keluar menunjukkan nilai pass. Mereka kemudian terkejut ketika laporan DMARC mencatat kegagalan atau penerima justru memasukkan pesan ke folder karantina. Kondisi ini bukanlah anomali, melainkan hasil dari persyaratan tambahan yang sering luput dari perhatian.
Standar DMARC memang tidak hanya meminta bukti autentikasi dari SPF maupun DKIM. Protokol tersebut menuntut agar domain yang terautentikasi selaras dengan domain yang tertera pada alamat From yang dilihat penerima. Persyaratan keselarasan (alignment) inilah yang menjadi akar masalah bagi sebagian besar kasus lolos autentikasi tetapi gagal DMARC.
Untuk memahami mekanismenya, perlu diurai bagaimana SPF dan DKIM bekerja. SPF mengautentikasi domain pada Return-Path atau envelope sender (RFC5321.MailFrom) yang digunakan untuk pengiriman bounce, bukan alamat pengirim yang tampak di layar. Sementara DKIM membubuhkan tanda tangan digital dengan parameter d= yang bisa berisi domain pengirim atau domain penyedia layanan email.
DMARC berdiri di atas keduanya dengan menambahkan satu aturan tunggal: minimal satu dari domain terautentikasi tersebut harus align dengan domain di header From. Merujuk pada RFC 7489, sebuah pesan dinyatakan lulus DMARC apabila setidaknya satu mekanisme menghasilkan pass dan identifikernya selaras. Tidak diperlukan keduanya lulus, cukup satu yang tepat sasaran.
Keselarasan sendiri memiliki dua mode yang diatur melalui tag aspf dan adkim pada rekam DMARC, dengan bawaan relaxed. Dalam mode relaxed, subdomain seperti news.yourdomain.com dianggap selaras dengan yourdomain.com karena berbagi domain organisasi terdaftar. Mode strict menuntut kecocokan nama domain secara utuh. Daftar Public Suffix List digunakan untuk menentukan domain organisasi, misalnya yourdomain.co.uk dianggap nama terdaftar bukan sekadar co.uk.
Di Indonesia, banyak perusahaan dan instansi pemerintah beralih menggunakan layanan email transaksional atau pemasaran dari pihak ketiga seperti Google Workspace, Microsoft 365, hingga platform asing seperti SendGrid dan Mailchimp. Fenomena gagal DMARC kerap muncul ketika platform tersebut mengirimkan email menggunakan Return-Path milik mereka sendiri dan menandatangani DKIM dengan d= domain penyedia. Akibatnya, meski SPF dan DKIM technically pass, pesan dari brand lokal gagal DMARC karena tidak ada yang align dengan domain pengirim resmi.
Dampaknya sangat nyata bagi bisnis di tanah air. Email kampanye promosi atau notifikasi penting dapat langsung terbuang ke spam, merusak reputasi pengirim, dan menurunkan tingkat konversi. Apalagi bagi sektor keuangan dan e-commerce yang mengandalkan email terverifikasi untuk OTP dan invoice, kegagalan alignment dapat membuka celah penipuan karena pelanggan mulai meragukan keaslian pesan.
Masalah ini diperparah oleh kebiasaan penerusan (forwarding) yang lazim pada milis komunitas atau sistem ticketing Indonesia. Server penerus mengubah jalur pengiriman sehingga SPF tidak lagi align, sementara modifikasi header dapat merusak tanda tangan DKIM. Tanpa tanda tangan DKIM yang bertahan, pesan sah pun berisiko ditolak begitu saja oleh pemeriksa DMARC penerima.
Vadim Ivanov, penulis analisis di Dev.to, menegaskan bahwa DMARC tidak peduli jika SPF atau DKIM berhasil, yang dipedulikannya adalah apakah keduanya berhasil untuk domain Anda sendiri. “Alignment bukanlah aturan yang dibuat-buat. Itu adalah inti dari standar ini,” urainya. Ia mencatat setidaknya empat pola kegagalan umum, mulai dari penyedia layanan yang tidak menandatangani sebagai domain klien, penerusan email, signature DKIM rusak, hingga pengaturan strict yang tidak disengaja.
Ivanov juga menyoroti betapa pentingnya membaca baris Authentication-Results pada header mentah email. Administrator kerap berhenti di status spf=pass dan dkim=pass, padahal domain di sampingnya lah yang menentukan. Jika smtp.mailfrom atau header.d tidak cocok dengan domain From meski dalam aturan relaxed, maka kegagalan DMARC sudah pasti terjadi.
Langkah perbaikan sebenarnya sederhana: pastikan satu identifikasi align dengan domain From, dan prioritaskan DKIM. Tanda tangan DKIM dengan d=yourdomain.com mampu bertahan saat penerusan dan tidak bergantung pada Return-Path, sehingga jauh lebih kokoh dibanding SPF. Jika platform memungkinkan, aktifkan pula custom Return-Path di bawah domain sendiri untuk melengkapi alignment SPF.
Ke depan, organisasi di Indonesia perlu mulai meninggalkan kebijakan DMARC pasif (p=none) dan beralih ke enforcing seiring meningkatnya serangan phishing yang menyasar nama merek lokal. Laporan agregat (rua) akan menjadi instrumen penting untuk memetakan aliran pengiriman yang bermasalah. Dengan kesadaran akan alignment, kepercayaan ekosistem email tanah air dapat terjaga lebih baik.