Email Authentication (SPF, DKIM, DMARC)

SPF bekerja dengan mempublikasikan sebuah rekaman DNS yang mencantumkan secara tepat server mail mana saja yang berwenang mengirim email atas nama sebuah domain, sehingga server penerima dapat memeriksa apakah pesan benar-benar berasal dari sumber yang disetujui. DKIM menambahkan tanda tangan kriptografis pada email keluar menggunakan kunci privat, memungkinkan penerima memverifikasi dengan kunci publik yang cocok yang dipublikasikan di DNS bahwa pesan tidak diubah dalam perjalanan dan benar-benar berasal dari sistem yang memegang kunci tersebut. DMARC kemudian menyelaraskan hasil SPF dan DKIM dengan domain yang ditampilkan pada alamat 'From' yang terlihat dan mempublikasikan sebuah kebijakan, none, quarantine, atau reject, yang menginstruksikan server penerima apa yang harus dilakukan terhadap pesan yang gagal keselarasan tersebut, sekaligus menghasilkan laporan agregat yang menunjukkan kepada pemilik domain siapa saja yang mengirim email menggunakan domain mereka. Sebuah standar opsional terkait bernama BIMI memungkinkan logo merek terverifikasi tampil di samping pesan yang terautentikasi pada kotak masuk yang mendukungnya setelah DMARC diterapkan secara ketat.

Tanpa rekaman-rekaman ini dikonfigurasi dengan benar, tidak ada yang menghentikan penyerang mengonfigurasi server pengirim mereka sendiri untuk menampilkan alamat 'From' yang sama persis dengan domain tepercaya, karena protokol email asli tidak pernah dirancang untuk memverifikasi identitas pengirim. Celah ini adalah mekanisme teknis di balik sebagian besar email spoofing dan sebagian besar brand impersonation serta business email compromise, karena pesan palsu yang mengaku dari sebuah bank, lembaga pemerintah, atau eksekutif perusahaan jauh lebih meyakinkan daripada pesan dari alamat yang jelas tidak terkait. Bank, perusahaan asuransi, dan lembaga pemerintah Indonesia sering menjadi target peniruan justru karena mereka adalah institusi yang banyak dipercaya, menjadikan penerapan penuh email authentication sebagai kontrol yang berarti untuk melindungi baik nasabah maupun staf internal, dan semakin menjadi ekspektasi dalam panduan keamanan komunikasi OJK dan ISO 27001.

Penerapannya biasanya bertahap: organisasi umumnya memulai DMARC dalam mode monitor saja, meninjau laporan agregat untuk memastikan setiap sumber pengirim yang sah, server mail internal, platform pemasaran, alat helpdesk, telah diotorisasi dengan benar, sebelum memindahkan kebijakan ke quarantine dan akhirnya reject. Langsung melompat ke kebijakan reject tanpa peninjauan ini berisiko memblokir email sah yang belum teridentifikasi. Setiap domain dan subdomain yang dimiliki organisasi harus tercakup, termasuk yang tidak pernah mengirim email, karena subdomain yang tidak dilindungi adalah target mudah bagi penyerang untuk dipalsukan.