SPF, DKIM, dan DMARC untuk toko online: aturan Gmail dan Yahoo

Fungsi SPF, DKIM, dan DMARC, syarat pengirim dari Gmail, Yahoo, dan Outlook.com, cara setting di Shopify dan WooCommerce, serta cara mencapai p=reject.

Tim Redaksi FixReports10 menit baca

Agar memenuhi aturan pengirim Gmail dan Yahoo, setiap toko online membutuhkan SPF atau DKIM pada domain pengirimnya, sedangkan pengirim massal membutuhkan keduanya, ditambah record DMARC minimal p=none dengan domain From yang terlihat selaras (aligned) dengan SPF atau DKIM. Pengirim massal juga wajib menyediakan fitur berhenti berlangganan sekali klik (one-click unsubscribe) pada email pemasaran dan menjaga tingkat spam yang dilaporkan di bawah 0,3%. Di Shopify, artinya Anda mengautentikasi domain pengirim di admin dan menambahkan record DMARC; di WooCommerce, artinya Anda mengirim email melalui penyedia email yang terautentikasi. Setelah laporan DMARC menunjukkan semua email sah Anda lolos, Anda bisa mengarahkan kebijakan secara bertahap ke p=reject.

Poin penting

  • Sejak 1 Februari 2024, Gmail mewajibkan semua pengirim menyiapkan SPF atau DKIM, dan pengirim massal menyiapkan SPF, DKIM, dan DMARC (Google (terbuka di tab baru)).
  • Gmail menganggap Anda pengirim massal begitu Anda mengirim hampir 5.000 pesan ke akun Gmail pribadi dalam 24 jam, dan status itu tidak pernah kedaluwarsa (FAQ Gmail (terbuka di tab baru)).
  • Mulai November 2025, Gmail memperketat penegakan aturan terhadap lalu lintas email yang tidak patuh, termasuk penolakan sementara dan permanen (FAQ Gmail (terbuka di tab baru)).
  • Sejak 5 Mei 2025, Outlook.com mewajibkan SPF, DKIM, dan DMARC dari domain yang mengirim lebih dari 5.000 email per hari (Microsoft (terbuka di tab baru)).
  • SPF mengizinkan paling banyak 10 term yang memerlukan kueri DNS dalam satu pemeriksaan; jika melebihi batas itu, hasilnya permerror (RFC 7208 (terbuka di tab baru)).
  • DMARC diperbarui pada Mei 2026: RFC 9989 (terbuka di tab baru) menggantikan RFC 7489 dan mengganti tag pct dengan t.

Apa sebenarnya fungsi SPF, DKIM, dan DMARC?

SPF mencantumkan siapa saja yang boleh mengirim email atas nama domain Anda, DKIM menandatangani setiap pesan, dan DMARC mengaitkan keduanya dengan alamat From yang dilihat pelanggan Anda.

RecordApa yang dibuktikanLokasinyaStandar
SPFServer pengirim diizinkan untuk domain yang dipakai di envelope (MAIL FROM)Record TXT pada domainRFC 7208 (terbuka di tab baru)
DKIMPesan ditandatangani oleh domain tersebut dan tidak diubah selama pengirimanRecord TXT di selector._domainkey.example.comRFC 6376 (terbuka di tab baru)
DMARCSPF atau DKIM lolos untuk domain yang selaras dengan domain From yang terlihat; memberi tahu server penerima apa yang harus dilakukan jika gagal dan ke mana laporan dikirimRecord TXT di _dmarc.example.comRFC 9989 (terbuka di tab baru)

Alignment adalah bagian yang mudah terlewat. Platform email Anda bisa lolos SPF untuk domain bounce miliknya sendiri, sementara alamat From menampilkan domain toko Anda. Pesan seperti itu lolos SPF tetapi gagal DMARC, kecuali DKIM ditandatangani dengan domain Anda.

Apa syarat Gmail dan Yahoo untuk pengirim email?

Keduanya mewajibkan autentikasi dari setiap pengirim dan menambahkan aturan yang lebih ketat untuk pengirim massal.

Untuk semua pengirim, Gmail mewajibkan SPF atau DKIM, DNS forward dan reverse yang valid, TLS, format RFC 5322, dan tingkat spam di bawah 0,3% di Postmaster Tools (Google (terbuka di tab baru)). Yahoo mewajibkan setidaknya SPF atau DKIM dan tingkat spam di bawah 0,3% (Yahoo Sender Hub (terbuka di tab baru)). Untuk pengirim massal:

PersyaratanGmailYahoo
SPF dan DKIMKeduanyaKeduanya
DMARCWajib; kebijakan boleh noneKebijakan valid minimal p=none, dan DMARC harus lolos
AlignmentDomain From selaras dengan domain SPF atau DKIMSama; relaxed alignment diterima
Berhenti berlangganan sekali klikPesan pemasaran dan pesan langganan, sesuai RFC 8058, ditambah tautan yang terlihatHeader List-Unsubscribe dengan dukungan sekali klik untuk pesan pemasaran dan pesan langganan
Memproses permintaan berhenti berlanggananDalam 48 jam (disarankan)Dalam 2 hari
Tingkat spamDi bawah 0,3%; Google menyarankan di bawah 0,10%Di bawah 0,3%

Beberapa detail penting bagi toko online:

  • Gmail menghitung per domain. Pesan dari domain utama yang sama ikut dihitung dalam batas 5.000, jadi email pesanan, email pemasaran, dan balasan layanan pelanggan semuanya dijumlahkan.
  • Hanya akun Gmail pribadi yang dihitung. Pedoman ini tidak berlaku untuk pesan yang dikirim ke akun Google Workspace.
  • Email transaksional dikecualikan dari kewajiban berhenti berlangganan sekali klik. Konfirmasi pesanan tetap memerlukan autentikasi.

Berhenti berlangganan sekali klik menggunakan dua header yang didefinisikan dalam RFC 8058 (terbuka di tab baru), yang juga mewajibkan tanda tangan DKIM valid yang mencakup kedua header tersebut:

List-Unsubscribe: <https://example.com/unsubscribe/opaquepart>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

Untuk memastikan platform pemasaran Anda menambahkannya, buka sumber mentah (raw source) salah satu kampanye Anda sendiri.

Apa yang berubah setelah Februari 2024?

Penegakan aturan diperketat secara bertahap, dan penyedia layanan email lain telah menerapkan aturan serupa.

TanggalPerubahanSumber
Februari 2024Persyaratan Gmail dan Yahoo mulai berlaku (Yahoo menerapkan penegakan secara bertahap)Google (terbuka di tab baru), Yahoo (terbuka di tab baru)
Juni 2024Gmail: pengirim massal dengan tingkat spam di atas 0,3% tidak lagi memenuhi syarat untuk mitigasiFAQ Gmail (terbuka di tab baru)
1 Juni 2024Tenggat Gmail untuk berhenti berlangganan sekali klik bagi pengirim yang sudah memiliki tautan berhenti berlanggananFAQ Gmail (terbuka di tab baru)
5 Mei 2025Persyaratan Outlook.com untuk domain yang mengirim lebih dari 5.000 email per hari; pembaruan Microsoft tanggal 29 April menyebutkan bahwa pesan yang gagal ditolak dengan 550 5.7.515Microsoft (terbuka di tab baru)
November 2025Gmail memperketat penegakan, termasuk penolakan sementara dan permanenFAQ Gmail (terbuka di tab baru)
Mei 2026RFC 9989 menggantikan RFC 7489 sebagai spesifikasi DMARCIETF (terbuka di tab baru)

Aturan Outlook.com berlaku untuk alamat konsumennya (outlook.com, hotmail.com, dan live.com) dan mewajibkan SPF dan DKIM lolos serta DMARC minimal p=none yang selaras dengan SPF atau DKIM.

Bagaimana cara mengatur SPF, DKIM, dan DMARC di Shopify?

Autentikasi domain pengirim Anda di admin Shopify, lalu tambahkan satu record DMARC di penyedia DNS Anda.

Panduan pengaturan email (terbuka di tab baru) Shopify menyebutkan bahwa sejak 1 Februari 2024, Gmail dan Yahoo mewajibkan domain terautentikasi dan record DMARC untuk mengirim email dari alamat bermerek. Jika record autentikasi belum dikonfigurasi, Shopify menulis ulang alamat pengirim Anda ke format store+123@shopifyemail.com. Langkah-langkahnya:

  1. Di admin Shopify, buka Pengaturan > Notifikasi (Settings > Notifications).
  2. Di bagian Email pengirim (Sender email), klik autentikasi domain Anda (authenticate your domain).
  3. Tambahkan setiap record CNAME yang ditampilkan ke penyedia DNS Anda. Jumlahnya bisa berbeda-beda. Menurut Shopify, record ini menangani SPF dan DKIM untuk alamat pengirim Anda, dan Anda tidak perlu menambahkan alamat IP.
  4. Tunggu hingga 48 jam sampai perubahan DNS berlaku.
  5. Tambahkan record TXT dengan nama _dmarc dan nilai v=DMARC1; p=none;, yang dipakai Shopify sebagai nilai default.

Jika Anda membeli domain dari Shopify atau memindahkannya ke Shopify, Shopify mengelola record ini untuk Anda. Shopify juga mengingatkan bahwa satu domain hanya boleh memiliki satu record DMARC, dan pengaturan alignment ketat (adkim=s atau aspf=s) sebaiknya dihapus atau diubah menjadi r.

Autentikasi Shopify hanya mencakup email yang dikirim oleh Shopify. Jika Anda memakai platform lain untuk kampanye, help desk, atau Google Workspace untuk email staf, masing-masing memerlukan pengaturan DKIM sendiri dan, jika memakai domain Anda untuk bounce, entri SPF sendiri.

Bagaimana cara mengatur autentikasi email untuk WooCommerce?

Kirim email WooCommerce melalui penyedia khusus yang menandatangani pesan dengan domain Anda, seperti yang disarankan dokumentasi WooCommerce sendiri.

WooCommerce mengirim email menggunakan fungsi WordPress wp_mail(), dan FAQ email (terbuka di tab baru) WooCommerce menyarankan penyedia SMTP khusus karena lebih andal daripada fungsi email di server Anda sendiri. Pengaturan yang umum:

  1. Pilih penyedia email transaksional dan verifikasi domain Anda di sana. Penyedia tersebut akan memberi Anda record DKIM dan include SPF yang perlu dipublikasikan.
  2. Hubungkan WordPress ke penyedia tersebut dengan plugin SMTP atau API.
  3. Atur alamat From (From address) di WooCommerce > Pengaturan > Email (WooCommerce > Settings > Emails) ke alamat di domain Anda sendiri. WooCommerce memperingatkan bahwa alamat publik, misalnya alamat Gmail atau Yahoo, kemungkinan besar masuk spam atau diblokir.
  4. Publikasikan record DMARC di _dmarc.yourdomain.
  5. Buka WooCommerce > Status > Log (WooCommerce > Status > Logs) dan filter sumber transactional-emails untuk melihat pesan mana yang terkirim atau gagal.

Jika layanan hosting web Anda juga mengirim email untuk domain tersebut, autentikasi atau matikan fitur itu. Setiap sistem yang mengirim email atas nama domain Anda tanpa SPF atau DKIM yang selaras akan gagal DMARC.

Apa itu batas 10 lookup SPF dan bagaimana agar tidak melampauinya?

Satu pemeriksaan SPF boleh memakai paling banyak 10 term yang memerlukan kueri DNS; kelebihan satu saja, hasilnya permerror, sehingga SPF tidak lolos.

RFC 7208, bagian 4.6.4 (terbuka di tab baru) mencantumkan term yang dihitung: mekanisme include, a, mx, ptr, dan exists serta modifier redirect. Mekanisme ip4, ip6, dan all tidak dihitung. Include yang bersarang di dalam include Anda juga dihitung, karena batas ini berlaku untuk seluruh proses evaluasi. RFC tersebut juga menyarankan agar "void lookup" (kueri yang tidak mengembalikan jawaban) dibatasi menjadi dua, dan menyatakan bahwa mekanisme ptr sebaiknya tidak dipublikasikan.

Cara agar tetap di bawah 10:

  • Hapus include untuk layanan yang sudah tidak Anda gunakan.
  • Gunakan ip4 atau ip6 untuk server yang Anda kelola dengan alamat tetap.
  • Pindahkan email pemasaran ke subdomain seperti news.example.com, yang memiliki record SPF dan hitungan lookup sendiri.
  • Jangan pernah memublikasikan dua record SPF. RFC 7208 melarang lebih dari satu record, dan evaluasinya akan menghasilkan permerror.
example.com.        TXT  "v=spf1 include:_spf.google.com include:spf.example-esp.com ~all"
news.example.com.   TXT  "v=spf1 include:spf.example-marketing.com ~all"

spf.example-esp.com dan spf.example-marketing.com hanyalah contoh; ganti dengan nilai yang diberikan oleh penyedia Anda.

Bagaimana cara memindahkan DMARC dari p=none ke p=reject?

Mulailah dengan p=none beserta pelaporan, perbaiki setiap sumber sah yang terungkap dari laporan, lalu perketat kebijakannya.

TahapRecordTujuan
1. Pantauv=DMARC1; p=none; rua=mailto:dmarc@example.comMengumpulkan laporan agregat tentang siapa saja yang mengirim email atas nama domain Anda
2. PerbaikiTidak ada perubahanMemastikan setiap sumber sah lolos SPF atau DKIM yang selaras
3. Karantinav=DMARC1; p=quarantine; rua=mailto:dmarc@example.comEmail yang gagal masuk ke folder spam
4. Tolakv=DMARC1; p=reject; rua=mailto:dmarc@example.comEmail yang gagal ditolak

Lanjutkan ke tahap berikutnya hanya jika laporan menunjukkan bahwa platform toko, alat pemasaran, help desk, dan email staf Anda semuanya lolos. Laporan agregat didefinisikan dalam RFC 9990 (terbuka di tab baru). Jika alamat rua berada di domain lain, misalnya milik layanan pelaporan, domain tersebut harus memublikasikan record yang mengizinkan penerimaan laporan itu.

Panduan lama menyarankan peluncuran bertahap dengan pct=25 atau pct=50. RFC 9989 menghapus pct (entri registrinya kini berstatus "historic") karena nilai selain 0 dan 100 diterapkan secara tidak konsisten. Sebagai gantinya, t=y meminta server penerima menerapkan kebijakan satu tingkat di bawahnya, misalnya quarantine alih-alih reject. Gunakan t=y, bukan persentase parsial, jika Anda menginginkan tahap uji coba.

_dmarc.example.com.  TXT  "v=DMARC1; p=quarantine; t=y; rua=mailto:dmarc@example.com"
_dmarc.example.com.  TXT  "v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc@example.com"

Kebijakan yang sudah ditegakkan juga membuka jalan bagi BIMI, yang menampilkan logo Anda di kotak masuk yang mendukungnya. Untuk BIMI, Gmail mewajibkan DMARC pada p=quarantine atau p=reject serta Verified Mark Certificate atau Common Mark Certificate (Google (terbuka di tab baru)). Untuk email yang masuk ke domain Anda, MTA-STS (RFC 8461 (terbuka di tab baru)) memungkinkan Anda meminta server pengirim agar tidak mengirim email ke server email Anda jika server Anda tidak menawarkan TLS dengan sertifikat tepercaya.

Bagaimana cara memeriksa record DNS toko Anda?

Lakukan kueri untuk ketiga jenis record dengan dig, atau gunakan alat pemeriksa yang membacanya untuk Anda.

dig +short TXT example.com
dig +short TXT _dmarc.example.com
dig +short TXT selector._domainkey.example.com

Selector DKIM berasal dari penyedia Anda, dan Anda bisa menemukannya di nilai s= pada header DKIM-Signature di pesan yang Anda kirim. Laporan Keterkiriman Email membaca DNS publik Anda, menghitung lookup SPF, mencoba selector DKIM yang umum, serta memeriksa kebijakan DMARC, rua, pct, BIMI, dan MTA-STS. Record yang benar memang membantu, tetapi tidak ada kombinasi record yang menjamin email masuk ke kotak masuk, karena penyedia layanan email juga mempertimbangkan keluhan spam dan perilaku pengiriman.

Pertanyaan yang sering diajukan

Apakah saya perlu DMARC jika toko saya mengirim kurang dari 5.000 email per hari?

Gmail hanya mewajibkan DMARC dari pengirim massal, tetapi Shopify mencatat bahwa Gmail dan Yahoo mewajibkan domain terautentikasi dan record DMARC untuk mengirim email dari alamat bermerek. Record p=none berisiko rendah dan memberi Anda laporan, jadi sebagian besar toko online sebaiknya memublikasikannya.

Bolehkah domain saya memiliki dua record SPF?

Tidak. RFC 7208 menyatakan bahwa sebuah domain tidak boleh memiliki lebih dari satu record SPF, dan jika itu terjadi, evaluasi SPF menghasilkan permerror. Gabungkan semua pengirim ke dalam satu record.

Apakah p=reject akan memblokir email pesanan Shopify saya?

Tidak, selama record CNAME dari Shopify sudah terpasang dan laporan DMARC Anda menunjukkan email Shopify lolos DKIM yang selaras. Periksa laporan sebelum beralih dari p=none, dan tetap gunakan relaxed alignment seperti yang disarankan Shopify.

Apakah tag pct pada DMARC masih berlaku?

RFC 9989, yang terbit pada Mei 2026, menghapus pct dan memperkenalkan t=y untuk mode uji. Panduan BIMI dari Google masih meminta pct=100, yang merupakan nilai default jika tag tersebut tidak dicantumkan, jadi tidak mencantumkan pct sama sekali adalah pilihan paling sederhana untuk record baru.

Apakah lolos SPF, DKIM, dan DMARC menjamin email saya masuk ke kotak masuk?

Tidak. Autentikasi adalah syarat, bukan jaminan. Gmail dan Yahoo juga menilai tingkat keluhan spam, cara Anda menangani permintaan berhenti berlangganan, dan format pesan.

Sumber

Semua panduan