Cara Setting SPF, DKIM & DMARC Google Workspace

Untuk domain yang memakai Google Workspace, setting autentikasi email terdiri dari tiga record DNS: SPF berisi v=spf1 include:_spf.google.com ~all di host @, DKIM berupa record TXT di google._domainkey yang kuncinya dibuat dari Google Admin console, dan DMARC berupa record TXT di _dmarc. Urutannya penting: SPF dulu, lalu DKIM (termasuk menekan tombol Start authentication), dan DMARC paling akhir setelah keduanya berjalan.

Panduan ini disusun mengikuti dokumentasi resmi Google Workspace Admin Help, lalu dilengkapi contoh untuk skenario nyata seperti domain yang juga mengirim email dari aplikasi web atau layanan newsletter. Bila Anda belum paham konsep dasarnya, baca dulu apa itu SPF, apa itu DKIM, dan apa itu DMARC.

Yang perlu disiapkan

• Akun super admin Google Workspace (menu autentikasi email hanya tersedia untuk admin dengan hak yang sesuai).
• Akses ke panel DNS domain: registrar, Cloudflare, cPanel, atau penyedia DNS lain tempat record MX Anda dikelola.
• Daftar semua layanan lain yang mengirim email dengan domain Anda (server aplikasi, newsletter, CRM, toko online).
• Kotak surat atau grup untuk menerima laporan DMARC, misalnya dmarc@contoh.com.

Pastikan Anda mengedit DNS di penyedia yang benar-benar aktif. Cek nameserver dengan dig +short NS contoh.com; jika nameserver mengarah ke Cloudflare, record yang ditambahkan di panel registrar tidak akan berpengaruh.

Langkah 1: Setting SPF untuk Google Workspace

Record SPF yang direkomendasikan Google bila Workspace adalah satu-satunya pengirim:

Type : TXT
Host : @
Value: v=spf1 include:_spf.google.com ~all
TTL  : 3600

Google memakai ~all (softfail) dalam contohnya. Anda bisa mengubahnya ke -all belakangan setelah DMARC berjalan dan yakin tidak ada pengirim sah yang terlewat.

Jika ada pengirim lain

Jangan membuat record SPF kedua. Gabungkan semuanya dalam satu record. Beberapa contoh:

# Workspace + VPS yang mengirim email aplikasi langsung (bukan lewat SMTP Google)
v=spf1 include:_spf.google.com ip4:203.0.113.10 ~all

# Workspace + layanan newsletter (ganti dengan include dari dokumentasi layanan Anda)
v=spf1 include:_spf.google.com include:servers.layanan-newsletter.com ~all

Jika aplikasi Laravel Anda mengirim lewat smtp.gmail.com atau SMTP relay Google, server yang terhubung ke penerima adalah server Google, sehingga include:_spf.google.com sudah mencakupnya. Konfigurasi .env-nya dibahas di cara mengirim email Laravel via SMTP Gmail.

Perhatikan juga batas 10 DNS lookup. include:_spf.google.com sendiri memicu beberapa lookup bersarang, jadi bila Anda menambahkan banyak layanan, hitung totalnya dengan SPF Checker. Jika melewati batas, ikuti solusi di SPF PermError too many DNS lookups.

Bila Anda mengelola beberapa domain di Workspace (domain sekunder atau alias), setiap domain yang dipakai mengirim perlu record SPF sendiri. Google menyebut SPF bisa butuh hingga 48 jam untuk mulai berlaku.

Langkah 2: Setting DKIM di Google Admin console

Tanpa setting DKIM khusus, Google tetap menandatangani email Anda, tetapi dengan domain default milik Google (biasanya berakhiran gappssmtp.com), bukan domain Anda. Tanda tangan itu valid, namun tidak selaras dengan domain di kolom From:, sehingga tidak membantu DMARC. Karena itu Anda perlu membuat kunci DKIM untuk domain sendiri.

2a. Buat kunci DKIM

1. Login ke Google Admin console sebagai super admin.
2. Buka Menu → Apps → Google Workspace → Gmail.
3. Klik Authenticate email.
4. Pilih domain yang ingin diatur dari daftar domain.
5. Klik Generate new record.
6. Pilih panjang kunci: 2048 (disarankan) atau 1024 bila penyedia DNS Anda tidak mendukung 2048.
7. Kolom prefix selector berisi google secara default. Ganti hanya bila selector google sudah dipakai di domain Anda.
8. Klik Generate. Google menampilkan nama host DNS dan nilai TXT.

2b. Tambahkan record TXT di DNS

Type : TXT
Host : google._domainkey
Value: v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...(salin persis dari Admin console)
TTL  : 3600

Beberapa hal yang sering menjebak:

• Di kolom host, kebanyakan panel cukup diisi google._domainkey. Jika Anda mengetik nama lengkap dan panel menambahkan domain lagi, hasilnya menjadi google._domainkey.contoh.com.contoh.com.
• Kunci 2048 bit lebih panjang dari 255 karakter. Bila panel DNS menolak atau memotong nilainya, pecah menjadi beberapa string dalam satu record, atau gunakan 1024 bit. Google punya halaman khusus tentang batas karakter TXT di penyedia DNS.
• Salin nilai tanpa menambahkan spasi atau baris baru di tengah p=.

2c. Aktifkan penandatanganan

1. Tunggu sampai record terlihat di DNS. Cek dengan dig +short TXT google._domainkey.contoh.com atau DKIM Checker dengan selector google.
2. Kembali ke Apps → Google Workspace → Gmail → Authenticate email, pilih domain yang sama.
3. Klik Start authentication. Status akan berubah menjadi sedang mengautentikasi email.

Menurut Google, setelah kunci ditambahkan bisa butuh hingga 48 jam sampai autentikasi DKIM mulai bekerja. Bila tombol memunculkan pesan bahwa record belum ditemukan, biasanya DNS belum tersebar; coba lagi beberapa jam kemudian.

Langkah 3: Setting DMARC

DMARC tidak diatur di Admin console, melainkan langsung di DNS. Google menyarankan menunggu 48 jam setelah SPF dan DKIM aktif sebelum memasang DMARC, lalu memulai dari kebijakan pemantauan.

Type : TXT
Host : _dmarc
Value: v=DMARC1; p=none; rua=mailto:dmarc@contoh.com
TTL  : 3600

Rencana kenaikan kebijakan yang mengikuti saran Google (none → quarantine dengan persentase bertahap → reject):

# Minggu-minggu awal: pantau
v=DMARC1; p=none; rua=mailto:dmarc@contoh.com

# Setelah laporan bersih: karantina sebagian
v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc@contoh.com

# Naikkan bertahap sampai 100, lalu tolak
v=DMARC1; p=reject; rua=mailto:dmarc@contoh.com

Contoh di dokumentasi Google sendiri memakai adkim=s; aspf=s (strict). Untuk kebanyakan organisasi, mode default relaxed lebih aman karena subdomain pengirim (misalnya mail.contoh.com) tetap dianggap selaras. Pakai strict hanya bila Anda punya alasan khusus. Record bisa disusun dengan DMARC Generator lalu dicek dengan DMARC Checker.

Langkah 4: Verifikasi dengan email sungguhan

1. Kirim email dari akun Workspace ke alamat Gmail pribadi atau akun di penyedia lain.
2. Di Gmail, buka pesan lalu pilih Tampilkan asli.
3. Periksa ringkasan di atas: SPF, DKIM, dan DMARC seharusnya PASS, dan DKIM menyebut domain Anda, bukan gappssmtp.com.

Contoh header yang sehat:

Authentication-Results: mx.google.com;
       dkim=pass header.i=@contoh.com header.s=google header.b=Xy12AbCd;
       spf=pass (google.com: domain of anda@contoh.com designates 209.85.220.41 as permitted sender) smtp.mailfrom=anda@contoh.com;
       dmarc=pass (p=NONE sp=NONE dis=NONE) header.from=contoh.com

Lakukan tes yang sama untuk setiap layanan pihak ketiga. Email dari platform newsletter atau CRM harus juga DKIM pass dengan header.i domain Anda; bila tidak, atur custom DKIM di layanan tersebut sebelum menaikkan DMARC ke quarantine.

Bagaimana dengan layanan pihak ketiga?

Setting di Admin console hanya mengurus email yang keluar lewat server Google. Email dari layanan lain, misalnya platform newsletter, sistem tiket, atau aplikasi yang mengirim lewat penyedia SMTP transaksional, punya jalur sendiri dan harus dikonfigurasi terpisah. Untuk setiap layanan tersebut, lakukan tiga hal:

1. SPF: tambahkan include: dari dokumentasi layanan ke record SPF yang sama, atau lebih baik lagi, minta layanan memakai subdomain sebagai Return-Path (sering disebut custom return-path atau bounce domain) sehingga SPF selaras dengan domain Anda.
2. DKIM: aktifkan fitur custom DKIM atau domain authentication di layanan tersebut. Biasanya mereka memberikan satu sampai tiga record CNAME dengan selector milik mereka sendiri, yang tidak akan bentrok dengan selector google.
3. Uji header: kirim email tes dari layanan itu dan pastikan DKIM pass dengan domain Anda.

Bila volume email pemasaran Anda besar, pertimbangkan memisahkannya ke subdomain seperti news.contoh.com. Dengan begitu, masalah reputasi pada email promosi tidak ikut menyeret email operasional dari kotak surat Workspace karyawan Anda, dan record SPF domain utama tetap ringkas. DMARC domain induk otomatis berlaku untuk subdomain tersebut kecuali Anda membuat record _dmarc.news tersendiri.

Memantau setelah setting

• Laporan DMARC dari rua menunjukkan IP mana yang mengirim atas nama domain Anda dan apakah lolos.
• Google Postmaster Tools (postmaster.google.com) memperlihatkan reputasi domain, tingkat spam, dan status autentikasi untuk email yang Anda kirim ke pengguna Gmail, terutama berguna bila volume Anda besar.
• Bila suatu saat muncul bounce 550 5.7.26, ikuti panduan mengatasi error Gmail 550 5.7.26.

Kesalahan umum di Google Workspace

• Membuat kunci DKIM tapi lupa klik Start authentication, sehingga email tetap ditandatangani dengan domain default Google.
• Record SPF ganda: satu dari setup Workspace, satu lagi dari hosting lama.
• Record di DNS yang tidak aktif karena nameserver sudah pindah ke Cloudflare.
• Nilai DKIM terpotong karena batas 255 karakter.
• DMARC langsung reject sebelum layanan pihak ketiga dikonfigurasi.
• Lupa domain sekunder: setiap domain yang mengirim email butuh SPF, DKIM, dan DMARC (atau mewarisi DMARC induk bila subdomain).

Checklist Google Workspace

• SPF: satu record, berisi include:_spf.google.com plus pengirim lain, lookup ≤ 10.
• DKIM: kunci 2048 bit, TXT di google._domainkey, status authenticating di Admin console.
• DMARC: _dmarc dengan p=none dan rua, dipasang ≥ 48 jam setelah SPF/DKIM.
• Tes header: SPF, DKIM (domain sendiri), DMARC semuanya pass.
• Rencana naik ke quarantine dan reject berdasarkan laporan.

FAQ

Apakah Google Workspace otomatis membuat SPF dan DKIM?

Tidak untuk domain Anda. Anda harus menambahkan SPF dan DKIM sendiri di DNS. Google hanya menandatangani dengan domain default miliknya bila DKIM belum diatur.

Selector DKIM Google Workspace apa?

Default-nya google, sehingga record berada di google._domainkey.domainanda.com. Anda bisa memakai prefix lain bila google sudah terpakai.

Pakai ~all atau -all untuk Workspace?

Google mencontohkan ~all. Mulailah dengan itu, lalu pertimbangkan -all setelah DMARC dan laporan menunjukkan semua pengirim sah sudah tercakup.

Apakah bisa memakai DKIM 2048 bit di semua penyedia DNS?

Sebagian besar bisa, tetapi beberapa panel membatasi panjang record TXT. Bila mengalami masalah, pecah nilainya menjadi beberapa string atau gunakan 1024 bit sementara.

Apakah perlu mengatur DKIM ulang setelah ganti penyedia DNS?

Kuncinya tetap sama, tetapi record TXT harus dipindahkan ke penyedia DNS baru. Salin semua record (SPF, DKIM, DMARC, MX) sebelum mengganti nameserver.