SPF dan DMARC untuk domain penerima saja: hentikan spoofing

Dua arah, dan Anda baru mengonfigurasi satu

Mengarahkan sebuah domain ke sini hanya butuh satu record DNS. Record itu — MX — menjawab persis satu pertanyaan: ke mana surat yang dialamatkan ke domain ini harus pergi? Itulah keseluruhan yang dibutuhkan sebuah catch-all, dan begitu record itu bisa di-resolve, domain itu langsung bekerja. Tapi pada saat yang sama, domain itu baru terkonfigurasi separuh, karena sebuah nama domain dipakai dalam dua arah, dan record MX tidak berkata apa-apa soal arah yang kedua.

Arah kedua inilah yang menarik. Tidak ada apa pun dalam protokol surat yang mencegah orang asing menuliskan domain Anda di baris From: pada pesan yang mereka kirim dari mesin mereka sendiri. Mereka tidak perlu akses ke DNS Anda, ke registrar Anda, atau ke kotak surat Anda — alamat dalam sebuah pesan adalah klaim, bukan kredensial, dan memang selalu begitu. Yang menentukan apakah klaim itu dipercaya adalah apa yang dikatakan domain Anda soal siapa yang diizinkan membuat klaim tersebut:

Domain yang tidak berkata apa-apa

Server penerima tidak menemukan SPF maupun kebijakan DMARC, dan terpaksa mengandalkan heuristiknya sendiri: reputasi, isi pesan, bagaimana domain itu berperilaku sebelumnya. Domain yang benar-benar baru, tanpa riwayat dan tanpa kebijakan, kurang lebih adalah sasaran ideal untuk dipalsukan, karena tidak ada apa pun yang membantah pemalsuan itu dan tidak ada yang bisa disalahkan sesudahnya.

Domain yang berkata tidak

Server yang sama menemukan kebijakan yang diterbitkan, yang menyatakan bahwa tidak ada mesin di mana pun yang diizinkan mengirim sebagai domain ini, dan bahwa yang gagal harus ditolak. Ini bukan lagi soal penilaian. Pesannya ditolak di pintu masuk, biasanya tanpa pernah sampai ke folder spam sekalipun.

Ini bukan sekadar andai-andai soal merek besar. Domain tanpa surat keluar justru dipilih karena tidak punya kebijakan — sebuah nama yang tidak dilindungi siapa pun, dipakai dua minggu lalu dibuang, lebih berharga bagi pengirim surat sampah daripada nama yang melawan balik.

Kenapa Anda bisa melewati bagian yang butuh enam bulan bagi orang lain

Kalau Anda pernah membaca apa pun soal DMARC sebelumnya, Anda pasti pernah membaca bahwa ini proyek yang panjang dan penuh kehati-hatian. Saran itu benar, dan itu bukan soal Anda. Itu ditulis untuk domain yang mengirim surat, dan panjang karena satu alasan: sebelum Anda bisa menyuruh dunia menolak semua yang gagal, Anda harus menemukan dulu setiap sistem yang secara sah mengirim atas nama Anda dan membuat masing-masing lolos pemeriksaan. Di organisasi normal, daftar itu lebih panjang dari yang dibayangkan siapa pun, dan ia ditemukan, bukan sudah diketahui sejak awal:

1. Terbitkan kebijakan yang tidak melakukan apa-apa. p=none meminta penerima untuk melapor tapi tidak mengubah apa pun, supaya pengirim yang terlupakan tidak sampai terputus oleh kebijakan itu sendiri.
2. Baca laporan selama berminggu-minggu. Sistem penagihan, helpdesk, alat newsletter, platform rekrutmen yang pernah didaftarkan seseorang pada 2019 — masing-masing muncul sebagai sumber yang gagal, dan masing-masing harus diizinkan atau dipensiunkan.
3. Perketat bertahap. Pindah ke quarantine, tunggu, amati, dan baru setelah itu ke reject, karena setiap langkah pengetatan bisa diam-diam menghentikan surat yang diandalkan seseorang.

Setiap langkah itu ada untuk melindungi pengirim sah dari kebijakan Anda sendiri. Domain yang diarahkan ke kotak masuk penerima-saja tidak punya pengirim sah sama sekali. Daftarnya bukan panjang, atau susah ditemukan, atau sebagian belum diketahui — daftarnya kosong. Dan kebijakan yang menolak segalanya tidak bisa merusak pengirim yang tidak ada.

Ada juga argumen tingkat kedua untuk langsung menuju keadaan akhir. Domain yang bertahan di p=none menerbitkan kebijakan yang tidak meminta apa-apa, dan server penerima memperlakukannya nyaris sama seperti domain tanpa kebijakan sama sekali. Record itu ada, jadi terlihat sudah ditangani — dan itu lebih buruk daripada jelas-jelas belum selesai, karena tidak ada yang akan kembali untuk menyelesaikannya.

Ketiga record itu

Ketiganya adalah record TXT, dan ketiganya ditambahkan di samping MX yang sudah Anda punya. Nama-namanya ditulis dengan cara yang diminta kebanyakan panel DNS — relatif terhadap zone, dengan @ berarti domain itu sendiri. Kalau panel Anda meminta nama yang fully qualified, tulis yourdomain.com, _dmarc.yourdomain.com, dan *._domainkey.yourdomain.com sebagai gantinya.

Kalau provider Anda mengharuskan nilainya diberi tanda kutip, beri tanda kutip. Sebagian panel menambahkan tanda kutip itu untuk Anda dan akhirnya tersimpan dua kali, menghasilkan record yang tidak bisa dibaca oleh pemeriksa mana pun — kalau sebuah nilai kembali dari dig dengan dua pasang tanda kutip di sekelilingnya, itulah yang terjadi.

Ketiga nilainya, siap ditempel. Salin, jangan diketik ulang: satu titik koma yang hilang di record DMARC membuat seluruh daftar tag tidak bisa diurai, dan kebijakan yang tidak bisa diurai diperlakukan sama seperti tanpa kebijakan sama sekali.

SPF — pada domain itu sendiriv=spf1 -allSalin

DMARC — pada nama _dmarcv=DMARC1; p=reject; sp=reject; adkim=s; aspf=sSalin

DKIM — pada nama *._domainkeyv=DKIM1; p=Salin

Apa yang sebenarnya dilakukan tiap kata dalam record itu

Lima keputusan, dan penting untuk tahu mana yang mana — terutama supaya nanti Anda kenali mana yang harus dilonggarkan kalau domain ini suatu saat mulai mengirim surat.

-all

Bagian akhir dari record SPF, dan satu-satunya bagian yang penting di sini. Artinya semua yang tidak disebutkan di atas adalah pemalsuan, dan tidak ada apa pun yang disebutkan di atas. Alternatif yang umum, ~all, berarti kemungkinan pemalsuan, tapi tetap kirimkan dan beri tanda — jawaban yang tepat selama Anda masih mencari-cari pengirim Anda sendiri, dan jawaban yang salah kalau Anda sudah yakin tidak ada satu pun.

p=reject

Apa yang harus dilakukan server penerima terhadap surat yang mengaku dari domain ini tapi gagal pemeriksaan. none berarti cuma melapor, quarantine berarti diperlakukan sebagai mencurigakan, reject berarti ditolak dalam percakapan SMTP itu sendiri. Reject adalah pilihan yang membuat pesan itu sama sekali tidak pernah terlihat oleh manusia.

sp=reject

Hal yang sama, diterapkan ke setiap subdomain — termasuk yang tidak ada. Tanpa ini, pemalsu memakai billing.yourdomain.com, yang tidak punya record sendiri, dan tidak mewarisi apa pun yang bisa menghentikannya. Tag ini secara default mengikuti apa pun yang dikatakan p, jadi record-nya berperilaku sama persis tanpa tag ini; tag ini tetap dituliskan karena kebijakan yang tidak terlihat saat Anda membaca kembali record-nya adalah kebijakan yang akan Anda anggap tidak ada.

adkim=s, aspf=s

Alignment ketat. Ini mensyaratkan domain yang terautentikasi harus persis sama dengan domain di baris From:, bukan sekadar kerabatnya — jadi pesan dari anything.yourdomain.com tidak bisa meminjam kelulusan milik domain induknya. Relaxed adalah defaultnya, dan strict adalah yang semestinya dinyatakan oleh domain yang tidak punya apa pun untuk diizinkan.

v=DKIM1; p=

Sebuah public key DKIM yang tidak berisi key apa pun. Spesifikasinya menyatakan dengan tegas bahwa key kosong berarti dicabut, jadi tanda tangan mana pun yang menyebut selector apa pun di bawah domain ini akan gagal verifikasi, bukan diabaikan begitu saja. Wildcard ini mencakup setiap nama selector yang mungkin dikarang oleh pemalsu, karena merekalah yang memilih namanya.

Dan record yang harus tetap persis seperti apa adanya

Tidak satu pun di atas menyentuh surat masuk, dan memang seharusnya tidak. Record MX-lah yang membuat setiap alamat di domain ini menjadi kotak surat di sini, dan itu tidak berubah oleh apa pun di atas:

Record MX — tidak berubah10 smtp.grabmail.ioSalin

Ketiga record baru dan record yang satu ini menjawab pertanyaan yang berbeda, jadi keduanya tidak saling memengaruhi: SPF dan DMARC dibaca oleh server yang memutuskan apakah akan menerima surat yang mengaku dari Anda, sedangkan MX dibaca oleh server yang memutuskan ke mana mengirimkan surat yang dialamatkan ke Anda. Domain dengan keempatnya adalah domain yang menerima segalanya dan tidak menjamin siapa pun.

Memeriksa hasil kerja Anda, dalam tiga perintah

DNS bukan tempat untuk berasumsi. Setiap record ini diterbitkan untuk dibaca oleh orang asing, artinya Anda bisa membacanya persis seperti yang akan mereka baca — tanpa akun, tanpa tool, tanpa situs tempat menempelkan domain Anda:

$ dig +short TXT      yourdomain.com
dig +short TXT _dmarc.yourdomain.com
dig +short MX       yourdomain.com

Ganti dengan domain Anda sendiri. Yang Anda cari adalah ini, di luar record TXT lain yang mungkin sudah Anda punya di nama itu:

"v=spf1 -all"
"v=DMARC1; p=reject; sp=reject; adkim=s; aspf=s"
10 smtp.grabmail.io.

Empat cara ini bisa salah, kira-kira diurutkan dari yang paling sering:

Perintah pertama tidak menjawab apa-apa sama sekali

Record-nya belum ter-propagate, atau ditambahkan ke nama yang salah. Record TXT pada domain itu sendiri ditaruh di @, bukan di www — panel yang secara default memakai nama terakhir yang Anda edit biasanya jadi penyebabnya.

Dua record SPF muncul sekaligus

Sebuah domain hanya boleh punya persis satu. Dua bukan berarti lebih ketat dari satu — itu error permanen, dan server penerima yang menemukan dua record akan menganggap pemeriksaan SPF-nya rusak, bukan sekadar gagal. Kalau Anda sudah punya record SPF sebelumnya, edit yang itu, jangan menambahkan yang kedua.

Baris DMARC-nya muncul tapi tidak ada yang menegakkannya

Baca nilainya dengan teliti: harus dimulai dengan v=DMARC1, dan tag-tagnya dipisahkan oleh titik koma. Record yang kehilangan tag versinya, atau yang titik koma-nya berubah jadi koma, bukan kebijakan yang lebih lemah — itu kebijakan yang tidak bisa diurai, yang dianggap sama dengan tanpa kebijakan sama sekali.

Jawaban MX-nya berubah

Seharusnya tidak. Kalau baris MX-nya sekarang hilang, atau cuma menampilkan satu titik polos, atau mendaftarkan host yang bukan smtp.grabmail.io, berhenti dan kembalikan dulu sebelum melakukan apa pun yang lain — itulah record yang menjadi sandaran kotak masuk Anda.

Bagian yang hampir semua orang lewatkan: subdomain

DMARC dan SPF tidak membagi namespace dengan cara yang sama, dan perbedaan itulah tempat domain yang sudah dilindungi dengan hati-hati justru bocor. sp=reject memang benar-benar mencakup setiap subdomain, ada atau tidak ada. SPF sama sekali tidak bekerja seperti itu: ia dicari berdasarkan nama persis yang ada di envelope, dan nama yang tidak punya record SPF sendiri ya tidak punya record SPF — ia tidak mewarisi milik induknya.

DMARC sudah mencakup baris kedua dengan sendirinya, jadi ini soal pengaman ganda, bukan menutup lubang — tapi record SPF wildcard cuma butuh satu baris dan menutup celah di lapisan SPF juga, yang penting bagi penerima yang memeriksa SPF tapi tidak menerapkan DMARC:

SPF wildcard — satu record TXT lagi* TXT v=spf1 -allSalin

Wildcard DNS hanya menjawab untuk nama-nama yang tidak punya record sendiri. Kalau mail.yourdomain.com sudah punya record TXT apa pun, wildcard-nya tidak akan dipakai untuk nama itu dan Anda perlu menerbitkan record SPF-nya secara eksplisit di sana. Untuk domain yang cuma dipakai sebagai catch-all, situasi seperti itu cukup langka — layak diketahui, tapi tidak perlu direncanakan khusus.

Laporan, dan apakah layak dimiliki

DMARC punya sisi pelaporan: tambahkan tag rua dan penerima yang berpartisipasi akan mengirimkan ringkasan harian soal segala sesuatu yang mengaku sebagai domain Anda dan apa yang terjadi padanya. Inilah satu-satunya bagian DMARC yang memberi tahu Anda sesuatu yang belum Anda ketahui, dan pada domain yang diarahkan ke sini, mengumpulkannya tidak berbiaya apa-apa, karena alamat tujuannya bisa berupa alamat di domain itu sendiri:

DMARC dengan pelaporan — ganti domainnyav=DMARC1; p=reject; sp=reject; adkim=s; aspf=s; rua=mailto:dmarc@yourdomain.comSalin

Mengirim laporan ke alamat pada domain yang sama menghindari satu bagian spesifikasi yang sering menjebak orang: kalau rua menyebut alamat di domain yang berbeda, domain lain itu harus menerbitkan record yang mengizinkannya menerima laporan Anda, dan sampai itu dilakukan, kebanyakan pengirim tidak akan mengirimkan apa pun. Domain yang sama, tidak perlu record semacam itu, tidak ada yang bisa salah. Apa yang akan tiba layak diketahui dulu sebelum Anda mengaktifkannya:

• Bentuknya XML, di-gzip, sebagai lampiran. Bukan ringkasan yang bisa dibaca sambil minum kopi. Domain kecil mendapat beberapa buah sehari dari provider kotak surat besar, masing-masing beberapa kilobyte; Anda akan butuh sesuatu untuk membongkar dan membacanya.
• Kosong adalah hasil yang bagus. Domain yang tidak mengirim apa pun seharusnya menghasilkan laporan yang isinya cuma kegagalan, dan minggu yang sepi berarti tidak ada yang sedang memalsukan Anda — dan itu adalah informasi, satu-satunya cara untuk mendapatkannya.
• Laporan itu datang sebagai surat biasa. Di sini artinya kotak surat biasa: bisa dibaca di browser dan lewat API seperti apa pun yang lain, dan terhapus setelah 5 hari bersama semua yang lain.

Kalau Anda lebih memilih untuk tidak mengumpulkannya sama sekali, hilangkan saja tag itu sepenuhnya. Record DMARC tanpa rua tetap record yang sepenuhnya valid dan melindungi sama baiknya; pelaporan adalah cara Anda mengetahui apa yang terjadi, bukan cara kebijakan itu ditegakkan.

Apa yang tidak dilakukan oleh ini semua

Record-record ini sempit cakupannya, dan bersikap jelas soal batasnya adalah beda antara kontrol yang Anda andalkan dengan benar dan yang Anda andalkan secara keliru. Empat hal yang tidak dicakupnya:

Tidak menyaring kotak masuk Anda sendiri

SPF dan DMARC pada domain Anda adalah instruksi untuk server yang menerima surat dari Anda. Itu dibaca oleh sistem surat milik orang lain, tidak pernah oleh sistem Anda sendiri, dan tidak berpengaruh apa pun pada apa yang muncul di catch-all Anda. Apa yang tiba tetap saja apa pun yang dikirim dunia ke alamat yang satu-satunya kredensialnya adalah mengetahui alamat itu.

Tidak menghentikan nama di baris From

Pesan yang bertuliskan Your Company <attacker@gmail.com> lolos setiap pemeriksaan, karena domain yang terautentikasi memang benar-benar milik penyerangnya. DMARC melindungi domainnya, bukan nama tampilan di depannya — dan di ponsel, nama tampilan itu sering kali satu-satunya yang ditampilkan.

Tidak menyentuh domain yang mirip

Domain yang beda satu karakter dari milik Anda adalah domain milik orang lain dengan record milik orang lain. Tidak ada apa pun yang Anda terbitkan menjangkaunya. Itu masalah registrar dan pemantauan, dan itu memang masalah yang sama sekali berbeda.

Tidak membuat kotak surat menjadi privat

Tetap tidak ada kata sandi pada sebuah alamat di sini: siapa pun yang tahu alamatnya bisa membacanya, itulah kompromi yang dibuat oleh seluruh layanan ini. Domain Anda sendiri menghilangkan tebak-tebakan, bukan menghilangkan kemampuan membaca — versi jujurnya ada di panduan tentang domain catch-all.

Mengerjakannya, dari awal sampai akhir

Seluruh pekerjaannya, dalam urutan yang membuat domain tetap bekerja di setiap langkah:

1. Pastikan MX-nya dulu. dig +short MX yourdomain.com seharusnya menjawab smtp.grabmail.io dan tidak ada yang lain. Perbaiki itu dulu sebelum menambahkan apa pun, karena sisanya tidak berguna pada domain yang tidak menerima surat.
2. Tambahkan record SPF pada @, kecuali sudah ada satu di sana — kalau begitu, edit yang itu, karena dua record adalah error, bukan pengaturan yang lebih ketat.
3. Tambahkan record DMARC pada _dmarc, langsung ke kebijakan ketat. Tidak ada rollout bertahap di sini dan tidak ada yang bisa rusak dengan melewatinya.
4. Tambahkan record DKIM wildcard pada *._domainkey, dan record SPF wildcard kalau Anda mau lapisan subdomainnya tertutup dua kali lipat.
5. Baca kembali keempatnya dengan dig, terhadap resolver publik, setelah TTL-nya sempat habis.
6. Kirim sesuatu ke diri Anda sendiri. Kirim surat ke salah satu alamat Anda sendiri di domain itu dari mana saja lalu buka kotak masuknya. Kalau surat itu sampai, sisi surat masuk selamat dari perubahan ini, dan itulah satu-satunya regresi yang layak diperiksa.

Selesai sudah domainnya: menerima setiap alamat yang pernah Anda karang di atasnya, dan tidak menjamin siapa pun sama sekali. Kalau Anda belum menghubungkan domainnya, mulai dari panduan catch-all — cuma satu record dan lima menit yang sama — lalu kembali ke halaman ini sesudahnya, urutan yang tidak meninggalkan apa pun setengah jalan.

Pertanyaan