Berapa lama saya sebaiknya mempertahankan kebijakan DMARC saya pada none di Microsoft 365?

Google dan para pakar keamanan email merekomendasikan untuk mempertahankan kebijakan DMARC Anda pada p=none selama minimal satu minggu. Jangka waktu ini memastikan Anda menerima laporan agregat yang komprehensif, yang mencakup alur email bisnis mingguan maupun yang bersifat siklus.

Apa yang terjadi jika saya mempublikasikan dua rekaman DMARC untuk domain kustom saya?

Mempublikasikan beberapa rekaman DMARC membuat server email penerima menjadi bingung dan tidak menerapkan kebijakan apa pun, sehingga upaya keamanan Anda sepenuhnya sia-sia. Selalu pastikan domain Anda memiliki tepat satu rekaman TXT DMARC.

Panduan Penerapan DMARC di Microsoft 365: Dari None hingga Reject Tanpa Mengganggu Email

Q: Mengapa saya perlu mengaktifkan DKIM sebelum mengaktifkan DMARC?

DKIM menandatangani pesan secara kriptografis dan ikut terbawa bersama pesan tersebut, sehingga tetap berfungsi dalam skenario penerusan email yang sering kali merusak SPF. Dengan mengonfigurasi SPF dan DKIM secara benar, keselarasan DMARC akan lolos secara andal.

Q: Apakah Microsoft 365 mengirimkan laporan forensik DMARC?

Tidak. Meskipun Microsoft 365 akan mengirimkan laporan agregat (RUA) ke alamat pelaporan yang Anda tentukan, Microsoft 365 tidak akan membuat atau mengirim laporan forensik (RUF), meskipun hal itu diminta dalam rekaman DMARC Anda.

By Mirko Peters · 2026-10-21

Pelajari cara menerapkan DMARC di Microsoft 365 secara aman, mulai dari pemantauan hingga penolakan ketat, tanpa mengganggu pengiriman email bisnis yang sah di organisasi Anda.

Automatically translated with AI from the original post. Read the English original

Cover: SPF, DKIM and DMARC - Simply Explained

Menerapkan protokol autentikasi email di seluruh penyewa Microsoft 365 bisa terasa seperti menjinakkan bom jika dilakukan tidak berurutan. Panduan langkah demi langkah penerapan DMARC di Microsoft 365 ini membantu administrator TI bertransisi dengan aman dari pemantauan awal ke kebijakan penolakan ketat, tanpa secara tidak sengaja membuat faktur bisnis, kampanye pemasaran, atau notifikasi otomatis yang sah lenyap begitu saja.

Poin Penting

Selalu terapkan autentikasi email dengan urutan yang benar: SPF terlebih dahulu, lalu DKIM, dan terakhir DMARC.
Mulailah kebijakan DMARC Anda dengan p=none untuk memantau lalu lintas dan memetakan semua layanan pengiriman yang sah maupun yang tidak sah.
Hindari melampaui batas 10 pencarian SPF dengan mengaudit secara cermat layanan pihak ketiga, seperti platform pemasaran dan helpdesk.
Lakukan transisi secara bertahap melalui karantina dan pengaturan persentase sebelum menerapkan kebijakan penolakan ketat.
Konfigurasikan laporan agregat agar dikirim ke kotak surat bersama, bukan ke kotak masuk individu, untuk memastikan visibilitas yang berkelanjutan.

Aturan Emas Urutan Penerapan

Jika Anda hanya mengingat satu prinsip selama proyek penguatan keamanan, ingatlah urutan penerapannya. Organisasi sering mengalami masalah karena menerapkan standar secara terbalik. Karena sistem email bergantung pada protokol lama seperti SMTP yang dibangun atas dasar kepercayaan, bukan verifikasi, menerapkan kebijakan penegakan yang ketat sebelum memetakan infrastruktur Anda akan menyebabkan email yang sah gagal terkirim.

Urutan yang benar membangun jaring pengaman di setiap tahap. Anda harus menyusun daftar tamu, memasang segel anti-manipulasi, dan baru kemudian memperkenalkan wasit yang menyatukan semuanya. Melompat ke depan membuat Anda menebak-nebak alur email Anda sendiri, dan menebak adalah cara tercepat agar email perusahaan Anda diblokir oleh penerima eksternal.

Langkah Pertama: Menetapkan SPF dan Bahaya Batas Pencarian

Langkah pertama Anda adalah mempublikasikan rekaman Sender Policy Framework (SPF) di tingkat akar domain Anda. Anggap ini sebagai daftar tamu di pintu klub eksklusif. Rekaman ini secara eksplisit memberi tahu dunia server mana yang diizinkan mengirim email dengan nama domain Anda.

Saat menulis rekaman SPF Microsoft 365 awal Anda, akhiri dengan soft fail (~all) alih-alih hard fail (-all). Ini memberi tahu server penerima untuk memperlakukan email tidak sah dengan curiga, alih-alih langsung menolaknya. Masa tenggang ini memberi Anda ruang untuk menemukan layanan yang mungkin terlewat.

Menghindari Jebakan Sepuluh Pencarian

Kendala besar dalam pengelolaan SPF adalah batas ketat 10 pencarian. Setiap kali server penerima memproses rekaman SPF Anda dan menemukan mekanisme yang memerlukan kueri DNS terpisah, seperti platform otomasi pemasaran pihak ketiga, helpdesk layanan pelanggan, atau pemroses penggajian, pencarian tersebut akan mengurangi anggaran Anda sebesar satu.

Jika organisasi Anda menambahkan terlalu banyak layanan eksternal, total pencarian Anda akan melebihi sepuluh, sehingga seluruh evaluasi SPF gagal. Pemindaian terhadap jutaan domain menunjukkan bahwa sebagian persentase perusahaan yang mengejutkan secara tidak sengaja merusak keamanan email mereka sendiri dengan cara ini. Audit layanan Anda secara berkala agar jejak SPF Anda tetap ramping.

Langkah Kedua: Mengaktifkan DKIM di Microsoft 365

Setelah daftar tamu Anda dipublikasikan, Anda perlu cara untuk memastikan pesan tidak diubah selama dalam pengiriman. DomainKeys Identified Mail (DKIM) berfungsi seperti segel lilin digital yang dibubuhkan pada setiap pesan keluar. Segel ini berisi tanda tangan kriptografis yang mencakup baris subjek, isi pesan, dan alamat Dari yang terlihat.

Di Microsoft 365, email yang dikirim dari domain onmicrosoft.com bawaan Anda ditandatangani secara otomatis. Namun, domain bisnis kustom Anda tetap tidak ditandatangani sampai Anda secara eksplisit mengonfigurasi DKIM di pusat admin. Untuk melakukannya dengan benar, Anda harus membuat dua penunjuk selector (selector1 dan selector2) di DNS publik Anda. Pengaturan dua penunjuk ini memungkinkan Microsoft merotasi kunci penandatanganan dengan mulus di kemudian hari tanpa menyebabkan gangguan layanan.

Google dan penyedia besar lainnya menyarankan agar SPF dan DKIM berjalan lancar setidaknya selama 48 jam sebelum Anda mengubah DMARC. Masa penyesuaian ini memastikan pemeriksaan dasar Anda sudah kokoh sebelum sang wasit datang.

Langkah Ketiga: Menerapkan DMARC dalam Mode Pemantauan

Domain-Based Message Authentication, Reporting, and Conformance (DMARC) berperan sebagai wasit. DMARC tidak menjalankan pengujian tersendiri terhadap isi pesan; sebaliknya, DMARC memeriksa hasil pemeriksaan SPF dan DKIM Anda, lalu memverifikasi apakah hasil tersebut selaras dengan nama domain yang terlihat pada baris Dari.

Saat pertama kali mempublikasikan rekaman DMARC TXT Anda di _dmarc.yourdomain.com, parameter kebijakan Anda sebaiknya diatur secara ketat ke mode pemantauan: p=none. Dibaca dari kiri ke kanan, rekaman ini memberi tahu server penerima: "Ini adalah rekaman DMARC, untuk saat ini jangan ambil tindakan penegakan jika pemeriksaan gagal, dan kirimkan laporan agregat ke alamat email ini."

Jangan pernah melewatkan tahap pemantauan ini. Laporan agregat harian (RUA) yang dikirim dalam format file XML akan mengungkap setiap layanan, baik yang sah maupun berbahaya, yang mengirim email atas nama domain Anda. Arahkan laporan ini ke kotak surat bersama yang dipantau, bukan ke kotak masuk karyawan perorangan, agar laporan tidak terlewat saat karyawan sedang cuti.

Langkah Keempat: Meningkatkan dari Karantina ke Penolakan

Setelah tinjauan mingguan Anda menunjukkan bahwa semua aliran email yang sah lolos pemeriksaan keselarasan dengan bersih, saatnya mengencangkan baut. Parameter kebijakan DMARC bergerak melalui tiga sikap operasional yang berbeda:

None (p=none): Menara pengawas. Murni observasional, digunakan untuk audit dan pengumpulan data laporan agregat.
Quarantine (p=quarantine): Label peringatan. Memerintahkan server penerima untuk menandai email yang mencurigakan atau gagal, biasanya langsung mengalihkannya ke folder junk atau spam penerima.
Reject (p=reject): Pintu terkunci. Memerintahkan penerima untuk membuang pesan yang tidak terautentikasi atau dipalsukan sepenuhnya sebelum pesan tersebut sampai ke kotak masuk.

Agar transisi ini berjalan selancar mungkin, gunakan pengatur persentase DMARC (pct=). Anda dapat menerapkan karantina atau penolakan pada sebagian kecil email yang gagal, misalnya 10%, lalu 25%, lalu 50%, sebelum berkomitmen penuh. Penskalaan bertahap ini mencegah gangguan bisnis mendadak jika sebuah alat buletin liar terlewat dari perhatian Anda.

Kesimpulan

Mengamankan infrastruktur email organisasi Anda dari Business Email Compromise (BEC) dan pemalsuan domain membutuhkan kesabaran serta strategi penerapan yang sistematis. Dengan menetapkan SPF, mengaktifkan DKIM, dan secara cermat menaikkan kebijakan DMARC Anda dari observasi hingga penolakan ketat, Anda melindungi nama perusahaan dan memastikan komunikasi resmi Anda selalu sampai ke tujuannya.

Untuk mendalami mekanisme protokol autentikasi email, Dengarkan episode lengkapnya untuk mendapatkan wawasan dari para ahli, strategi arsitektur praktis, dan panduan langsung untuk penyewa Microsoft 365 Anda.

Pertanyaan Umum

Berapa lama saya sebaiknya mempertahankan kebijakan DMARC di Microsoft 365 pada nilai none?

Google dan para pakar keamanan email menyarankan agar kebijakan DMARC Anda tetap diatur ke p=none setidaknya selama satu minggu. Jangka waktu ini memastikan Anda menangkap laporan agregat yang komprehensif, yang mencakup alur email bisnis mingguan dan siklus lainnya.

Mengapa saya perlu mengaktifkan DKIM sebelum mengaktifkan DMARC?

DKIM menandatangani pesan secara kriptografis dan ikut bersama pesan tersebut, sehingga tetap bertahan dalam skenario penerusan email yang sering merusak SPF. Mengonfigurasi SPF dan DKIM dengan benar memastikan keselarasan DMARC lolos secara andal.

Apakah Microsoft 365 mengirimkan laporan forensik DMARC?

Tidak. Meskipun Microsoft 365 akan mengirim laporan agregat (RUA) ke alamat pelaporan yang Anda tentukan, Microsoft 365 tidak akan membuat atau mengirim laporan forensik (RUF), bahkan jika hal tersebut diminta dalam catatan DMARC Anda.

Apa yang terjadi jika saya menerbitkan dua catatan DMARC untuk domain kustom saya?

Menerbitkan beberapa catatan DMARC membuat server email penerima bingung dan tidak menerapkan kebijakan apa pun, sehingga seluruh upaya keamanan Anda menjadi sia-sia. Pastikan domain Anda selalu memiliki tepat satu catatan TXT DMARC.