Anti-spoofing untuk domain khusus (SPF, DKIM, dan DMARC)

Meskipun sifat email yang terbuka dan terdesentralisasi memberikan manfaat besar, kebebasan ini juga membuat email mudah disalahgunakan. Sebagai contoh, server apa pun yang terhubung ke internet dapat mengirimkan email ke teman Anda dengan berpura-pura sebagai Anda, sebuah serangan yang dikenal sebagai email spoofing.

Sangat disarankan bagi siapa saja yang menggunakan domain khusus dengan Proton Mail untuk menyiapkan SPF, DKIM, and DMARC guna memastikan email terkirim dengan baik.

Baca terus untuk mengetahui cara melindungi domain khusus dari jenis serangan seperti ini.

SPF

Catatan Sender Policy Framework (SPF) pada dasarnya memberi tahu dunia host atau IP mana saja yang diizinkan untuk mengirim email atas nama domain. Saat server email menerima email yang mengeklaim berasal dari domain, server tersebut dapat memeriksa catatan SPF untuk melihat apakah server pengirim tercantum.

Meskipun tidak wajib, sangat disarankan untuk menyiapkan catatan SPF yang menyertakan Proton Mail.

Hal ini tidak hanya akan membuat email terlihat lebih sah sehingga kecil kemungkinannya masuk ke folder spam, tetapi juga akan membantu melindungi domain dari penyerang yang mengirim email dengan header palsu yang berpura-pura sebagai Anda.

Di peramban, masuk ke akun Proton Mail, buka Pengaturan → Semua pengaturan → Nama domain, dan klik Ulas di samping domain yang ingin ditambahkan catatan SPF-nya.

Pilih tab SPF. Ini menampilkan catatan SPF yang disarankan untuk ditambahkan ke portal pengelolaan domain registrar. Klik ikon kecil di sebelah kiri entri untuk menyalinnya ke papan klip sistem.

Bagian “include:_spf.protonmail.ch” dari string teks berarti server Proton Mail diizinkan untuk mengirim atas nama domain. Jika ingin mempertahankan catatan SPF yang ada, cukup tambahkan string teks “include:_spf.protonmail.ch” di sebelah kanan catatan yang ada, setelah “v=spf1”. “mx” juga menyertakan catatan MX domain.

Bagian “~all” berarti jika email dikirim dari server mana pun yang tidak disertakan dalam string teks, email tersebut akan dianggap sebagai SoftFail. Artinya, server surat penerima akan menerima pengiriman email tersebut, tetapi akan menandatandainya sebagai SPF gagal. Alternatifnya adalah menggunakan parameter “-all” (HardFail).

Hal ini akan menyebabkan email ditolak, yang dapat mengakibatkan masalah pengiriman untuk email yang sah. Misalnya, SPF sering kali gagal selama penerusan email, di mana pengiriman dilakukan ke alamat A, yang secara otomatis meneruskannya ke alamat B. Setelah catatan SPF domain terdeteksi menyertakan Proton Mail, tab SPF akan menampilkan ikon centang hijau.

DKIM

Domain Keys Identified Mail (DKIM) adalah metode autentikasi email yang secara kriptografis memverifikasi apakah email dikirim oleh server tepercaya dan belum dimanipulasi.

Pada dasarnya, saat server mengirim email menggunakan domain, server akan menghitung hash terenkripsi dari konten email menggunakan kunci pribadi (yang hanya diketahui oleh server tepercaya) dan menambahkannya ke header email sebagai tanda tangan DKIM.

Server penerima akan memverifikasi konten email dengan mencari kunci publik yang sesuai di catatan DNS domain, mendekripsi hash terenkripsi, dan menghitung hash baru berdasarkan konten email yang diterima. Server kemudian membandingkan hash yang didekripsi dengan hash baru. Jika cocok, berarti email belum dimanipulasi, dan DKIM pun lolos. Jika tidak, DKIM gagal, dan email tersebut akan dicurigai.

Pelajari lebih lanjut tentang pengelolaan DKIM(jendela baru)

Catatan CNAME digunakan untuk mengelola rotasi kunci DKIM otomatis, yang merupakan praktik terbaik keamanan yang diterima. Silakan tambahkan dan simpan tiga catatan CNAME. Hal ini memastikan selalu ada kunci aktif yang digunakan untuk menyediakan layanan tanpa gangguan sementara kunci lainnya dinonaktifkan secara otomatis dan dibuat ulang secara berkala demi meningkatkan keamanan.

Semua ini terdengar rumit, tetapi penerapan DKIM untuk domain sangatlah mudah di Proton Mail. Diperlukan waktu beberapa jam untuk memverifikasi domain khusus saat pertama kali mengubah catatan DNS-nya untuk digunakan dengan Proton Mail. Setelah domain khusus diverifikasi, Proton Mail akan menghasilkan nama host dan nilai yang diperlukan untuk portal DNS domain. Lalu, Proton Mail akan membuat catatan CNAME yang diperlukan untuk rotasi kunci DKIM otomatis.

Notifikasi email akan dikirimkan untuk mengabarkan bahwa domain khusus, nama host, dan nilai sudah siap.

Pengguna baru

Di peramban, masuk ke akun Proton Mail dan buka Pengaturan → Semua pengaturan → Organisasi → Nama domain → kolom Tindakan → tombol Ulas di samping domain yang ingin ditambahkan catatan DKIM-nya.

Pilih tab DKIM. Di sini akan ditampilkan tiga nama host dan nilai yang perlu ditambahkan ke pengaturan DNS domain.

Setelah menambahkan catatan ini, Proton Mail akan menangani sisanya. Mengikuti praktik terbaik keamanan saat ini, kunci 2048-bit baru akan dibuat setiap enam bulan dan digunakan untuk menandatangani email.

Catatan CNAME yang ditambahkan ke pengaturan DNS domain harus sama persis dengan yang ditampilkan di panduan pengaturan. Setelah catatan ini terdeteksi di DNS, tab DKIM akan menampilkan ikon centang hijau. Pemberitahuan akan dikirimkan dan penandatanganan email keluar dari domain khusus dengan DKIM akan dimulai, sama seperti pada alamat Proton Mail lainnya.

PENTING: Beberapa registrar tidak menerima nilai CNAME yang diakhiri dengan tanda titik (sementara registrar lainnya mewajibkannya). Jika registrar tidak menerima catatan CNAME, hapus tanda titik di akhir setiap nilai CNAME dan coba lagi.

Pengguna yang saat ini menggunakan rotasi kunci DKIM manual

Sangat disarankan bagi siapa saja yang saat ini menggunakan rotasi kunci DKIM manual untuk meningkatkan ke sistem rotasi kunci otomatis yang baru. Langkah ini tidak hanya akan menghilangkan kebutuhan untuk memutar kunci secara manual, tetapi juga akan meningkatkan kekuatan kunci secara otomatis (jika sebelumnya menggunakan kunci 1024-bit).

Jika sebelumnya telah mengonfigurasi rotasi kunci DKIM manual untuk domain menggunakan catatan TXT, catatan ini perlu dihapus dari pengaturan DNS sebelum memasukkan catatan CNAME.

Pengaturan DNS perlu dikonfigurasi ulang dengan catatan CNAME karena memungkinkan sistem menyiapkan rotasi kunci otomatis, sedangkan catatan TXT saat ini tidak mendukungnya.

Setelah menghapus catatan TXT ini, silakan ikuti instruksi untuk pengguna baru. DKIM akan berhenti menandatangani email begitu catatan TXT dihapus. Untuk mempertahankan perlindungan DKIM, segera masukkan Nama Host dan nilai CNAME ke dalam pengaturan DNS.

DMARC

Saat mempelajari SPF and DKIM (di atas), mungkin timbul pertanyaan tentang bagaimana server penerima menangani email yang gagal dalam pemeriksaan tersebut. Di sinilah Domain-based Message Authentication, Reporting, and Conformance (DMARC) berperan.

DMARC memungkinkan pemilik domain untuk menentukan apa yang terjadi pada email yang gagal dan mendapatkan masukan saat email tersebut tiba. Pada dasarnya, ada tiga tindakan yang dapat diambil oleh server penerima jika pemeriksaan SPF dan DKIM gagal: none, quarantine, dan reject.

Di peramban, masuk ke akun Proton Mail dan buka Pengaturan → Pergi ke pengaturan→ Organisasi → Nama domain → kolom Tindakan → tombol Ulas di samping domain yang ingin ditambahkan catatan DMARC-nya.

Salin nama host TXT DMARC dan string nilai, lalu tambahkan ke domain di konsol pengelolaan domain registrar.

Nilai “p=” menentukan tindakan yang harus diambil untuk email yang gagal dalam pemeriksaan DMARC. Berikut adalah tindakan yang tersedia:

• p=quarantine: meminta platform penerima untuk menandai email yang tidak sah sebagai spam atau mengarantinanya.
• p=reject: meminta platform penerima untuk menolak email yang tidak sah.
• p=none: jangan mengarantina atau menolak email yang tidak sah. Biasanya, kebijakan ini hanya digunakan untuk pemecahan masalah atau pengujian.

Pengaturan bawaannya adalah none. Namun, untuk meningkatkan keamanan, disarankan untuk mengatur nilai ini ke p=quarantine.

Setelah yakin bahwa email yang sah lolos DMARC, pengaturan dapat diubah secara lebih agresif ke p=reject. Hal ini disarankan untuk dilakukan jika ada kemungkinan menjadi target email spoofing. Misalnya, Yahoo, PayPal, dan eBay menggunakan p=reject untuk mencegah pengirim spam meniru identitas mereka.

Parameter lainnya adalah rua=, yang menentukan alamat email tempat layanan email lain dapat mengirimkan laporan agregat sehingga jumlah email yang gagal dalam DMARC dapat dipantau.

Namun, harap diingat bahwa ada risiko dalam memilih tindakan DMARC yang lebih agresif. Misalnya, saat mengirim email ke milis yang kemudian meneruskannya ke penerima individu, hal ini akan merusak SPF. Sayangnya, beberapa milis juga mengubah konten email, yang merusak DKIM dan menyebabkan DMARC gagal, sehingga menimbulkan masalah pengiriman jika DMARC diatur ke quarantine atau reject. Inilah sebabnya mengapa DMARC diatur ke none secara bawaan.

Uji email

Setelah menyiapkan domain khusus, pengujian dapat dilakukan dengan mengirimkan email menggunakan Mail Tester(jendela baru).

Cukup kirim email menggunakan alamat domain khusus ke alamat unik yang ditampilkan di halaman web Mail Tester. Kemudian, periksa skor indikasi spamnya.

Jika SPF dan DKIM diatur dengan benar, skor 10/10 pasti bisa diperoleh!