DMARC p=none: Sudah Aktif, tetapi Apakah Domain Sudah Terlindungi?

Sebuah domain dapat memiliki record DMARC yang valid tetapi belum meminta penerima email mengambil tindakan terhadap pesan yang gagal autentikasi. Kondisi ini biasanya terjadi ketika kebijakan DMARC masih menggunakan p=none.

Dalam tahap ini, DMARC sudah memberikan laporan dan visibilitas terhadap penggunaan domain. Namun, email yang gagal pemeriksaan DMARC tidak otomatis diminta masuk ke spam atau ditolak.

Artinya, status “DMARC aktif” belum selalu sama dengan “domain sudah berada pada tahap enforcement”. Perusahaan perlu memahami fungsi p=none, membaca laporan yang dihasilkan, lalu menentukan langkah berikutnya tanpa mengganggu pengiriman email yang sah.

Apa Arti DMARC p=none?

Nilai p pada record DMARC menunjukkan kebijakan yang diminta pemilik domain kepada sistem penerima ketika sebuah email gagal pemeriksaan DMARC.

Pada kebijakan p=none, sistem penerima tidak diminta mengubah perlakuan terhadap email hanya karena pesan tersebut gagal DMARC. Filter spam dan kontrol keamanan lain tetap dapat bekerja, tetapi tidak ada tindakan tambahan yang diminta oleh kebijakan DMARC itu sendiri.

DMARC.org menjelaskan bahwa p=none memungkinkan pemilik domain menerima laporan mengenai penggunaan domain tanpa mengubah cara pesan diproses. Karena itu, kebijakan ini tepat digunakan sebagai tahap monitoring awal.

Contoh sederhana record pada tahap monitoring adalah:

v=DMARC1; p=none; rua=mailto:[email protected]

Alamat pada bagian rua digunakan untuk menerima laporan agregat dari penyedia email yang mendukung DMARC reporting.

Apa yang Diberikan oleh Kebijakan p=none?

Nilai utama p=none bukan pemblokiran, melainkan visibilitas. Laporan DMARC dapat membantu perusahaan melihat sumber yang mengirim email menggunakan domainnya dan hasil autentikasi dari setiap sumber tersebut.

Informasi ini penting karena email perusahaan tidak selalu hanya dikirim melalui Google Workspace atau Microsoft 365. Domain yang sama juga dapat digunakan oleh aplikasi invoice, CRM, email marketing, helpdesk, sistem rekrutmen, aplikasi internal, dan layanan pihak ketiga lainnya.

Melalui tahap monitoring, perusahaan dapat:

• mengidentifikasi sumber pengiriman email yang sah
• menemukan aplikasi lama atau layanan yang belum terdokumentasi
• melihat kegagalan SPF, DKIM, atau alignment
• membedakan kesalahan konfigurasi dengan sumber yang tidak dikenal
• menilai dampak sebelum kebijakan diperketat

Tanpa proses ini, perpindahan langsung ke kebijakan yang lebih ketat dapat membuat email sah ikut masuk ke spam atau ditolak.

Mengapa p=none Belum Memberikan Enforcement?

DMARC memeriksa apakah email yang terlihat berasal dari domain perusahaan memiliki autentikasi SPF atau DKIM yang selaras dengan domain pada alamat pengirim. Ketika pemeriksaan tersebut gagal, nilai kebijakan menentukan tindakan yang diminta kepada sistem penerima.

Pada p=none, tidak ada permintaan untuk mengarantina atau menolak pesan yang gagal. Kebijakan ini memberi visibilitas, tetapi belum meminta perlindungan pada level enforcement terhadap exact-domain spoofing.

Hal ini tidak berarti p=none tidak berguna. Masalah muncul ketika perusahaan menganggap monitoring sebagai tahap akhir dan membiarkan kebijakan tersebut tanpa evaluasi lanjutan.

Di sisi lain, DMARC juga bukan solusi untuk seluruh bentuk impersonation. Kebijakan yang sudah mencapai p=reject membantu mengurangi penggunaan exact domain yang gagal autentikasi, tetapi tidak otomatis menghentikan lookalike domain, display-name impersonation, atau email yang dikirim dari akun sah yang sudah disusupi.

Baca juga: Email Security, DMARC, dan Backup: Tiga Lapisan Perlindungan Sistem Email Bisnis

Perbedaan p=none, p=quarantine, dan p=reject

Kebijakan	Fungsi utama	Perlakuan yang diminta saat DMARC gagal
p=none	Monitoring dan pengumpulan laporan	Tidak meminta tindakan khusus
p=quarantine	Enforcement bertahap	Meminta pesan diperlakukan sebagai mencurigakan, biasanya diarahkan ke spam atau karantina
p=reject	Enforcement paling ketat	Meminta pesan yang gagal ditolak

Dokumentasi Microsoft juga membedakan perlakuan terhadap kegagalan DMARC berdasarkan kebijakan pengirim: tidak ada tindakan khusus pada p=none, penempatan ke junk atau quarantine pada p=quarantine, dan penolakan pada p=reject.

Apa yang Perlu Dicek Sebelum Menaikkan Kebijakan?

Perusahaan tidak sebaiknya menaikkan kebijakan hanya karena sebuah alat pemeriksa menampilkan rekomendasi untuk menggunakan quarantine atau reject. Perubahan perlu didasarkan pada hasil monitoring dan validasi sumber pengiriman.

Beberapa hal yang perlu diperiksa adalah:

• seluruh platform dan aplikasi yang mengirim email menggunakan domain perusahaan
• status SPF dan DKIM pada setiap sumber yang sah
• alignment antara domain autentikasi dan domain pada alamat From
• subdomain yang digunakan untuk pengiriman email
• pola kegagalan yang muncul pada laporan DMARC
• proses pemantauan setelah kebijakan diubah

Sumber yang hanya mengirim email secara berkala juga perlu diperhatikan. Aplikasi yang mengirim laporan bulanan atau notifikasi tertentu mungkin belum muncul jika masa monitoring terlalu singkat.

Cara Berpindah dari Monitoring Menuju Enforcement

Google merekomendasikan penerapan DMARC secara bertahap. Proses dimulai dari p=none untuk mengumpulkan data, dilanjutkan dengan p=quarantine pada sebagian kecil lalu lintas email, lalu cakupannya ditingkatkan setelah tidak ditemukan masalah pada pengiriman sah.

Urutan yang umum digunakan adalah:

1. aktifkan p=none dan kumpulkan laporan
2. petakan seluruh sumber pengiriman yang sah
3. perbaiki SPF, DKIM, dan alignment yang gagal
4. terapkan p=quarantine secara bertahap
5. pantau dampaknya terhadap pengiriman email
6. naikkan menuju p=reject setelah lalu lintas email yang sah tervalidasi

Durasi setiap tahap tidak harus sama untuk semua perusahaan. Lingkungan dengan satu platform email dan sedikit aplikasi pengirim dapat lebih sederhana dibanding domain yang digunakan oleh banyak unit bisnis, vendor, dan sistem lama.

Pertanyaan yang Sering Diajukan

Apakah DMARC p=none Tetap Berguna?

Ya. p=none berguna untuk mengumpulkan laporan, mengenali sumber pengiriman, dan menemukan masalah autentikasi sebelum enforcement diterapkan. Namun, kebijakan ini sebaiknya diperlakukan sebagai tahap monitoring, bukan tujuan akhir perlindungan domain.

Apakah Bisa Langsung Menggunakan p=reject?

Secara teknis bisa, tetapi berisiko jika seluruh sumber pengiriman yang sah belum terinventarisasi dan dikonfigurasi dengan benar. Email bisnis dari aplikasi atau vendor yang gagal alignment dapat ikut ditolak.

Berapa Lama Domain Perlu Berada pada p=none?

Tidak ada durasi yang berlaku untuk semua perusahaan. Monitoring perlu berjalan cukup lama untuk mencakup pola pengiriman normal, termasuk aplikasi yang hanya mengirim email mingguan atau bulanan. Google menyarankan memulai dengan monitoring setidaknya selama satu minggu, lalu meninjau laporan sebelum melanjutkan.

Apakah p=reject Menghentikan Semua Peniruan Identitas?

Tidak. p=reject membantu mengurangi exact-domain spoofing yang gagal autentikasi. Kebijakan ini tidak otomatis menghentikan lookalike domain, pemalsuan nama tampilan, atau penyalahgunaan akun sah yang sudah dikompromikan.

DMARC Aktif Perlu Diikuti dengan Evaluasi Kebijakan

DMARC p=none merupakan langkah awal yang penting karena memberikan visibilitas terhadap penggunaan domain dan kondisi autentikasi email. Namun, status tersebut belum berarti penerima diminta mengarantina atau menolak pesan yang gagal DMARC.

Perlindungan domain membutuhkan proses bertahap: memetakan sumber pengiriman, memperbaiki SPF dan DKIM, membaca laporan, lalu bergerak menuju enforcement tanpa mengganggu email bisnis yang sah.