Penerusan
- SPF192.0.2.80 tidak ada di SPF example.com
- DKIMtanda tangan utuh
Laporan menunjukkanspf=fail dkim=pass → pass
Tanda tangani semuanya dengan DKIM; DKIM bertahan saat diteruskan. ARC (RFC 8617) membantu penerus menjamin.
Tema
Cek record DMARC domain mana pun seperti cara server email penerima membacanya: di mana kebijakan ditemukan, apa yang terjadi pada email yang gagal, apakah laporan sampai ke seseorang, dan apa yang dibutuhkan SPF dan DKIM sebelum Anda menegakkannya.
Ketik sebuah domain di atas: pemeriksa menanyakan record TXT di _dmarc. ditambah domain ke DNS, naik ke domain organisasi jika tidak ada (RFC 9989 §4.10), dan menunjukkan apa yang dilakukan server penerima terhadap email yang gagal.
Secara manual, tanyakan nama yang sama: dig +short TXT _dmarc.paypal.com, atau nslookup -type=TXT _dmarc.paypal.com di Windows. Satu jawaban yang diawali v=DMARC1 adalah recordnya; dua jawaban berarti penerima tidak memakai keduanya (RFC 9989 §4.10).
dig berhenti di situ. Ia tidak naik dari subdomain, tidak mengecek apakah alamat laporan mau menerima laporan, dan tidak menunjukkan RFC mana yang diikuti penerima. Itulah yang ditambahkan pemeriksa ini.
dig +short TXT _dmarc.example.comSetiap jawaban di nama itu. Yang diawali v=DMARC1 adalah recordnya.
Apa yang ditunjukkan dig, dan apa yang tidak
$ dig +short TXT _dmarc.paypal.com 1
"v=DMARC12; p=reject; rua=mailto:d@rua.agari.com,mailto:dmarc_agg@vali.email; ruf=mailto:d@ruf.agari.com,mailto:MTc4Mzcw@ruf.vali.email3"
$ dig TXT _dmarc.mail.google.com | grep status 4
;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN
Jawaban datang lebih dulu, sebagai satu kalimat. Di bawahnya, buktinya: record seperti yang diurai penerima, setiap tag diwarnai tepat di atas karakternya, dan di atas latar navy jalur yang ditempuh server penerima untuk domain ini, berakhir pada apa yang dilakukannya terhadap email yang gagal.
Tanpa skor: kebijakan di none adalah sebuah fase, bukan kegagalan, dan tangga di bawah jalur menjelaskan apa yang dibutuhkan langkah berikutnya.

KesimpulanSatu kalimat tentang apa yang dilakukan penerima terhadap email yang gagal, dengan kebijakan, SPF, dan DKIM sekilas.RecordSetiap tag diwarnai di atas karakternya: arahkan kursor atau ketuk satu tag untuk melihat fungsinya. Default ada di bawahnya.Sudut pandang penerimaSetiap pertanyaan DNS yang diajukan server penerima untuk domain, berurutan, beserta jawabannya.Email yang gagal DMARCApa yang dilakukan penerima untuk domain, subdomain yang ada, dan nama yang tidak ada.Tangga penegakanDi mana domain berada antara none dan reject, dan apa yang dibutuhkan langkah berikutnya.DMARC memberi tahu server email penerima apa yang harus dilakukan terhadap email yang memakai domain Anda di baris From: tetapi tidak bisa membuktikan berasal dari Anda, dan ke mana laporan tentangnya dikirim (RFC 9989 §4.7).
Buktinya adalah SPF atau DKIM yang aligned dengan domain From:: SPF pass untuk domain bounce di organisasi yang sama, atau tanda tangan DKIM dengan d= domain Anda. Satu pass yang aligned sudah cukup (RFC 9989 §5.3.5); selain itu gagal DMARC, dan kebijakan record yang menentukan: kirim, folder spam, atau tolak.
Laporan adalah separuh lainnya. Penerima yang menghormati rua mengirim ringkasan harian setiap server yang mengirim atas nama domain Anda, dan dari situlah Anda menemukan pengirim sah yang terlupakan sebelum menegakkan kebijakan.
Dua pesan, satu baris From:
Tagihan Anda, dikirim lewat layanan emaillewat layanan yang diatur dengan DKIM kustom, sehingga menandatangani dengan d=example.com
Tagihan palsu dari 203.0.113.9server yang tidak pernah diotorisasi example.com
550 5.7.1 Email rejected per DMARC policy for example.com
Laporan agregat besok ke dmarc@example.com: 1 pesan dari 203.0.113.9, SPF fail, DKIM tidak ada, disposisi reject.
p=none meminta penerima mengirim email yang gagal seperti biasa dan hanya melaporkannya; quarantine meminta mereka memperlakukannya sebagai mencurigakan, biasanya folder spam; reject meminta mereka menolaknya saat percakapan SMTP.
None adalah sebuah fase, bukan kegagalan: RFC 9989 §7.4 menyarankan setidaknya sebulan di sana dengan laporan yang mengalir, dan selama itu lagi di quarantine, sebelum reject. Domain yang penggunanya memposting ke milis sebaiknya berhenti di quarantine.
Penyedia kotak surat besar pun berbeda-beda: gmail.com dan outlook.com memublikasikan p=none untuk domain itu sendiri dan sp=quarantine untuk subdomain, sedangkan google.com, yahoo.com, dan microsoft.com memublikasikan reject.
Ke mana email palsu berakhir
Terkirimp=none
apache.orggmail.comsamsung.com
23 dari 192
Folder spamp=quarantine
github.comapple.comamazon.com
30 dari 192
Ditolakp=reject
google.compaypal.commicrosoft.com
139 dari 192
Ya, jika Anda mengirim massal ke Gmail, Yahoo, atau Outlook.com: ketiganya mewajibkan record DMARC, dan p=none sudah cukup untuk memenuhi aturan. Penegakan (quarantine atau reject) yang menghentikan orang lain mengirim atas nama domain Anda, dan logo BIMI membutuhkannya.
Gmail mewajibkannya sejak 1 Februari 2024 bagi pengirim lebih dari 5.000 pesan sehari ke akun Gmail; Yahoo sejak Februari 2024, tanpa menyebut volume; Outlook.com sejak 5 Mei 2025, di atas 5.000 sehari. Tanpa record, Gmail menjawab 4.7.31 (dan 4.7.32 jika From: tidak aligned), sedangkan Outlook.com menolak dengan 550 5.7.515.
Untuk domain yang tidak mengirim apa pun, DMARC adalah perlindungan termurah: p=reject, null MX, dan v=spf1 -all, seperti yang dipublikasikan example.com (M3AAWG).
Apa yang diminta setiap penyedia kotak surat dari pengirim massal
4.7.31 · 4.7.32DMARC harus pass550 5.7.515✓Wajib: sebuah record, p=none atau lebih ketatiPerlindungan: quarantine atau reject
Temukan sumber yang gagal di laporan agregat, lalu perbaiki di pengirimnya: tanda tangani dengan DKIM untuk domain Anda sendiri, atau pindahkan ke domain bounce di dalam organisasi Anda. Tiga penyebab mencakup sebagian besar kegagalan.
Penerusan mempertahankan tanda tangan DKIM tetapi merusak SPF, jadi DKIM yang membawa pass. Milis yang mengubah pesan merusak keduanya. Dan layanan email yang menandatangani dengan domainnya sendiri lolos DKIM untuk dirinya, bukan untuk Anda: aktifkan DKIM kustom layanan itu (biasanya CNAME seperti s1._domainkey) dan return path kustom.
Tiga kegagalan, apa yang ditunjukkan laporan, dan perbaikannya
Laporan menunjukkanspf=fail dkim=pass → pass
Tanda tangani semuanya dengan DKIM; DKIM bertahan saat diteruskan. ARC (RFC 8617) membantu penerus menjamin.
Laporan menunjukkanspf=fail dkim=fail → fail
Milis yang menulis ulang From: memperbaikinya; domain yang penggunanya memposting ke milis berhenti di quarantine (RFC 9989 §7.4).
Laporan menunjukkandkim=pass(esp.example) → fail
Aktifkan DKIM kustom vendor: s1 dan s2 milik paypal.com adalah CNAME ke SendGrid, yang menandatangani sebagai paypal.com.
Subdomain tanpa record sendiri mendapat kebijakan domain organisasinya: sp untuk subdomain yang ada, np untuk nama yang tidak ada, masing-masing kembali ke p (RFC 9989 §4.7).
Subdomain yang memublikasikan record sendiri memakainya untuk dirinya. Tetapi record di antara sebuah nama dan domain organisasinya tidak pernah dipakai untuk nama itu: pohon berkeley.edu menunjukkannya, di mana sp=none milik eecs.berkeley.edu tidak sampai ke www.eecs.berkeley.edu (RFC 9989 §4.10.1).
np adalah kemenangan murah: nama yang tidak ada tidak mengirim email sungguhan, jadi np=reject memblokir pemalsuan dari nama itu bahkan saat p masih di none. Penerima RFC 7489 tidak mengenal np dan memakai sp.
Pohon berkeley.edu, seperti dibaca penerima
sp=none milik eecs.berkeley.edu tidak pernah diterapkan: record di antara sebuah nama dan domain organisasinya tidak dipakai untuk nama itu (RFC 9989 §4.10.1). Pemeriksa menandainya sebagai record yang tidak dipakai.
Laporan agregat adalah berkas XML harian dari setiap penerima yang mencantumkan setiap server yang mengirim email atas nama domain Anda, berapa pesannya, dan apakah SPF, DKIM, dan DMARC pass (RFC 9990).
Bacalah per sumber: server dan layanan Anda sendiri seharusnya menunjukkan pass yang aligned; layanan dikenal yang gagal butuh DKIM kustomnya; alamat tak dikenal yang gagal di p=reject adalah pemalsuan, yang sudah dihentikan. Layanan laporan (dmarcian, Valimail, EasyDMARC, Postmark, dan lainnya) mengubah ribuan berkas menjadi daftar itu.
Laporan ke alamat di domain lain hanya tiba jika domain itu setuju: ia memublikasikan yourdomain._report._dmarc.its-host dengan v=DMARC1 (RFC 9990 §4). Pemeriksa menanyakannya untuk Anda, dan memberikan record persis yang diperlukan jika belum ada.
Satu laporan, dibaca baris demi baris
<org_name>google.com</org_name>1
<date_range>23 Okt, 00.00 UTC – 24 Okt, 00.00 UTC</date_range>
<policy_published>example.com · p=reject</policy_published>2
<source_ip>198.51.100.24</source_ip> <count>412</count> dkim=pass spf=fail → none3
<source_ip>203.0.113.9</source_ip> <count>37</count> dkim=fail spf=fail → reject4
paypal.com._report._dmarc.rua.agari.com TXT "v=DMARC1;"✓ diotorisasi: laporan mengalirLayanan laporan yang dikenali pemeriksadmarcianValimailEasyDMARCPostmarkCloudflareMimecastProofpointAgariRed SiftPowerDMARC+6 lagi
Ada yang kurang?Usulkan fitur atau alat baru
Validasi rekaman SPF dan periksa jumlah pencarian DNS sesuai RFC 7208
Verifikasi rekaman DKIM dengan deteksi selektor otomatis
Cek record BIMI, logo SVG Tiny PS, sertifikat VMC, dan kotak masuk penampil
Buat record DMARC Anda untuk RFC 9989, dimulai dari record yang Anda publikasikan sekarang, dan lihat yang akan dilakukan penerima pada email yang gagal.
Parsing header email mentah dan lacak perjalanan email
Temukan rekaman mail exchange dan detail server email