erlindungan email bisnis di tahun 2026 berarti menempatkan filter di depan setiap kotak masuk pada domain Anda. Anda mengarahkan rekaman MX domain ke gateway penyaringan, yang memeriksa setiap pesan masuk dari spam, phishing, malware, dan spoofing, lalu meneruskan email yang bersih ke Microsoft 365, Google Workspace, cPanel/WHM, atau Exchange. SPF, DKIM, dan DMARC melindungi domain Anda sendiri agar tidak dipalsukan. iBlockSpam, layanan perlindungan email dari BroadNet, bekerja dengan cara ini, dengan harga tetap per domain.
Fakta telah diperiksa pada sumbernya pada 22 Oktober 2026: laporan tahunan IC3 FBI tahun 2025, Microsoft Learn, Bantuan Admin Google Workspace, Yahoo Sender Hub, pengumuman Microsoft Tech Community untuk Outlook.com, RFC Editor (RFC 5321, 6376, 7208, 7489, dan 9989), dan situs web resmi iBlockSpam. Setiap angka ditautkan ke sumbernya. Harga dan batasan dapat berubah, jadi periksa halaman langsung sebelum Anda membeli.
| Pertanyaan | Jawaban singkat |
|---|---|
| Seberapa besar masalah ini? | Pada tahun 2025, IC3 FBI mencatat 24.768 keluhan business email compromise dengan kerugian yang dilaporkan sebesar $3,05 miliar, dan 191.561 keluhan phishing/spoofing |
| Di mana posisi penyaringan masuk (inbound filtering)? | Pada rekaman MX: email mengalir dari pengirim → gateway penyaringan → platform email Anda → kotak masuk |
| Pengaturan Microsoft 365 | Konektor masuk mitra, terkunci pada filter, dengan Enhanced Filtering for Connectors yang diaktifkan |
| Pengaturan Google Workspace | Tambahkan filter sebagai gateway masuk di konsol Admin |
| Apa yang melindungi domain Anda sendiri? | SPF (RFC 7208), DKIM (RFC 6376) dan DMARC (RFC 7489, digantikan oleh RFC 9989 pada Mei 2026) |
| Aturan pengirim massal | Gmail dan Outlook.com mewajibkan SPF, DKIM, dan DMARC dari domain yang mengirim lebih dari 5.000 pesan per hari; Yahoo menerapkan hal yang sama kepada pengirim massal tanpa memublikasikan ambang batasnya |
| Harga iBlockSpam | Mulai dari $12 per domain per bulan dengan penagihan tahunan, dengan kotak surat tak terbatas |
Mengapa email bisnis masih menjadi pintu masuk utama
Laporan Kejahatan Internet 2025 dari FBI mencatat 1.008.597 keluhan dan kerugian yang dilaporkan sebesar $20,877 miliar. Phishing/spoofing adalah jenis kejahatan yang paling banyak dilaporkan, dengan 191.561 keluhan. Business email compromise (BEC) memiliki keluhan yang jauh lebih sedikit, yaitu 24.768, tetapi kerugian yang dilaporkan mencapai $3.046.598.558, naik dari $2.770.151.146 pada tahun 2024. Di antara jenis penipuan berbasis siber, hanya penipuan investasi yang merugikan korban lebih besar. Laporan tersebut juga mencatat bahwa bisnis melaporkan kerugian lebih dari $30 juta akibat penipuan BEC yang melibatkan AI.
Angka-angka ini hanya mencakup keluhan yang diajukan kepada IC3, sehingga angka tersebut menunjukkan tren alih-alih biaya secara penuh. Angka tersebut juga menunjukkan bahwa kedua ancaman tersebut bekerja bersama-sama. Phishing adalah serangan berbasis volume. BEC adalah hasil akhirnya, di mana email yang meyakinkan dari seorang "pemasok" atau "eksekutif" meminta seseorang untuk mengubah detail bank atau menyetujui transfer. IC3 mendefinisikan phishing sebagai email, pesan teks, dan panggilan telepon yang tidak diminta, sehingga skema yang sama juga berjalan melalui SMS. Panduan kami tentang pertahanan smishing mencakup sisi pesan teks.
Cara kerja penyaringan inbound: record MX yang menentukan
Di bawah SMTP (RFC 5321), server pengirim mencari catatan MX untuk domain Anda guna mengetahui ke mana email harus dikirim. Ke mana pun catatan tersebut mengarah, setiap pesan masuk akan diperiksa terlebih dahulu. Sebuah gateway penyaringan mengubah rute dari "pengirim → server email Anda" menjadi "pengirim → gateway → server email Anda". Gateway tersebut menerima koneksi, memeriksa reputasi dan autentikasi pengirim, memindai tautan dan lampiran, lalu mengirimkan pesan, mengarantinanya, atau menolaknya.
Kotak surat Anda tidak berpindah. Pengguna tetap menggunakan aplikasi, kata sandi, dan folder yang sama. Dua pengaturan lebih penting daripada hal lainnya. Pertama, setiap catatan MX harus mengarah ke gateway, karena cadangan MX yang terlupakan dan masih mengarah langsung ke server email Anda akan memungkinkan penyerang melewati filter. Kedua, platform email Anda hanya boleh menerima email internet masuk dari gateway. Perlindungan bawaan Microsoft tetap berjalan di belakang gateway, sehingga Anda mendapatkan dua lapisan independen alih-alih satu.
Microsoft 365, Google Workspace dan cPanel: spesifikasi platform
Microsoft 365 dan Exchange Online
Microsoft mendokumentasikan pengaturan ini dalam Manage mail flow using a third-party cloud service. Catatan MX mengarah ke layanan penyaringan, dan Anda membuat konektor masuk Partner yang hanya menerima email yang tiba dari sertifikat atau alamat IP layanan tersebut. Tanpa itu, penyerang dapat mengirim langsung ke tenant Anda dan melewati filter. Microsoft "sangat menyarankan" untuk mengaktifkan Enhanced Filtering for Connectors, yang juga disebut skip listing. Dengan adanya gateway di depan, setiap pesan tiba dari alamat IP gateway. Enhanced Filtering mempertahankan IP sumber asli dan informasi pengirim, sehingga pemeriksaan SPF, DKIM, DMARC dan anti-spoofing Microsoft tetap dapat melihat pengirim yang sebenarnya. Microsoft menyarankan untuk tidak sekadar melewati penyaringan spam untuk IP gateway, karena alamat-alamat tersebut sering kali digunakan bersama oleh banyak pelanggan.
Google Workspace
Dalam Google Workspace, Anda mendaftarkan filter sebagai inbound mail gateway di konsol Admin, mencantumkan alamat IP-nya, dan secara opsional, menolak semua email yang tidak berasal dari gateway. Google mencatat bahwa Gmail tidak menegakkan kebijakan DMARC pengirim pada pesan yang tiba melalui gateway, meskipun tetap menggunakan hasil autentikasi untuk melawan spam dan phishing. Oleh karena itu, gateway Anda sebaiknya melakukan pemeriksaan SPF, DKIM dan DMARC sendiri.
cPanel/WHM dan Exchange on-premises
Server hosting dan Exchange yang dikelola sendiri mengikuti logika MX yang sama. Sebelum Anda mengubah DNS, pastikan server mana yang sebenarnya menerima email untuk domain tersebut. Kemudian arahkan MX ke gateway, atur gateway untuk mengirimkan ke server Anda, dan batasi SMTP masuk hanya ke alamat gateway jika pengaturan Anda memungkinkan. Turunkan TTL pada rekaman MX satu hari sebelumnya agar perubahan maupun pemulihan (rollback) dapat segera berlaku.
SPF, DKIM dan DMARC: melindungi domain Anda sendiri
Penyaringan masuk (inbound filtering) melindungi pengguna Anda. Autentikasi domain melindungi semua orang yang menerima email yang diklaim berasal dari domain Anda. Masing-masing dari ketiga standar ini membuktikan hal yang berbeda:
- **SPF** (RFC 7208) memublikasikan server mana saja yang diizinkan mengirim email untuk domain Anda. Pemeriksaan dibatasi maksimal 10 mekanisme kueri DNS, sehingga rekaman dengan terlalu banyak entri "include" akan gagal.
- **DKIM** (RFC 6376) menambahkan tanda tangan kriptografi yang diverifikasi penerima terhadap kunci publik yang dipublikasikan di DNS Anda. Ini membuktikan bahwa domain penandatangan telah mengirimkan pesan tersebut dan pesan tersebut tidak diubah.
- **DMARC** (RFC 7489) menghubungkan SPF atau DKIM ke domain pada alamat From: yang terlihat, memberi tahu penerima apa yang harus dilakukan saat sebuah pesan gagal (none, quarantine, atau reject), dan mengirimkan laporan kepada Anda mengenai siapa saja yang mengirim email atas nama domain Anda.
Pada Mei 2026, IETF memublikasikan RFC 9989, spesifikasi DMARC yang telah diperbarui (pekerjaan "DMARCbis"), pada Standards Track. Ini menggantikan RFC 7489, dan dua RFC pendamping, 9990 dan 9991, mencakup pelaporan agregat dan kegagalan. Rekaman DMARC yang ada tetap berfungsi. Jalur yang biasa digunakan tetap sama: publikasikan p=none, baca laporannya, perbaiki setiap pengirim yang sah, lalu beralih ke quarantine dan akhirnya ke reject.
Domain serupa (lookalike domains), penyamaran, dan karantina
DMARC mencegah penyerang menggunakan domain persis milik Anda. Namun, ini tidak dapat menghentikan mereka untuk mendaftarkan domain yang serupa, dengan huruf yang ditukar, penambahan tanda hubung, atau akhiran yang berbeda, lalu mengirimkan pesan dari sana dengan SPF dan DKIM yang sepenuhnya valid. Banyak upaya BEC bekerja dengan cara ini, itulah sebabnya filter yang baik juga memeriksa penyamaran nama tampilan (display-name), domain pengirim yang baru terlihat, dan domain yang menyerupai nama Anda. Memantau registrasi domain yang menyerupai domain Anda akan memperingatkan Anda sebelum salah satu domain tersebut mulai mengirimkan email.
Karantina menentukan apakah orang akan menerima filter tersebut sama sekali. Email yang mencurigakan sebaiknya ditahan, bukan dihapus, dan setiap pengguna sebaiknya dapat melihat apa yang ditahan serta melepaskan pesan asli tanpa harus mengajukan tiket bantuan. Admin memerlukan tampilan menyeluruh di tingkat domain dan riwayat pesan untuk melacak keluhan apa pun mengenai email yang hilang. Layanan milik Microsoft sendiri, misalnya, secara default mengirimkan phishing dengan tingkat kepercayaan tinggi langsung ke karantina khusus admin. Putuskan sebelumnya siapa yang diperbolehkan melepaskan pesan apa.
Apa arti aturan pengirim Gmail, Yahoo, dan Outlook.com bagi domain Anda
Sejak 1 Februari 2024, panduan pengirim email Google mewajibkan setiap pengirim ke akun Gmail untuk menyiapkan SPF atau DKIM, menggunakan TLS, memiliki DNS forward dan reverse yang valid, serta menjaga tingkat spam yang dilaporkan di Postmaster Tools tetap di bawah 0,3%. Pengirim dengan lebih dari 5.000 pesan per hari juga harus memiliki SPF, DKIM, dan DMARC, dengan domain From: yang selaras, serta mendukung fitur berhenti berlangganan satu klik untuk email pemasaran. Sender Hub milik Yahoo menetapkan standar dasar yang sama: SPF atau DKIM untuk semua orang, keduanya ditambah DMARC minimal p=none untuk pengirim massal, tingkat spam di bawah 0,3%, dan permintaan berhenti berlangganan dipenuhi dalam waktu 2 hari. Yahoo menyatakan bahwa mereka tidak memublikasikan ambang batas volume untuk siapa yang dianggap sebagai pengirim massal.
Microsoft mengikuti langkah tersebut untuk alamat konsumen Outlook.com (hotmail.com, live.com, outlook.com). Pengumuman April 2025 mereka mewajibkan domain yang mengirimkan lebih dari 5.000 email per hari untuk lulus SPF dan DKIM serta memublikasikan DMARC minimal p=none, yang selaras dengan SPF atau DKIM. Mulai 5 Mei 2025, email yang tidak patuh akan ditolak dengan pesan kesalahan "550; 5.7.515 Access denied". Bagi bisnis pada umumnya, hal ini memiliki dua konsekuensi. Setiap platform yang mengirimkan email atas nama domain Anda, seperti CRM, alat penagihan, atau platform pemasaran, memerlukan autentikasi yang selaras. Dan setelah DMARC diberlakukan, hal ini juga membuat domain Anda jauh lebih sulit dipalsukan untuk menyerang pelanggan Anda sendiri. Untuk pengiriman transaksional dan pemasaran, Layanan email BroadNet menangani pengiriman terautentikasi melalui SMTP dan API.
Daftar periksa: memilih filter email masuk
- Apakah filter tersebut bekerja di depan platform Anda (Microsoft 365, Google Workspace, cPanel/WHM, Exchange) menggunakan metode terdokumentasi dari vendor, seperti konektor dengan Enhanced Filtering, atau gateway masuk?
- Apakah filter tersebut memeriksa SPF, DKIM, dan DMARC pada email masuk itu sendiri, serta mendeteksi penyamaran nama tampilan dan domain yang menyerupai domain Anda?
- Apakah setiap pengguna mendapatkan karantina pribadi dengan ringkasan, serta tampilan admin dan riwayat pesan yang dapat dicari?
- Apa yang terjadi jika server email Anda mati? Periksa periode spooling yang ditentukan.
- Apakah harga dihitung per pengguna atau per domain, dan berapa batas volume serta ukuran pesan yang menyertainya?
- Apakah pengaturan tersebut mencatat DNS Anda saat ini dan memberikan langkah-langkah rollback, serta apakah ada yang memantau MX, SPF dan DMARC untuk mendeteksi penyimpangan setelahnya?
- Di mana email diproses, apa yang disimpan, dan untuk berapa lama?
- Apakah ketentuan pengembalian dana, pembatalan, dan cara berhenti telah tertulis sebelum Anda menandatangani kontrak?
Email hanyalah satu saluran. Jika pelanggan Anda menerima kode OTP atau peringatan melalui SMS, terapkan disiplin yang sama di sana. Lihat panduan standar keamanan SMS OTP kami, dan gunakan MobileValidate untuk memeriksa nomor telepon dan alamat email sebelum Anda mengirim.
Peran iBlockSpam
iBlockSpam adalah bagian dari keluarga merek BroadNet. Berdasarkan halaman Cara kerjanya, Anda mengarahkan catatan MX Anda ke server penyaringan iBlockSpam, dan setiap pesan masuk akan diperiksa dari spam, virus, malware, phishing, dan spoofing sebelum email bersih diteruskan ke server yang sudah Anda gunakan. Langkah-langkahnya adalah periksa, konfigurasi, verifikasi, dan pantau. Wizard panduan akan menampilkan DNS saat ini dan DNS baru secara berdampingan serta menyimpan langkah-langkah rollback. iBlockSpam tidak mengedit DNS Anda untuk Anda. Fakta-fakta yang dipublikasikan:
- Bekerja dengan Microsoft 365, Google Workspace, cPanel/WHM, Exchange, dan server email lainnya.
- Karantina pribadi untuk setiap pengguna dengan ringkasan terjadwal, karantina admin bersama, dan riwayat pesan selama 30 hari.
- Jika server email Anda mati, email akan ditahan hingga 5 hari dan dikirimkan saat server sudah kembali aktif.
- Kotak surat dan alias domain tanpa batas. Setiap domain mencakup 100.000 pesan masuk per bulan, ukuran pesan maksimum 400 MB, dan 500 pesan relay keluar dengan penandatanganan DKIM.
- Lookalike Domain Watch, pemantauan laporan DMARC, dan peringatan drift MX/SPF/DMARC (mingguan pada Protect, harian pada Protect Plus).
- Email diproses di Amerika Serikat.
Harga adalah per domain, dalam USD, tidak termasuk pajak: **Protect** seharga $12 per domain per bulan dengan penagihan tahunan ($144 per tahun) atau $15 bulan-ke-bulan. **Protect Plus** seharga $19 dengan penagihan tahunan ($228 per tahun) atau $24 bulan-ke-bulan dan menambahkan pemantauan harian, laporan pemilik bulanan, serta sesi pengaturan dengan bantuan manusia. Tidak tersedia uji coba gratis. Sebagai gantinya, langganan tahunan pertama sebuah domain memiliki jaminan uang kembali selama 30 hari. Email Health Check gratis akan membaca MX, SPF, DMARC, dan selector DKIM umum tanpa akun. Pendekatan keamanan yang lebih luas dari BroadNet dan Trust Center mencakup sertifikasi grup tersebut.
Pertanyaan yang sering diajukan
Apakah filter spam bawaan Microsoft 365 sudah cukup untuk sebuah bisnis?
Bagi beberapa organisasi, hal itu sudah cukup. Microsoft 365 mencakup perlindungan anti-spam, anti-malware, dan anti-phishing untuk setiap kotak surat cloud, dan fitur ini aktif secara default. Gateway terpisah menambahkan lapisan independen di depannya, dengan deteksi sendiri, karantina pribadi, outage spooling, dan kontrol per-domain. Jika Anda menambahkannya, ikuti pengaturan yang didokumentasikan Microsoft: konektor Partner yang terkunci dengan Enhanced Filtering for Connectors yang diaktifkan.
Apa itu filter spam tingkat MX?
Filter spam tingkat MX adalah layanan yang dituju oleh record MX domain Anda, sehingga layanan tersebut menerima semua email masuk sebelum server email Anda. Layanan ini memeriksa setiap pesan terhadap spam, phishing, malware, dan spoofing, mengirimkan email bersih ke platform Anda yang sudah ada, dan menahan email yang mencurigakan di karantina. Kotak surat, aplikasi, dan kata sandi Anda tetap sama. Hanya rute yang ditempuh email untuk mencapainya yang berubah.
Apa itu Enhanced Filtering for Connectors dalam Exchange Online?
Enhanced Filtering for Connectors, yang juga disebut skip listing, adalah pengaturan Microsoft 365 untuk konektor masuk yang menerima email dari layanan yang berada di depan Exchange Online. Fitur ini melihat melampaui alamat IP gateway ke pengirim asli, sehingga pemeriksaan SPF, DKIM, DMARC, dan anti-spoofing milik Microsoft mengevaluasi sumber yang sebenarnya. Microsoft sangat menyarankannya setiap kali record MX Anda mengarah ke filter non-Microsoft.
Apakah SPF, DKIM, dan DMARC menghentikan email phishing?
Mereka menghentikan satu jenis phishing: email yang memalsukan domain persis milik Anda. Dengan DMARC pada opsi karantina atau penolakan, penerima dapat memblokir pesan yang secara palsu menggunakan alamat From: Anda. Mereka tidak menghentikan domain yang menyerupai (lookalike domains), akun yang disusupi pada pemasok asli, atau phishing yang dikirim dari akun gratis yang terautentikasi secara sah. Hal-hal tersebut memerlukan penyaringan masuk, pemeriksaan penyamaran, dan staf yang memverifikasi perubahan pembayaran melalui saluran kedua.
Apa yang berubah dengan aturan pengirim massal Gmail, Yahoo, dan Outlook.com?
Sejak Februari 2024, Gmail (di atas 5.000 pesan per hari) dan Yahoo (pengirim massal, tanpa ambang batas yang dipublikasikan) mewajibkan SPF dan DKIM, DMARC setidaknya p=none dengan penyelarasan (alignment), berhenti berlangganan satu klik, dan tingkat spam di bawah 0,3%. Sejak 5 Mei 2025, Outlook.com menolak email yang tidak patuh dari domain bervolume tinggi dengan error 550 5.7.515. Setiap pengirim membutuhkan setidaknya SPF atau DKIM.
Apa perbedaan antara phishing dan business email compromise?
Phishing adalah kategori luas: pesan yang tidak diminta yang menyamar sebagai organisasi tepercaya untuk mencuri kredensial, uang, atau data. Business email compromise adalah penipuan terarah terhadap perusahaan yang membayar pemasok atau memindahkan dana melalui transfer bank, dengan menggunakan akun email yang disusupi atau disamarkan untuk mengalihkan pembayaran. Laporan IC3 tahun 2025 dari FBI mencatat 191.561 keluhan phishing/spoofing dan 24.768 keluhan BEC, dengan kerugian BEC sebesar $3,05 miliar.
Apakah filter email akan memblokir pesan yang sah?
Filter apa pun dapat salah menilai sebuah pesan, jadi pengaman yang tepat adalah karantina alih-alih penghapusan. Carilah fitur karantina pribadi dengan ringkasan berkala agar pengguna dapat melepaskan pesan yang tertahan sendiri, karantina admin bersama, daftar pengirim yang disetujui untuk kontak yang dikenal, dan riwayat pesan untuk melacak apa yang terjadi. iBlockSpam, misalnya, menyediakan masing-masing fitur ini dan menyimpan riwayat pesan selama 30 hari.
Berapa biaya iBlockSpam?
iBlockSpam dihargai per domain dengan kotak surat (mailbox) tanpa batas. Protect seharga $12 per domain per bulan dengan penagihan tahunan ($144 per tahun) atau $15 per bulan. Protect Plus seharga $19 dengan penagihan tahunan ($228 per tahun) atau $24 per bulan, serta menambahkan pemantauan DNS harian, laporan pemilik bulanan, dan sesi pengaturan dengan bantuan manusia. Harga dalam USD belum termasuk pajak. Tidak tersedia uji coba gratis, namun langganan tahunan pertama dilengkapi dengan garansi uang kembali selama 30 hari.
Siap untuk melihat kondisi domain Anda? Jalankan Pemeriksaan Kesehatan Email secara gratis di iBlockSpam, lalu bandingkan paket Protect dan Protect Plus. Pengaturan hanya memerlukan perubahan MX ditambah langkah-langkah panduan di platform, dan kotak surat Anda akan tetap berada di tempat semula.