DKIM Google Workspace: Cara Setting google._domainkey & Cek di Gmail

Untuk mengaktifkan DKIM Google Workspace, buka Admin console, masuk ke Apps > Google Workspace > Gmail > Authenticate email, lalu buat kunci baru. Salin record TXT google._domainkey ke DNS domain Anda, tunggu record aktif, kemudian klik Start authentication sampai statusnya berubah menjadi “Authenticating email with DKIM”.

DKIM (DomainKeys Identified Mail) adalah tanda tangan digital di header email. Server penerima seperti Gmail mencocokkan tanda tangan itu dengan kunci publik yang Anda pasang di DNS. Kalau cocok, penerima tahu email benar dikirim dari domain Anda dan isinya tidak diubah di perjalanan.

Panduan ini melengkapi artikel cara memasang SPF Google Workspace. SPF menjawab “server mana yang boleh mengirim”, sedangkan DKIM menjawab “apakah email ini asli dari domain tersebut”. Keduanya dibutuhkan agar DMARC bisa bekerja.

Kenapa DKIM Gmail Wajib Dipasang Sekarang

Sejak 1 Februari 2024, Google memberlakukan syarat pengirim untuk semua email yang masuk ke akun Gmail. Per Oktober 2026, aturan ini masih berlaku dan menjadi alasan utama banyak email bisnis tiba-tiba masuk spam atau ditolak.

Syaratnya dibagi dua kelompok. Pengirim biasa cukup memenuhi syarat dasar. Pengirim massal, yaitu yang mengirim lebih dari 5.000 pesan per hari ke Gmail, harus memenuhi syarat tambahan.

Untuk email sehari-hari dari Google Workspace, SPF saja secara teknis sudah memenuhi syarat dasar. Masalahnya, SPF sering gagal ketika email diteruskan (forward). DKIM tetap utuh dalam kondisi itu, sehingga memasang keduanya jauh lebih aman. Penjelasan konsep ketiganya ada di artikel mengenal SPF, DKIM, dan DMARC.

Yang Perlu Disiapkan Sebelum Setting DKIM Google

• Akun super admin Google Workspace, atau admin dengan hak Gmail Settings.
• Akses ke panel DNS domain (registrar, Cloudflare, cPanel, atau penyedia DNS lain).
• Gmail sudah aktif untuk organisasi Anda. Google menyebut kunci DKIM baru bisa dibuat 24–72 jam setelah Gmail diaktifkan. Sebelum itu, Anda bisa melihat error bahwa record DKIM tidak dibuat.
• Satu akun Gmail lain (pribadi atau milik rekan) untuk pengujian.

Jika domain Anda dibeli lewat partner Google saat mendaftar Workspace, DKIM bisa jadi sudah terpasang otomatis. Cek dulu dengan perintah dig di bagian pengecekan sebelum membuat kunci baru.

Cara Mengaktifkan DKIM Google Workspace Langkah demi Langkah

Prosesnya terdiri dari tiga tahap: membuat kunci di Admin console, memasang record di DNS, lalu menyalakan autentikasi. Jangan klik Start authentication sebelum record DNS tersimpan.

Tahap 1: Buat kunci DKIM di Admin console

1. Login ke admin.google.com dengan akun admin.
2. Buka menu Apps > Google Workspace > Gmail.
3. Klik Authenticate email.
4. Di menu Selected domain, pilih domain yang ingin diatur. Jika Anda punya beberapa domain, ulangi proses ini untuk masing-masing domain.
5. Klik Generate New Record.
6. Pilih panjang kunci 2048 bila penyedia DNS mendukung. Pilih 1024 hanya jika DNS Anda menolak kunci panjang.
7. Biarkan prefix selector berisi google, kecuali domain Anda sudah memakai selector itu untuk layanan lain.
8. Klik Generate. Halaman akan menampilkan DNS Host name dan TXT record value.

Setelah kunci dibuat, halaman Authenticate email bisa menampilkan pesan “You must update the DNS records for this domain” hingga 48 jam. Pesan itu boleh diabaikan selama record di DNS sudah benar.

Tahap 2: Tambahkan record google._domainkey di DNS

Buka panel DNS domain, lalu buat record TXT baru dengan isi berikut.

Apa itu google._domainkey? Itu nama host tempat kunci publik DKIM disimpan. Bagian google adalah selector, sedangkan ._domainkey adalah awalan baku DKIM. Gmail penerima membaca selector dari header email, lalu mencari kunci di google._domainkey.domainanda.com.

Kesalahan yang paling sering terjadi di panel cPanel atau registrar lokal adalah host menjadi google._domainkey.domainanda.com.domainanda.com. Ini terjadi karena nama domain ditulis lengkap, padahal panel sudah menambahkannya sendiri.

Tahap 3: Klik Start authentication

1. Tunggu record aktif. Google menyebut autentikasi bisa butuh hingga 48 jam setelah kunci ditambahkan, meski sering lebih cepat.
2. Kembali ke Apps > Google Workspace > Gmail > Authenticate email.
3. Pilih domain yang sama di Selected domain.
4. Klik Start authentication.
5. Pastikan status di bagian atas berubah menjadi Authenticating email with DKIM.

Pilih Kunci 2048 atau 1024 Bit?

Pilih 2048 bit. Google menyarankan kunci yang lebih panjang karena lebih aman. Kunci 1024 bit hanya cadangan untuk penyedia DNS yang membatasi panjang record TXT.

Kunci 2048 bit menghasilkan nilai TXT lebih dari 255 karakter. Sebagian panel DNS menerimanya langsung, sebagian lain meminta nilai dipecah menjadi beberapa string dalam tanda kutip. Ikuti cara pemecahan dari dokumentasi penyedia DNS Anda. Kalau panel tetap menolak, buat ulang kunci dengan pilihan 1024.

Cara Cek DKIM Sudah Aktif di Gmail

Ada dua lapis pengecekan. Pertama, pastikan record sudah terbaca publik. Kedua, pastikan email yang benar-benar terkirim sudah ditandatangani.

Cek record lewat terminal

Jalankan perintah ini di Linux, macOS, atau WSL. Ganti domainanda.com dengan domain Anda.

dig +short TXT google._domainkey.domainanda.com

Jika record benar, hasilnya berupa string yang diawali "v=DKIM1; k=rsa; p=. Kunci 2048 bit bisa tampil sebagai dua string berurutan, dan itu normal. Jika hasilnya kosong, record belum aktif atau host salah ketik.

Cek header email di Gmail

1. Kirim email dari akun Workspace ke akun Gmail lain. Google menegaskan DKIM tidak bisa diuji dengan mengirim email ke diri sendiri.
2. Buka email itu di akun penerima.
3. Klik ikon titik tiga (Lainnya) di samping tombol Balas, lalu pilih Tampilkan versi asli.
4. Cari baris Authentication-Results dan pastikan ada hasil DKIM pass untuk domain Anda.

Contoh tampilan header (ilustrasi, nilai di email Anda akan berbeda):

Authentication-Results: mx.google.com;
       dkim=pass [email protected] header.s=google header.b=AbCd1234;
       spf=pass (google.com: domain of [email protected] designates ... as permitted sender);
       dmarc=pass (p=NONE sp=NONE dis=NONE) header.from=domainanda.com

Yang perlu dilihat adalah dkim=pass dan domain setelah header.i=@ sama dengan domain From Anda. Jika domain yang tercantum justru milik pihak lain, email lolos DKIM tetapi tidak selaras untuk DMARC.

Kenapa Status DKIM Tidak Berubah Menjadi Authenticating Email?

Penyebabnya hampir selalu ada di sisi DNS. Gunakan tabel ini untuk mencocokkan gejala dengan perbaikannya.

Kalau domain Anda memakai gateway keluar yang menambahkan footer ke setiap email, tanda tangan DKIM bisa rusak setelah pesan diubah. Periksa pengaturan gateway tersebut jika header menunjukkan dkim=fail meski record sudah benar.

Setelah DKIM: Pasang DMARC Gmail Secara Bertahap

DMARC adalah kebijakan yang memberi tahu server penerima apa yang harus dilakukan terhadap email yang gagal SPF dan DKIM. DMARC juga mengirim laporan agar Anda tahu siapa saja yang mengirim atas nama domain Anda.

Urutan yang aman adalah SPF, lalu DKIM, lalu DMARC. Mulai DMARC dengan mode pantau (p=none) supaya tidak ada email sah yang tertahan.

Setelah laporan beberapa minggu menunjukkan semua layanan pengirim sudah lolos, naikkan kebijakan ke quarantine, lalu reject. Arti setiap tag DMARC dibahas di panduan SPF, DKIM, dan DMARC untuk email marketing. Kalau SPF Anda masih berakhiran ~all dan Anda bingung bedanya dengan -all, baca penjelasan SPF softfail.

DKIM Google Workspace dan Layanan Pengirim Lain

DKIM Google hanya menandatangani email yang keluar lewat server Gmail. Email dari website, aplikasi, atau layanan newsletter tidak ikut tertandatangani oleh kunci google._domainkey.

Karena itu, setiap layanan pengirim butuh record DKIM sendiri dengan selector berbeda. Satu domain boleh punya banyak record DKIM selama selectornya tidak bentrok. Inilah alasan Google meminta Anda mengganti prefix jika selector google sudah terpakai.

Di Mailketing, record DKIM ditampilkan oleh wizard Setup Domain > Add Whitelabel Sender pada Step 2: DNS Configuration. Selector dan nilainya berbeda dari milik Google, jadi keduanya bisa berdampingan di DNS tanpa saling menimpa. Salin persis record yang tampil di dashboard Anda. Jika verifikasinya gagal, ikuti cara memperbaiki DKIM gagal verifikasi di Mailketing.

Pembagian ini juga berguna saat volume naik. Gmail Workspace punya batas kirim harian per akun, seperti dijelaskan di artikel SMTP Gmail beserta batasnya. Untuk email transaksi atau newsletter, banyak bisnis memisahkan pengiriman ke SMTP khusus agar reputasi email kerja harian tidak ikut terdampak.

Mailketing memakai skema pay-as-you-use mulai Rp0,6/email tanpa biaya bulanan. Akun trial mendapat 200 email credit gratis untuk menguji DKIM dan pengiriman dari domain Anda sendiri. Coba Mailketing gratis dan pasang DKIM-nya berdampingan dengan Google Workspace.

Checklist Singkat DKIM Google Workspace

• Record TXT google._domainkey terbaca lewat dig.
• Status Admin console menunjukkan “Authenticating email with DKIM”.
• Header email uji di Gmail lain menunjukkan dkim=pass untuk domain Anda.
• SPF sudah mencakup semua layanan pengirim.
• DMARC terpasang minimal p=none dengan alamat laporan aktif.
• Setiap layanan pengirim lain punya DKIM dengan selector sendiri.

Pertanyaan yang Sering Diajukan

Berapa lama DKIM Google Workspace aktif setelah record dipasang?

Google menyebut autentikasi DKIM bisa butuh hingga 48 jam setelah kunci ditambahkan ke DNS. Di banyak penyedia DNS, record sudah terbaca dalam hitungan menit hingga beberapa jam. Cek dengan dig sebelum menekan Start authentication.

Apakah DKIM gmail.com pribadi bisa diatur sendiri?

Tidak. Akun @gmail.com sudah ditandatangani Google dengan domain gmail.com. Pengaturan DKIM hanya berlaku untuk domain milik Anda sendiri yang terhubung ke Google Workspace.

Apakah perlu DMARC setelah DKIM?

Perlu, terutama jika Anda mengirim lebih dari 5.000 pesan per hari ke Gmail, karena DMARC termasuk syarat wajib. Untuk pengirim kecil pun, DMARC membantu mencegah domain dipalsukan. Mulai dengan p=none agar aman.

Bolehkah memakai DKIM Google dan DKIM layanan lain sekaligus?

Boleh. Setiap layanan memakai selector berbeda, sehingga record-nya tersimpan di host yang berbeda pula. Pastikan tidak ada dua layanan yang memakai selector yang sama.

Kenapa DKIM pass tapi email tetap masuk spam?

DKIM hanya membuktikan email asli dari domain Anda. Gmail juga menilai reputasi domain, spam rate, isi pesan, dan kebiasaan penerima. Lihat cara agar email tidak masuk spam untuk faktor di luar autentikasi.

Apa syarat pengirim Gmail untuk email massal?

Pengirim lebih dari 5.000 pesan per hari ke Gmail wajib memasang SPF dan DKIM, DMARC dengan domain From yang selaras, unsubscribe satu klik, serta menjaga spam rate di bawah 0,3%. Syarat dasar seperti PTR valid dan TLS juga tetap berlaku.

Sumber

• Google Workspace Admin Help: Set up DKIM
• Google: Email sender guidelines
• Bantuan Gmail: Melacak email dengan header lengkap

Butuh pengiriman email transaksi atau newsletter dengan DKIM domain sendiri? Daftar akun trial Mailketing dan dapatkan 200 email credit gratis.