SPF Softfail: Arti, Beda ~all vs -all, dan Cara Memperbaikinya

Softfail adalah hasil pemeriksaan SPF yang berarti server pengirim kemungkinan tidak diizinkan oleh domain, tetapi domain belum menyatakannya secara tegas. Hasil ini muncul saat record SPF berakhiran ~all dan IP pengirim tidak tercantum. Email biasanya tetap diterima, namun bisa ditandai mencurigakan atau masuk spam.

Panduan ini untuk Anda yang menemukan tulisan spf=softfail atau permerror di header email atau laporan DMARC. Isinya: arti setiap hasil SPF, beda ~all dan -all, cara membaca header di Gmail, lalu langkah memperbaikinya.

Apa Itu SPF Softfail

SPF (Sender Policy Framework) adalah daftar server yang boleh mengirim email atas nama domain Anda, disimpan sebagai record TXT di DNS. Jika konsep ini masih baru bagi Anda, baca dulu penjelasan dasar SPF record.

Setiap kali email masuk, server penerima mencocokkan IP pengirim dengan record SPF domain di alamat pengirim. Hasilnya berupa satu kata, misalnya pass, fail, atau softfail. SPF softfail terjadi ketika IP tidak cocok dengan daftar dan record ditutup dengan ~all. Standar SPF (RFC 7208) menggambarkannya sebagai posisi tengah: domain curiga pada pengirim itu, tetapi belum berani menyatakan email tersebut palsu.

Contoh record yang bisa menghasilkan softfail untuk server yang tidak terdaftar:

v=spf1 include:_spf.google.com ~all

Email dari server Google lolos (pass). Email dari server lain, misalnya hosting website yang mengirim notifikasi formulir, akan mendapat softfail karena tidak tercantum.

Arti Kualifier SPF: +, -, ~, dan ?

Tanda di depan mekanisme SPF disebut kualifier. Kualifier menentukan hasil apa yang diberikan jika mekanisme itu cocok. Paling sering terlihat di bagian akhir, pada all.

Kolom terakhir sengaja ditulis “umum”. Keputusan akhir ada di server penerima. Gmail, Outlook, dan server perusahaan bisa memperlakukan softfail dengan cara berbeda, tergantung sinyal lain seperti DKIM, DMARC, dan reputasi.

Beda Softfail (~all) dan Hardfail (-all)

Perbandingan ~all vs -all sebenarnya soal seberapa yakin Anda bahwa daftar pengirim sudah lengkap. SPF hardfail (-all) berkata “selain yang terdaftar, pasti bukan dari saya”. Softfail (~all) berkata “selain yang terdaftar, kemungkinan bukan dari saya”.

Panduan admin Google Workspace merekomendasikan ~all. Menurut Google, ~all meminta server penerima menandai email dari server tak terdaftar sebagai spam. Contoh record Google dan cara menggabungkannya dengan layanan lain dibahas di panduan SPF Google Workspace dan cara menggabungkannya dengan SMTP lain.

Hasil SPF Lain: Neutral, None, Temperror, dan SPF Permerror

RFC 7208 mendefinisikan tujuh hasil SPF. Tabel berikut merangkum penyebab tiap hasil dan langkah perbaikannya.

SPF permerror lebih berbahaya daripada softfail. Pada permerror, record dianggap rusak, sehingga email dari pengirim yang sah pun tidak mendapat pass. Dua penyebab tersering adalah dua record v=spf1 di satu domain dan total lookup DNS lebih dari 10. Yang dihitung sebagai lookup adalah mekanisme include, a, mx, ptr, exists, dan redirect, termasuk yang berada di dalam include lain.

Cara Melihat Hasil SPF di Header Gmail

Untuk tahu email Anda mendapat pass atau softfail, kirim email uji ke akun Gmail, lalu buka header lengkapnya dari browser:

1. Buka email yang ingin diperiksa di Gmail versi web.
2. Di samping tombol Balas, klik Lainnya.
3. Pilih Tampilkan versi asli.
4. Header lengkap terbuka di jendela baru. Klik Salin ke papan klip jika perlu dianalisis atau dikirim ke tim teknis.
5. Cari baris Authentication-Results dan perhatikan nilai setelah spf=.

Contoh potongan header dengan hasil softfail (domain dan IP hanya contoh):

Authentication-Results: mx.google.com;
       spf=softfail (google.com: domain of transitioning [email protected] does not designate 203.0.113.25 as permitted sender) [email protected]

Cara membacanya: smtp.mailfrom adalah domain yang diperiksa SPF-nya. Angka IP di dalam kurung adalah server yang benar-benar mengirim email. Kalimat “does not designate … as permitted sender” berarti IP itu tidak tercantum di record SPF domain tersebut.

Perhatikan juga bahwa SPF memeriksa domain di smtp.mailfrom (alamat envelope atau Return-Path). Domain ini bisa berbeda dengan alamat From yang terlihat penerima, terutama jika email dikirim lewat layanan pihak ketiga.

Kenapa Email Mendapat spf=softfail

Penyebabnya hampir selalu satu: email dikirim dari server yang belum tercantum di record SPF. Situasi yang sering terjadi di bisnis Indonesia:

• Website WordPress atau toko online mengirim notifikasi lewat fungsi mail hosting, sementara SPF hanya berisi Google Workspace.
• Tim memakai SMTP relay atau layanan newsletter baru dan lupa menambahkan include-nya.
• Domain baru pindah hosting, IP server berubah, tetapi record masih memuat IP lama dengan ip4:.
• Email diteruskan (forwarding) oleh server lain, sehingga IP pengirim yang terlihat adalah server penerus.
• Email memang dipalsukan pihak lain. Di kasus ini softfail adalah tanda SPF bekerja.

Untuk tiga penyebab pertama, solusinya ada di record Anda. Kasus forwarding tidak bisa diperbaiki dari sisi SPF, dan di sinilah DKIM berperan. Tanda tangan DKIM melekat pada isi email, bukan pada IP pengirim, sehingga umumnya tetap valid selama isi email tidak diubah.

Cara Memperbaiki Softfail

1. Catat IP pengirim dari header Authentication-Results, lalu cari tahu server atau layanan mana pemiliknya.
2. Cek record SPF yang aktif dengan dig +short TXT domainanda.com (Linux/macOS) atau nslookup -type=txt domainanda.com (Windows).
3. Pastikan hanya ada satu record yang diawali v=spf1. Jika ada dua, gabungkan.
4. Tambahkan include layanan pengirim sebelum ~all. Ambil nilai include dari dokumentasi resmi layanan itu.
5. Hitung ulang lookup DNS agar tidak lebih dari 10. Hapus include layanan yang sudah tidak dipakai.
6. Simpan, tunggu propagasi DNS, lalu kirim email uji dan buka lagi Tampilkan versi asli sampai muncul spf=pass.

Contoh sebelum dan sesudah untuk domain yang memakai Google Workspace lalu mulai mengirim email website lewat Mailketing:

# Sebelum (email dari Mailketing akan softfail)
v=spf1 include:_spf.google.com ~all

# Sesudah (contoh gabungan)
v=spf1 include:_spf.google.com include:spf.mailketing.id ~all

Di Mailketing, nilai SPF tampil di Setup Domain → Add Whitelabel Sender, pada Step 2: DNS Configuration. Jika domain sudah punya record v=spf1, wizard menyisipkan include:spf.mailketing.id ke record yang ada, jadi Anda tidak membuat record kedua. Nilai yang ditampilkan wizard juga memakai akhiran ~all.

Ingin mengirim email website dan aplikasi lewat jalur yang SPF-nya mudah digabung? Coba Mailketing gratis dengan 200 email credit dan ikuti wizard domain untuk mendapatkan record yang siap disalin.

Apakah Softfail Membuat Email Masuk Spam?

Bisa, tetapi tidak pasti. Softfail adalah satu sinyal negatif, bukan vonis. Server penerima menggabungkannya dengan hasil DKIM, kebijakan DMARC, reputasi domain dan IP, serta isi email.

Hubungan dengan DMARC paling menentukan. DMARC lolos jika SPF atau DKIM mendapat pass dan domainnya selaras dengan domain di alamat From. Artinya, email dengan SPF softfail masih bisa lolos DMARC jika DKIM-nya valid dan selaras. Sebaliknya, jika DKIM juga gagal dan kebijakan DMARC domain adalah quarantine atau reject, email bisa masuk spam atau ditolak.

Karena itu, perbaiki SPF dan DKIM bersamaan. Jika DKIM Anda bermasalah saat verifikasi domain, ikuti cara memperbaiki DKIM gagal verifikasi. Gambaran ketiga protokol ada di artikel mengenal SPF, DKIM, dan DMARC.

Kapan Boleh Memakai -all

Beralih ke -all masuk akal hanya jika dua syarat terpenuhi. Pertama, semua layanan yang mengirim atas nama domain sudah terdaftar. Kedua, Anda sudah memantau laporan DMARC beberapa waktu dan tidak menemukan pengirim sah yang gagal SPF.

Checklist sebelum mengganti ke -all:

• Daftar semua pengirim sudah lengkap: email kantor, website, toko online, CRM, helpdesk, aplikasi internal.
• Laporan DMARC (rua) tidak menunjukkan sumber sah dengan SPF gagal.
• DKIM sudah aktif dan pass untuk semua pengirim.
• Ada orang yang bertanggung jawab memperbarui SPF setiap kali menambah layanan baru.

Untuk sebagian besar bisnis kecil dan menengah, ~all dipadukan dengan DMARC sudah memberi perlindungan yang wajar dengan risiko lebih kecil. Jika Anda memakai Mailketing, pertahankan ~all, karena verifikasi SPF di wizard domain tidak meloloskan record berakhiran -all. Langkah lengkap memasang ketiga record ada di panduan setting SPF, DKIM, dan DMARC untuk email bisnis.

Sumber

• RFC 7208: Sender Policy Framework (SPF)
• Google Workspace Admin Help: Define your SPF record
• Bantuan Gmail: Melihat header lengkap email

Pertanyaan yang Sering Diajukan

Apa arti spf=softfail di header email?

Artinya IP server yang mengirim email tidak tercantum di record SPF domain pengirim, dan record itu berakhiran ~all. Domain menganggap pengirim tersebut kemungkinan tidak sah, tetapi tidak menyatakannya secara tegas.

Mana yang lebih baik, ~all atau -all?

Untuk kebanyakan domain bisnis, ~all lebih aman dan memang direkomendasikan Google. -all cocok jika seluruh pengirim sah sudah pasti terdaftar dan laporan DMARC sudah dipantau.

Apakah softfail sama dengan email ditolak?

Tidak. Pada softfail, email umumnya tetap diterima, meski bisa ditandai atau dimasukkan ke spam. Penolakan lebih mungkin terjadi pada hasil fail dari -all atau saat DMARC domain berkebijakan reject dan DKIM juga gagal.

Kenapa hasil SPF saya permerror padahal record sudah ada?

Penyebab tersering adalah ada dua record v=spf1 di domain yang sama, atau total lookup DNS lebih dari 10. Gabungkan semua include ke satu record dan hapus include yang tidak dipakai lagi.

Apakah forwarding email bisa menyebabkan softfail?

Bisa. Saat email diteruskan, IP yang terlihat oleh penerima akhir adalah server penerus, bukan server asal. Pastikan DKIM aktif, karena tanda tangan DKIM tidak bergantung pada IP pengirim dan umumnya tetap bisa diverifikasi selama isi email tidak diubah.

Softfail jarang berarti ada masalah besar. Biasanya ini tanda ada satu pengirim sah yang belum masuk record SPF, dan perbaikannya cukup satu baris di DNS. Jika Anda butuh jalur kirim email transaksi atau newsletter yang terpisah dari email kantor, daftar akun trial Mailketing. Tarifnya mulai Rp0,6/email, pay-as-you-use, tanpa biaya bulanan.