SpamAssassin Adalah: Cara Kerja, Skor & Setelan cPanel

Kotak masuk email berdomain sendiri jarang sepi. Di antara pesan pelanggan dan tagihan, selalu ada tawaran pinjaman, undangan investasi, dan lampiran yang tidak pernah Anda minta. Sebagian besar dari spam itu sebenarnya tidak pernah sampai ke layar Anda, karena penyedia hosting sudah menaruh satu penyaring di depan kotak masuk. Pada mayoritas server hosting, nama penyaring itu adalah SpamAssassin.

SpamAssassin adalah perangkat lunak penyaring spam yang memeriksa setiap email masuk, lalu memberinya nilai berdasarkan ratusan pemeriksaan. Menjawab apa itu SpamAssassin sebenarnya mudah. Yang jauh lebih sering luput dipahami adalah apa yang terjadi setelah nilai itu keluar, dan di situlah letak sebagian besar kebingungan pemilik email berdomain sendiri.

SpamAssassin Adalah Penilai Email, Bukan Penjaga Pintu

Apache SpamAssassin adalah perangkat lunak penyaring spam open source — kode sumbernya terbuka dan bebas dipakai. Proyeknya bernaung di bawah Apache Software Foundation, ditulis dengan bahasa Perl, dan dirilis dengan lisensi Apache License 2.0. Ia dipakai luas di server hosting karena bisa disematkan ke hampir semua mail server, yaitu perangkat lunak yang meneruskan email lewat protokol SMTP. Exim, bawaan cPanel, termasuk di antaranya.

Fungsi SpamAssassin berhenti pada satu hal: memberi nilai. Ia membaca email, menjalankan ratusan pemeriksaan, menjumlahkan poin, lalu menempelkan hasilnya sebagai baris header tambahan di pesan tersebut. Ia tidak memindahkan email, tidak menghapusnya, dan tidak menolak koneksi pengirim.

Seluruh tindakan itu dikerjakan mail server berdasarkan setelan yang berdiri sendiri. Perbedaan peran ini terdengar sepele, tetapi konsekuensinya nyata. Anda bisa mengaktifkan SpamAssassin dan tetap menemukan spam di kotak masuk. Menyalakan penilai memang tidak sama dengan memerintahkan mail server berbuat sesuatu atas nilai itu.

Empat tahap SpamAssassin: email masuk, Exim menerima, SpamAssassin menilai, lalu Exim yang memindahkan pesannya.

Karena itu, membaca SpamAssassin lebih tepat sebagai juri daripada satpam. Juri menetapkan vonis; petugas lain yang menjalankan. Sepanjang artikel ini kita memakai cPanel sebagai contoh, karena panel itulah yang paling sering dipakai pemilik email berdomain sendiri.

Dari filter.plx 1997 sampai Proyek Apache yang Masih Diperbarui

Cikal bakalnya adalah filter.plx, skrip penyaring email karya Mark Jeftovic yang mulai ditulis pada Agustus 1997. Justin Mason menulis ulang kode itu menjadi program baru dan mengunggahnya ke SourceForge pada 20 April 2001. Pada musim panas 2004, proyek tersebut diterima Apache Software Foundation dan namanya resmi menjadi Apache SpamAssassin.

Perpindahan itu ikut mengubah lisensinya. Versi sebelum 3.0 memakai lisensi ganda Artistic dan GNU GPL, sedangkan sejak versi 3.0 seluruhnya memakai Apache License 2.0.

Umur dua puluh lima tahun wajar memunculkan pertanyaan apakah perangkat lunak ini masih diurus. Rilis stabil terakhir, versi 4.0.2, keluar pada 30 Agustus 2025 dengan penyesuaian untuk Perl 5.42. Repositori resminya bahkan masih menerima perubahan harian — pada 3 September 2026, salah satu commit terakhirnya adalah pembaruan skor untuk aturan-aturan baru hasil pengujian massal.

Aturan SpamAssassin diperbarui terpisah dari rilis programnya, lewat perintah sa-update. Paket aturan diverifikasi dengan tanda tangan GPG, dan jatuh ke pemeriksaan checksum SHA-512 atau SHA-256 kalau GPG dimatikan. Jadi server Anda bisa mendapat aturan baru tanpa perlu memasang versi baru.

Bagaimana Skor Sebuah Email Dihitung

Cara kerja SpamAssassin berpijak pada satu gagasan sederhana: tidak ada satu ciri pun yang cukup untuk memvonis sebuah email sebagai spam, tetapi puluhan ciri kecil yang menumpuk bisa. Karena itu setiap aturan yang cocok menyumbang poin, dan hasil akhirnya adalah penjumlahan.

Poin tidak selalu positif. Aturan yang menandakan email sah justru mengurangi total. Berikut beberapa aturan nyata beserta bobotnya dari berkas skor bawaan versi 4.0.x, pada konfigurasi lengkap: Bayes dan tes jaringan sama-sama aktif.

Total itu kemudian dibandingkan dengan required_score, ambang bawaan yang bernilai 5. Dokumentasi resminya menyebut angka 5 tergolong agresif dan menyarankan penyedia layanan memakai 8,0 atau 10,0 supaya lebih longgar.

Skor SpamAssassin satu email: tiga aturan menambah 8,535 poin, DKIM sahih mengurangi 0,1, total 8,435 di atas ambang 5.

Pemeriksaannya sendiri terbagi menjadi empat kelompok. Pertama, analisis isi dan header — pola kata, format HTML, tanggal yang janggal. Kedua, DNSBL (daftar blokir berbasis DNS) yang menanyakan reputasi IP pengirim dan domain tautan ke pihak ketiga seperti Spamhaus. Ketiga, checksum terdistribusi seperti Razor2, Pyzor, dan DCC yang mencocokkan sidik jari pesan dengan laporan pengguna lain di seluruh dunia. Keempat, autentikasi pengirim — hasil pemeriksaan SPF record, DKIM, dan kebijakan DMARC ikut menambah atau mengurangi poin.

Satu hal yang membuat angka di internet sering tidak cocok dengan yang Anda lihat: SpamAssassin memakai empat set skor sekaligus. Set 0 dipakai bila penyaring Bayes dan tes jaringan sama-sama mati, set 1 bila hanya tes jaringan hidup, set 2 bila hanya Bayes hidup, dan set 3 bila keduanya hidup. Aturan SPF_FAIL bernilai 0,919 di set 1 tetapi hanya 0,001 di set 3, karena saat Bayes ikut bekerja, sinyal itu sudah tertangkap dari arah lain.

Bayes Baru Bekerja Setelah 200 Spam dan 200 Non-Spam

Penyaring Bayes adalah bagian SpamAssassin yang belajar dari email Anda sendiri. Ia memecah pesan menjadi potongan kata, menghitung seberapa sering tiap potongan muncul di spam dibanding di email sah, lalu memakai statistik itu untuk menilai pesan berikutnya. Inilah komponen yang membuat penyaringan terasa semakin tepat seiring waktu.

Ada syarat yang jarang disebutkan. Bayes tidak akan menghasilkan nilai apa pun sebelum ia mempelajari 200 email spam dan 200 email non-spam, dan kedua ambang itu harus terpenuhi. Sebelum jumlah tersebut tercapai, seluruh aturan BAYES_* bernilai nol — persis seperti set skor 0 dan 1 pada tabel di atas.

Pembelajarannya berjalan otomatis. Pesan dengan skor di bawah 0,1 dipelajari sebagai email sah, sedangkan pesan dengan skor di atas 12,0 dipelajari sebagai spam. Ada syarat tambahan supaya pembelajaran tidak keliru: untuk dianggap spam, poinnya harus datang dari dua arah, minimal 3 poin dari header dan 3 poin dari body.

Anda juga bisa melatihnya manual dengan perintah sa-learn bila punya akses server, atau membiarkan pelaporan spam lewat webmail mengerjakannya. Pada server cPanel, pelatihan otomatis dilindungi ruleset BAYES_POISON_DEFENSE yang menaikkan ambang belajar, karena pengirim spam pernah sengaja menyisipkan kata-kata netral dalam jumlah besar untuk meracuni statistik penyaring.

Angka 200 ini menjelaskan kenapa filter di akun email yang baru dibuat terasa kurang akurat pada minggu-minggu pertama. Bukan setelan yang salah, melainkan Bayes yang belum punya cukup contoh.

Membaca Jejak SpamAssassin di Header Email

Setiap header tambahan yang ditempelkan SpamAssassin diawali X-Spam-. Empat di antaranya dipasang secara bawaan, dan semuanya bisa Anda lihat lewat menu "tampilkan sumber pesan" di hampir semua aplikasi email.

X-Spam-Status adalah yang paling berguna. Isinya memuat vonis, skor akhir, ambang yang berlaku, daftar aturan yang cocok, dan status pembelajaran Bayes:

X-Spam-Status: Yes, score=14.0
  required=5.0
  tests=BAYES_99,NO_REAL_NAME
  autolearn=spam version=4.0.2

Tiga sisanya lebih ringkas. X-Spam-Flag hanya muncul pada pesan yang divonis spam dan berisi YES. X-Spam-Level menampilkan skor sebagai deretan tanda bintang, satu bintang per poin, supaya aturan penyaringan sederhana di aplikasi email bisa mencocokkan jumlah bintangnya. X-Spam-Checker-Version mencatat versi SpamAssassin yang memeriksa.

Header X-Spam-Status SpamAssassin memuat vonis Yes, score 14.0, required 5.0, dan daftar aturan pada bagian tests.

Membaca tests= lebih cepat daripada menebak. Daftar yang dipenuhi aturan RCVD_IN_* menunjuk ke reputasi IP pengirim; aturan isi menunjuk ke cara pesan ditulis.

Satu setelan lagi menjelaskan tampilan pesan yang aneh. Dengan report_safe bernilai 1 — nilai bawaannya — pesan yang divonis spam dibungkus ulang menjadi lampiran, dan yang Anda lihat justru laporan analisisnya. Penyedia hosting juga bisa menyalakan penulisan ulang subjek sehingga judul pesan diberi awalan penanda sebelum dikirim ke folder junk.

SpamAssassin di cPanel: Ambang, Spam Box, dan Auto-Delete

Di cPanel, seluruh kendali SpamAssassin berkumpul di menu Spam Filters pada grup Email. Langkah klik untuk menyalakannya sudah dibahas terpisah di panduan cara mengaktifkan Apache SpamAssassin di cPanel, jadi di sini kita membahas arti tiap setelannya.

1. Spam Threshold Score: ambang yang menentukan mulai berapa poin sebuah pesan divonis spam. Nilai rendah seperti 1 sangat agresif dan akan ikut menjaring email sah, sedangkan nilai tinggi seperti 10 pasif dan hanya menandai spam yang benar-benar kentara. Untuk kotak masuk bisnis, mulailah dari bawaan 5 dan naikkan ke 6 atau 7 bila email penting mulai tersaring.
2. Spam Box: memerintahkan mail server memindahkan pesan di atas ambang ke folder spam. Inilah setelan yang benar-benar memindahkan email.
3. Auto-Delete: menghapus pesan secara permanen bila skornya mencapai ambang tersendiri. Ambang ini terpisah dari Spam Threshold Score dan tidak menyisakan salinan di mana pun.

Poin pertama yang perlu Anda perhatikan ada pada hubungan ketiganya. Bila SpamAssassin aktif tetapi Spam Box tidak, pesan bernilai tinggi tetap dikirim ke kotak masuk — yang berubah hanya subjeknya, itu pun bila penyedia hosting menyalakan penanda subjek. Banyak keluhan "filter sudah saya aktifkan tetapi spam tetap masuk" berakhir di sini.

Ambang SpamAssassin 5: skor 7,4 ke kotak masuk bila Spam Box mati, ke folder spam bila menyala, 12,6 dihapus Auto-Delete.

Poin kedua menyangkut kuota. Folder spam ikut menghitung pemakaian ruang email Anda, jadi isinya perlu dikosongkan berkala. Bila Anda mengambil email lewat POP3, folder itu bisa diakses dengan nama pengguna alamat@domain.com/spam.

Hindari menyalakan BoxTrapper bersamaan dengan SpamAssassin. Dokumentasi cPanel menyebut kombinasi keduanya bisa menimbulkan masalah, karena BoxTrapper menahan pesan untuk meminta konfirmasi pengirim sementara SpamAssassin sudah memberi vonis lebih dulu.

Untuk Auto-Delete, angka yang masuk akal adalah 10 ke atas. Selisih lima poin dari ambang penandaan memberi ruang aman. Pesan yang meragukan cukup masuk folder spam dan masih bisa diselamatkan. Yang dihapus permanen hanya pesan dengan tumpukan bukti yang sangat banyak.

Whitelist dan Blacklist: Dua Daftar yang Sering Salah Dipahami

Di bagian Additional Configurations tersedia dua daftar manual. Whitelist memakai direktif whitelist_from untuk pengirim sah yang keliru ditandai spam. Blacklist memakai blacklist_from untuk pengirim yang lolos padahal tidak Anda inginkan. Keduanya menerima wildcard * untuk banyak karakter dan ? untuk satu karakter:

whitelist_from  keuangan@mitra.co.id
whitelist_from  *@mitra.co.id
blacklist_from  promo?@penawaran.example

Ada kesalahpahaman yang perlu diluruskan. Kedua daftar itu tidak melewati pemeriksaan. Mereka hanya menambahkan poin negatif atau positif yang besar ke total, sehingga pengirim yang sangat buruk secara teori masih bisa menembus whitelist bila poin lain menumpuk cukup tinggi. Whitelist adalah pemberat, bukan pintu belakang.

Bila Anda membaca dokumentasi SpamAssassin versi terbaru dan menemukan nama yang berbeda, itu bukan kekeliruan. Sejak versi 4.0, direktifnya diganti menjadi welcomelist_from dan blocklist_from, sementara nama lama tetap dikenali agar konfigurasi lama tidak rusak. Antarmuka cPanel masih memakai istilah lama.

Satu tingkat lebih dalam ada Calculated Spam Score Settings, tempat Anda mengubah bobot satu aturan tertentu. Nilai 0 mematikan aturan itu sepenuhnya. Fitur ini berguna untuk kasus khusus, misalnya kantor hukum yang rutin menerima email berisi istilah keuangan yang kebetulan dinilai mencurigakan. Namun menurunkan bobot secara serampangan akan melubangi penyaringan tanpa Anda sadari.

Di balik antarmuka, ketiga daftar itu disimpan sebagai berkas konfigurasi teks biasa. Setelan yang berlaku untuk seluruh server ada di local.cf, sedangkan setelan milik tiap pengguna ada di user_prefs. Pemilik akun cPanel tidak menyuntingnya langsung; antarmuka Spam Filters yang menuliskannya.

Untuk aturan buatan sendiri — memindahkan email dari pengirim tertentu ke folder khusus, misalnya — tempatnya di menu lain: filter email di cPanel, yang berjalan terpisah dari penilaian SpamAssassin.

Setelan yang Hanya Terlihat dari WHM

Di atas lapisan akun ada lapisan server, dan yang memegangnya adalah penyedia hosting lewat WHM. Sebagian besar setelan yang paling menentukan justru ada di sana, tidak terlihat sama sekali dari cPanel.

Batas 1000 KB layak diketahui karena kerap disalahpahami sebagai pembatas lampiran. Ia hanya membatasi pemindaian, dengan alasan bahwa spam umumnya berukuran kecil. Akibatnya, kiriman besar bisa lewat tanpa dinilai sama sekali.

Kendali SpamAssassin terbagi dua: WHM memegang batas pindai 1000 KB dan email keluar, cPanel ambang skor dan Spam Box.

Ada pula satu keanehan terdokumentasi pada ambang penolakan di tingkat SMTP. Bila nilai yang dimasukkan mengandung desimal, sistem mengalikannya sepuluh — memasukkan 1.6 menghasilkan ambang 16, bukan 1,6. Angka bulat aman, angka berdesimal tidak.

Satu kondisi terakhir sering luput. Sebagian domain memakai MX record yang menunjuk ke server penyaring luar, lalu email diteruskan ke server hosting. Dalam susunan itu SpamAssassin tidak memindai kiriman tersebut, karena relay yang meneruskannya sudah masuk daftar tepercaya. Seluruh penyaringan berpindah ke layanan luar tadi.

Menguji Filter Anda Sendiri dengan GTUBE

Anda tidak perlu menunggu spam sungguhan untuk memastikan penyaring bekerja. Proyek SpamAssassin menyediakan GTUBE (Generic Test for Unsolicited Bulk Email), string uji resmi yang sepadan dengan berkas EICAR di dunia antivirus. Kirim email berisi baris berikut ke alamat Anda sendiri:

XJS*C4JDBQADN1.NSBN3*2IDNEN*GTUBE-STANDARD-ANTI-UBE-TEST-EMAIL*C.34X

String itu harus ditulis dalam satu baris utuh, tanpa spasi tambahan dan tanpa pemisah baris. Aturan GTUBE bernilai 1000 poin, jadi pesan uji ini pasti melewati ambang berapa pun yang Anda pasang.

Yang dibuktikan hanya satu: penyaring benar-benar berjalan dan tindakan yang Anda pilih benar-benar dijalankan. Bila pesan uji itu masuk folder spam, jalur penyaringan Anda sehat. Bila ia mendarat di kotak masuk, setelan tindakannya yang belum beres, bukan aturannya.

Skor SpamAssassin Bukan Vonis Gmail

SpamAssassin juga muncul di sisi yang berlawanan. Alat penguji email seperti mail-tester menilai satu pesan kiriman Anda memakai SpamAssassin, lalu membalik hasilnya menjadi nilai per 10. Skor 10 dari 10 berarti total poin SpamAssassin mendekati nol, bukan berarti email Anda dijamin sampai.

Perbedaan itu penting karena Gmail, Outlook, dan Yahoo tidak memakai SpamAssassin. Ketiganya menjalankan penyaring buatan sendiri dengan sinyal yang tidak dipublikasikan, termasuk riwayat perilaku penerima terhadap pengirim Anda. Nilai sempurna di alat penguji sama sekali tidak mengikat mereka.

Yang benar-benar berpengaruh pada email keluar adalah autentikasi domain dan reputasi pengirim. Pastikan SPF record Anda benar, tanda tangan DKIM aktif, dan kebijakan DMARC terpasang. Ketiganya juga yang membuat domain Anda sulit dipakai untuk email spoofing. Bila Anda masih mengirim email bisnis lewat alamat gratisan, pindah ke layanan email hosting dengan domain sendiri adalah langkah pertama sebelum membicarakan skor apa pun.

Kelemahan dan Hal yang Perlu Anda Pertimbangkan

Tidak ada penyaring yang bekerja tanpa biaya. Empat hal berikut perlu Anda ketahui sebelum menurunkan ambang atau menyalakan penghapusan otomatis.

1. Salah tangkap tetap terjadi: sistem berbasis poin akan sesekali menjatuhkan vonis keliru pada email sah, dan risikonya naik tajam di bawah ambang 5. Newsletter, notifikasi sistem, dan email dari server yang jarang mengirim adalah korban paling umum.
2. Beban sumber daya cukup besar: SpamAssassin ditulis dengan Perl. Rspamd, alternatif yang ditulis dengan C dan Lua, mengklaim memproses 5–10 pesan per detik per inti prosesor melawan 0,5–2 pesan pada SpamAssassin. Angka itu berasal dari dokumentasi Rspamd sendiri. Halaman yang sama juga mengakui keunggulan SpamAssassin: ekosistem plugin Perl yang matang dan penerapan yang lebih sederhana untuk operasi kecil.
3. Ia menilai spam, bukan malware: lampiran berbahaya memang bisa menambah poin lewat aturan tertentu, tetapi pemindaian isi lampiran adalah tugas antivirus terpisah seperti ClamAV.
4. Ia tidak memperbaiki email keluar Anda: mengaktifkan SpamAssassin tidak membuat email Anda lebih mudah masuk kotak masuk orang lain. Dua pekerjaan itu terpisah sepenuhnya.

Pola penilaian berbasis poin dengan satu ambang ini bukan hal khas email. ModSecurity memakai pendekatan serupa untuk menyaring permintaan HTTP ke website Anda, lengkap dengan skor anomali dan ambang blokir.

Pertanyaan Seputar SpamAssassin

Apakah SpamAssassin gratis?

Ya. SpamAssassin dirilis dengan lisensi Apache License 2.0, bebas dipakai termasuk untuk keperluan komersial. Pada layanan hosting, biayanya sudah termasuk dalam paket karena ia berjalan di sisi server.

Berapa ambang skor spam yang sebaiknya dipakai?

Mulailah dari nilai bawaan 5. Bila email penting mulai tersaring, naikkan ke 6 atau 7. Bila spam masih terlalu banyak lolos setelah Bayes matang, turunkan ke 4 dan amati selama dua minggu. Untuk penghapusan otomatis, pakai 10 ke atas.

Kenapa spam masih masuk kotak masuk padahal SpamAssassin sudah aktif?

Ada tiga sebab paling umum. Spam Box belum diaktifkan sehingga tidak ada yang memindahkan pesan, ambang skornya terlalu tinggi, atau Bayes belum mencapai 200 spam dan 200 non-spam. Pada kondisi terakhir, seluruh aturan BAYES_* masih bernilai nol.

Di mana saya bisa melihat catatan kerja SpamAssassin?

Dari cPanel, bukti kerjanya dibaca lewat header X-Spam-Status pada masing-masing pesan. Catatan pengiriman tingkat server bisa ditelusuri lewat log pengiriman dan penerimaan email, sedangkan log SpamAssassin mentah hanya bisa diakses pemilik server lewat WHM.

Apakah SpamAssassin memindai email yang saya kirim?

Secara bawaan tidak. Pemindaian email keluar adalah setelan tersendiri di WHM yang dimatikan secara bawaan. Bila penyedia hosting menyalakannya, email keluar dengan skor di atas 5 akan ditolak dan Anda menerima pesan galat saat mengirim.

Apa bedanya SpamAssassin dengan Rspamd?

Keduanya penyaring spam berbasis aturan dan skor. Rspamd lebih baru, ditulis dengan C dan Lua sehingga lebih hemat sumber daya, serta membawa antarmuka web bawaan. SpamAssassin unggul pada ekosistem plugin dan dukungan panel hosting — cPanel memakainya sebagai bawaan. Basis data Bayes keduanya tidak saling kompatibel, jadi perpindahan menuntut pelatihan ulang dari nol.

Bolehkah SpamAssassin dimatikan?

Boleh, lewat menu Spam Filters, kecuali penyedia hosting menyalakan Forced Global ON. Mematikannya masuk akal hanya bila Anda memakai layanan penyaring luar lewat MX record, karena selain itu kotak masuk Anda akan berhadapan langsung dengan seluruh spam yang datang.

Kesimpulan

SpamAssassin adalah penilai, bukan pelaksana. Ia menjumlahkan poin dari ratusan aturan, membandingkannya dengan ambang yang bawaannya 5, lalu menempelkan hasilnya sebagai header X-Spam- — dan berhenti di situ. Mail server yang memindahkan, menandai, atau menghapus.

Karena itu kualitas penyaringan Anda ditentukan tiga hal sekaligus: ambang yang masuk akal, Spam Box yang benar-benar menyala, dan kesabaran menunggu Bayes mengumpulkan 200 contoh dari masing-masing sisi. Untuk mayoritas kotak masuk bisnis, setelan bawaan cPanel dengan Spam Box aktif dan ambang 5 sampai 7 sudah memadai. Bila kebutuhan Anda melampaui itu — ruleset khusus, pemindaian email keluar, atau ambang penolakan di tingkat SMTP — permintaannya perlu diajukan ke penyedia hosting, karena setelan tersebut berada di WHM.

Semoga artikel ini membantu.