Em resumo. Registro: TXT em _dmarc.seudominio · Comece com: p=none e um endereço rua · Passa quando: SPF ou DKIM passa com alinhamento · Estado final: p=reject quando os relatórios estiverem limpos
A versão curta
- O que é a política. Um registro DMARC é publicado como um registro TXT em _dmarc no seu domínio.
- As três políticas. Com p=none, os destinatários não tomam nenhuma ação por causa do DMARC e enviam relatórios a você.
- Alinhamento: relaxado e estrito. O DMARC não pergunta apenas se o SPF ou o DKIM passou.
- Política de subdomínio e pct. A tag sp define uma política diferente para os subdomínios.
- Relatórios: rua e ruf. A tag rua indica para onde enviar os relatórios agregados.
- Uma implantação segura. Publique p=none com um endereço de relatórios que você vá ler.
O que é a política
Um registro DMARC é publicado como um registro TXT em _dmarc no seu domínio. Sua tag p é a política: ela diz aos destinatários o que você quer que façam com uma mensagem que afirma vir do seu domínio e falha na verificação do DMARC.
v=DMARC1; p=none; rua=mailto:dmarc@example.comA verificação em si é simples. O SPF ou o DKIM precisa passar, e o domínio aprovado precisa estar alinhado com o domínio do endereço From. Se nenhum dos dois estiver, a mensagem falha no DMARC e a política se aplica.
As três políticas
Com p=none, os destinatários não tomam nenhuma ação por causa do DMARC e enviam relatórios a você. Com p=quarantine, devem tratar os e-mails com falha como suspeitos, o que normalmente significa a pasta de spam. Com p=reject, devem recusar a mensagem no momento da entrega.
Comece com none. Ele não pode bloquear nada, então é seguro, e os relatórios que produz mostram todos os sistemas que enviam em nome do seu domínio. Só avance quando os relatórios mostrarem que seus e-mails legítimos passam.
Alinhamento: relaxado e estrito
O DMARC não pergunta apenas se o SPF ou o DKIM passou. Ele pergunta se o domínio aprovado pertence à mesma organização que o domínio From. Com o alinhamento relaxado, que é o padrão, um subdomínio como mail.example.com se alinha com example.com. Com o alinhamento estrito, os domínios precisam ser idênticos.
O alinhamento é definido separadamente para cada método com as tags aspf e adkim. Um serviço de terceiros que assina com o próprio domínio passa no DKIM, mas não se alinha; por isso, configure o seu próprio domínio em cada serviço de envio.
Política de subdomínio e pct
A tag sp define uma política diferente para os subdomínios. Sem ela, os subdomínios seguem a tag p. É útil quando o domínio principal está pronto para aplicar a política, mas alguns subdomínios não estão, ou quando você quer proteger subdomínios que nunca enviam e-mail.
A tag pct aplica a política a apenas uma parte dos e-mails com falha. Com p=quarantine e pct=10, cerca de um décimo das mensagens com falha vai para a quarentena, e as demais são tratadas como se a política estivesse um nível abaixo. Aumente o valor em etapas, enquanto os relatórios permanecem limpos.
Relatórios: rua e ruf
A tag rua indica para onde enviar os relatórios agregados. Os destinatários os enviam como XML compactado, normalmente uma vez por dia, listando os IPs de envio, as quantidades de mensagens e os resultados de SPF e DKIM. Eles são a evidência de que você precisa antes de endurecer a política. A tag ruf pede relatórios de falha, que muitos grandes destinatários não enviam.
Se o endereço de relatórios estiver em outro domínio, esse domínio precisa autorizá-lo com um registro DMARC em seudominio._report._dmarc.outrodominio. Os serviços de relatórios normalmente configuram isso para você.
Uma implantação segura
Publique p=none com um endereço de relatórios que você vá ler. Nas semanas seguintes, liste todas as origens nos relatórios e corrija o SPF ou o DKIM de cada uma que for legítima. Depois passe para p=quarantine com um pct pequeno e aumente-o, e só então para p=reject.
Espere surpresas: um sistema de cobrança, uma ferramenta de marketing esquecida, um serviço de newsletter. Cada uma encontrada na etapa none é uma mensagem que teria sido perdida em reject. Nosso gerador de DMARC mostra a implantação como um conjunto de registros que você pode copiar.
O que o DMARC não faz
O DMARC protege o domínio exato do endereço From contra falsificação. Ele não impede domínios parecidos e não impede o spam que vem de um domínio que o remetente realmente possui. O encaminhamento e algumas listas de discussão também podem quebrar o alinhamento, e é por isso que os grandes destinatários avaliam o DMARC junto com outros sinais.
O padrão também está em revisão na IETF; por isso, leia a especificação atual ao planejar uma mudança.
Leituras complementares e fontes
Faça no MigoSMTP: artigos da central de ajuda
- Leia os relatórios DMARC e migre para p=reject
- Return-path e domínios de rastreamento personalizados
- Autentique um domínio de envio no MigoSMTP: SPF, DKIM e DMARC
Guias e ferramentas relacionados
- Gerador de registro DMARC: crie um registro e veja a implantação.
- Verificador de SPF, DKIM e DMARC: leia seus registros ativos.
- Como configurar o DMARC: a configuração passo a passo.
- Corrija falhas de SPF, DKIM e DMARC: leia um erro e corrija-o.
Não tem certeza de que seus registros estão corretos? Use nosso verificador gratuito ou envie-nos um cabeçalho e ajudaremos você a interpretá-lo.
Perguntas frequentes
Quais são as três políticas DMARC?
None pede aos destinatários que não tomem nenhuma ação sobre e-mails que falham no DMARC; quarantine pede que os tratem como suspeitos, normalmente enviando-os para o spam; e reject pede que os recusem durante a entrega. A política é definida pela tag p.
O que é o alinhamento do DMARC?
Uma mensagem passa no DMARC quando o SPF ou o DKIM passa e o domínio aprovado corresponde ao domínio do endereço From visível. O alinhamento relaxado permite que um subdomínio corresponda ao domínio pai. O alinhamento estrito exige correspondência exata.
O que o pct faz em um registro DMARC?
Ele define a porcentagem de e-mails com falha à qual a política se aplica. É usado para implantar quarantine ou reject em fases, por exemplo começando em 10 e aumentando enquanto os relatórios permanecem limpos.
O DMARC garante que e-mails falsificados sejam bloqueados?
Não. A política é um pedido que os destinatários escolhem atender, e a maioria dos grandes destinatários o atende. O encaminhamento e as listas de discussão também podem quebrar o alinhamento; por isso, leia seus relatórios antes de aplicar a política.