O DMARC permite que o dono de um domínio diga aos servidores receptores o que fazer com mensagens que falham no alinhamento de SPF e DKIM, e pede que eles enviem relatórios a respeito. Ele protege seu domínio contra o uso em endereços From falsificados.

Devo começar com p=none?

Sim. Uma política p=none não toma nenhuma ação sobre as mensagens com falha, mas coleta relatórios, para que você encontre todos os remetentes legítimos e os corrija antes de passar para quarantine e depois para reject.

Posso ter dois registros DMARC?

Não. Publique exatamente um registro TXT de DMARC em _dmarc.yourdomain. Dois registros tornam a política inválida, e os receptores podem ignorar ambos.

Quanto tempo até eu poder passar para reject?

Depende de quantos sistemas enviam em nome do seu domínio. Muitas equipes passam várias semanas lendo relatórios e corrigindo remetentes antes de avançar, e fazem isso por etapas, não de uma só vez.

Como configurar o DMARC: guia passo a passo

Resumo rápido. Host do registro: _dmarc.yourdomain.com (TXT) · Comece com: p=none mais um endereço rua · Avance: quarantine e depois reject, por etapas · Um só registro: dois registros invalidam ambos

Resumo

O que o DMARC faz. DMARC significa Domain-based Message Authentication, Reporting and Conformance.
Antes de começar. O DMARC passa quando o SPF ou o DKIM passa e o domínio aprovado corresponde, ou está alinhado, ao domínio do endereço From.
Passo 1: publique um registro em modo de monitoramento. O DMARC é um registro TXT em _dmarc.yourdomain.com.
Passo 2: leia os relatórios agregados. Os receptores enviam relatórios XML diários para o endereço rua.
Um exemplo prático de leitura de relatório. Imagine que um relatório mostre três origens para o seu domínio.
DMARC com provedores de caixa de e-mail comuns. Se o e-mail da sua equipe roda no Google Workspace ou no Microsoft 365, cada provedor tem os próprios passos para ativar a assinatura DKIM do seu domínio e o próprio valor de include do SPF.

O que o DMARC faz

DMARC significa Domain-based Message Authentication, Reporting and Conformance. Ele se apoia em duas verificações mais antigas. O SPF diz quais servidores podem enviar em nome do seu domínio, e o DKIM acrescenta uma assinatura que prova que a mensagem não foi alterada. O DMARC acrescenta duas coisas: uma regra sobre o que os receptores devem fazer quando as duas verificações não se alinham com o seu domínio From visível e uma forma de os receptores enviarem relatórios a você.

Sem o DMARC, qualquer pessoa pode colocar o seu domínio na linha From, e os receptores não têm nenhuma instrução sua sobre o que fazer. Com ele, você consegue ver o uso indevido e, quando estiver pronto, pedir aos receptores que o rejeitem.

Antes de começar

O DMARC passa quando o SPF ou o DKIM passa e o domínio aprovado corresponde, ou está alinhado, ao domínio do endereço From. Por isso, SPF e DKIM já precisam estar funcionando para todos os serviços que enviam em nome do seu domínio: seu serviço de envio, o provedor de caixa de e-mail do escritório, seu CRM, sua central de suporte e qualquer ferramenta de faturamento.

Faça uma lista de todos eles. Remetentes esquecidos são, de longe, o motivo mais comum para uma implantação de DMARC quebrar e-mails legítimos. Nosso verificador gratuito mostra o que está publicado hoje.

Passo 1: publique um registro em modo de monitoramento

O DMARC é um registro TXT em _dmarc.yourdomain.com. Comece com a política p=none, que pede aos receptores que não tomem nenhuma ação, mas ainda assim enviem relatórios. Troque o endereço por uma caixa de e-mail que você realmente leia ou por um serviço de relatórios.

v=DMARC1; p=none; rua=mailto:dmarc-reports@yourdomain.com

Alguns painéis de DNS acrescentam o nome do domínio por você, então basta informar _dmarc como host. Outros exigem o nome completo. Se o seu painel remove as aspas ou divide valores longos, confira o resultado com uma ferramenta de consulta em vez de confiar na tela.

Passo 2: leia os relatórios agregados

Os receptores enviam relatórios XML diários para o endereço rua. Cada um lista os endereços IP que enviaram e-mails dizendo ser o seu domínio, quantas mensagens e se o SPF e o DKIM passaram e se alinharam. O XML bruto é difícil de ler, por isso a maioria das equipes usa um visualizador de relatórios gratuito ou pago.

Procure duas coisas. Remetentes legítimos que falham no alinhamento, que você precisa corrigir, e origens que você não reconhece, que podem ser spoofing. Dê um prazo de duas a quatro semanas para que remetentes mensais, como os ciclos de cobrança, também apareçam.

Um exemplo prático de leitura de relatório

Imagine que um relatório mostre três origens para o seu domínio. A primeira é o seu serviço de envio: 40.000 mensagens, SPF e DKIM passam e se alinham. A segunda é o provedor de caixa de e-mail do escritório: 600 mensagens, o DKIM passa e se alinha. A terceira é um servidor desconhecido em outro país: 900 mensagens, ambos falham.

As duas primeiras não exigem ação. A terceira é uma ferramenta que você esqueceu ou alguém se passando por você. Descubra qual das duas antes de endurecer a política. Se for uma ferramenta esquecida, corrija a autenticação dela. Se não for sua, esse é exatamente o tráfego que o p=reject deve barrar.

DMARC com provedores de caixa de e-mail comuns

Se o e-mail da sua equipe roda no Google Workspace ou no Microsoft 365, cada provedor tem os próprios passos para ativar a assinatura DKIM do seu domínio e o próprio valor de include do SPF. Faça isso primeiro e só depois publique o DMARC. Muitas pequenas empresas na Índia gerenciam o DNS por um painel de registrador, como GoDaddy, BigRock ou Hostinger, ou pelo Cloudflare, e o registro TXT funciona da mesma forma em todos.

Seja qual for o que você usa, adicione o registro DMARC uma única vez e confira com uma consulta após alguns minutos. As alterações de DNS podem levar tempo para se propagar, e alguns painéis mantêm cache por horas.

Passo 3: corrija o que falha

Para cada remetente legítimo que falha, decida se deve corrigir o SPF, o DKIM ou ambos. Uma ferramenta de terceiros que envia pelo próprio domínio precisa de uma assinatura DKIM personalizada para o seu. Um servidor esquecido precisa ser adicionado ao SPF, respeitando o limite de dez consultas DNS.

E-mails encaminhados podem falhar no SPF porque o servidor do encaminhador não está no seu registro. O DKIM geralmente sobrevive ao encaminhamento, e esse é um bom motivo para garantir que todo remetente assine.

Passo 4: passe para quarantine e depois para reject

Quando os relatórios mostrarem que seu e-mail legítimo está passando, endureça a política por etapas. O p=quarantine pede aos receptores que tratem as falhas como suspeitas, normalmente enviando-as para o spam. O p=reject pede que recusem a mensagem. A tag pct permite aplicar a política primeiro a uma parte do e-mail.

v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc-reports@yourdomain.com

Avance um passo de cada vez e acompanhe os relatórios por algumas semanas em cada etapa. Não há prêmio por chegar rápido ao reject, e uma mudança apressada pode bloquear faturas e redefinições de senha.

Subdomínios e outras tags

Um registro DMARC também se aplica aos subdomínios, a menos que você acrescente uma tag sp. Se você envia e-mail de marketing de um subdomínio, pode publicar um registro separado nele. As tags adkim e aspf controlam o rigor do alinhamento. O modo relaxed, que é o padrão, permite que um subdomínio corresponda ao domínio organizacional. A maioria dos remetentes deve deixar ambas como estão.

Você pode ver uma tag ruf para relatórios forenses. Poucos receptores os enviam, e eles podem conter o conteúdo das mensagens, por isso a maioria das organizações não os usa.

Erros a evitar

Publicar dois registros DMARC no mesmo domínio torna ambos inválidos, então mantenha exatamente um. Não pule para p=reject no primeiro dia. Não aponte os relatórios para uma caixa de e-mail que ninguém lê. E não trate o DMARC sozinho como uma correção de entregabilidade: ele comprova quem você é, não que o seu e-mail é desejado. A qualidade da lista e as taxas de reclamação continuam decidindo se você chega à caixa de entrada.

Os grandes provedores de caixa de e-mail agora esperam que remetentes em massa tenham SPF, DKIM e DMARC configurados, por isso vale fazer mesmo que o seu volume seja modesto. Nosso guia sobre os requisitos dos provedores de caixa de e-mail explica o que cada um pede.

Leitura complementar e fontes

Faça no MigoSMTP: artigos da central de ajuda

Guias e ferramentas relacionados

Gerador de registro DMARC: monte um registro para colar no DNS.
Verifique SPF, DKIM e DMARC: teste os registros do seu domínio.
Requisitos dos provedores de caixa de e-mail: o que Gmail, Outlook e Yahoo esperam.

Não tem certeza de que seus registros estão corretos? Use nosso verificador gratuito ou envie-nos um cabeçalho e nós ajudamos você a lê-lo.

Comece grátis

Como configurar o DMARC: guia passo a passo com exemplos