Monte um registro DMARC com a política, os endereços de relatório e o alinhamento que você escolher. Cada tag é explicada, e um plano de implantação gradual mostra como ir do monitoramento à aplicação com segurança.
| Tag | Valor | Significado |
|---|
| Etapa | Registro | O que fazer |
|---|---|---|
| 1. Observar | p=none; rua=mailto:... | Colete relatórios por algumas semanas. Liste todos os sistemas que enviam em nome do seu domínio e corrija o SPF ou o DKIM dos legítimos. |
| 2. Começar a aplicar | p=quarantine; pct=10 | Aplique a política a uma pequena parcela dos e-mails que falham e depois aumente o pct em etapas (25, 50, 100) enquanto os relatórios continuarem limpos. |
| 3. Quarentena total | p=quarantine; pct=100 | Permaneça aqui até que nenhuma fonte legítima falhe. |
| 4. Rejeitar | p=reject | Os e-mails que falham são recusados. Continue lendo os relatórios; novos remetentes adicionados depois precisarão ser configurados. |
Quanto tempo ficar em cada etapa depende de quantos sistemas enviam em nome do seu domínio. Os nomes das etapas são uma sugestão nossa, não fazem parte do padrão DMARC.
O gerador roda no seu navegador e não armazena nada. Mantenha sempre um único registro DMARC por domínio, publicado como registro TXT em _dmarc.
SPF e DKIM verificam cada um uma coisa, mas nenhum diz o que fazer quando a verificação falha, e nenhum está ligado ao endereço que as pessoas realmente veem na linha From. O DMARC resolve as duas coisas. Ele diz aos destinatários: só aceitem o e-mail como vindo deste domínio se o SPF ou o DKIM passar usando o mesmo domínio do endereço From, e aqui está o que fazer com o que não passar. Também pede aos destinatários que enviem relatórios, e é assim que você descobre quem está enviando e-mails em nome do seu domínio.
| Tag | O que faz | Observações |
|---|---|---|
| v | Versão | Sempre DMARC1 e sempre o primeiro. |
| p | Política para e-mails que falham: none, quarantine ou reject | Obrigatório. |
| sp | Política para subdomínios | Opcional. Sem ela, os subdomínios seguem p. |
| rua | Para onde enviar relatórios agregados | Muito recomendado. Um ou mais endereços mailto:. |
| ruf | Para onde enviar relatórios de falha | Opcional. Muitos grandes destinatários não os enviam. |
| adkim, aspf | Modo de alinhamento: relaxado (r) ou estrito (s) | Relaxado é o padrão e serve para a maioria dos domínios. |
| pct | Porcentagem de e-mails que falham à qual a política se aplica | Use para implantar quarantine ou reject gradualmente. |
| fo | Quando gerar relatórios de falha | 0 (padrão), 1, d ou s. |
| ri | Segundos solicitados entre relatórios agregados | O padrão é 86400, um dia. Os destinatários podem ignorá-lo. |
O erro comum é publicar p=reject no primeiro dia e descobrir, por faturas que sofreram bounce, que um sistema esquecido estava enviando em seu nome. O caminho seguro é começar observando e endurecer só quando os relatórios estiverem limpos.
A tabela de etapas abaixo do gerador mostra cada passo como um registro que você pode copiar.
O DMARC passa quando o SPF ou o DKIM passa e o domínio aprovado corresponde ao domínio From. Com alinhamento relaxado, um subdomínio conta como correspondência: um e-mail de mail.example.com se alinha a um From de example.com. Com alinhamento estrito, os domínios devem ser idênticos. O estrito só vale a pena quando você controla todos os remetentes e quer a regra mais rígida; ele pode quebrar e-mails legítimos de serviços de terceiros que usam subdomínios.
Se o seu endereço rua estiver em um domínio diferente do que você protege, como um serviço de relatórios, os destinatários verificam se o outro domínio concorda em receber seus relatórios. Isso é feito publicando um registro TXT em seudominio._report._dmarc.outrodominio com o valor v=DMARC1. Os serviços de relatórios normalmente configuram isso para você; o gerador avisa quando for o caso.
Os relatórios rua diários são arquivos XML compactados, um por destinatário, que listam IPs de envio, contagem de mensagens e resultados de SPF e DKIM. É difícil lê-los à mão quando chegam mais do que alguns por dia. A maioria das pessoas usa um serviço de relatórios ou um script para transformá-los em tabela. Seja qual for a opção, revise com regularidade, principalmente depois de adicionar um novo serviço de envio.
Crie um registro TXT chamado _dmarc no seu domínio (então o nome completo é _dmarc.example.com) e cole o valor gerado. Deve haver exatamente um registro DMARC. Depois que o DNS atualizar, rode nosso verificador de SPF, DKIM e DMARC no domínio para confirmar que ele é lido como você pretendia.
Coloca as tags na ordem padrão, adiciona o prefixo mailto: para você e bloqueia a cópia enquanto um endereço for inválido.
Sinaliza reject sem relatórios, alinhamento estrito, relatórios enviados a outro domínio e registros longos o bastante para precisarem ser divididos.
Uma tabela lista todas as tags do seu registro com seu significado, para você saber o que está publicando.
Um plano em quatro etapas leva você de p=none a p=reject.
v=DMARC1; p=none; rua=mailto:um-endereco-que-voce-le. Ele não altera nada na entrega e inicia os relatórios que mostram quem envia em nome do seu domínio.
O quarantine pede aos destinatários que tratem os e-mails que falham como suspeitos, em geral colocando-os no spam. O reject pede que os recusem. Ambos dependem de o destinatário optar por seguir a sua política.
Define a parcela dos e-mails que falham à qual a política se aplica. Serve para introduzir quarantine ou reject aos poucos: comece baixo e aumente enquanto os relatórios continuarem limpos.
Em geral, não. O alinhamento relaxado permite que subdomínios correspondam, o que atende à maioria das configurações. O alinhamento estrito pode fazer e-mails legítimos de serviços de terceiros falharem se eles usarem um subdomínio.
Normalmente não. Os relatórios de falha são opcionais, muitos grandes destinatários não os enviam e eles podem conter partes do conteúdo da mensagem. Os relatórios agregados (rua) são os úteis.
Como um registro TXT chamado _dmarc no seu domínio, por exemplo _dmarc.example.com. Só pode haver um.
Cada destinatário envia os relatórios mais ou menos uma vez por dia, e apenas sobre os e-mails que processou. Aguarde alguns dias após a publicação e confira se o endereço está escrito corretamente e, se estiver em outro domínio, se está autorizado lá.
Veja o que os destinatários enxergam do seu domínio: SPF, DKIM e DMARC em uma só execução.
Crie uma conta, adicione seu domínio e envie seu primeiro e-mail.