Tab & Tap
Português (Brasil)

Guia

Verificar DMARC: como ler o registro DMARC tag por tag

O DMARC diz aos servidores de e-mail de destino o que fazer com mensagens que dizem vir do seu domínio mas falham no SPF e no DKIM. Um registro errado deixa passar e-mails falsificados ou manda os seus próprios e-mails para o spam. Veja como verificar o seu.

Onde fica o registro DMARC

O DMARC é um registro TXT em _dmarc. antes do seu domínio. Para example.com, consulte o registro TXT de _dmarc.example.com:

_dmarc.example.com.  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com; pct=100"

Deve existir exatamente um registro desses. Com dois registros DMARC, os servidores de destino ignoram os dois.

As tags que importam

TagSignificadoExemplo
vVersão. Deve vir primeiro e deve ser DMARC1.v=DMARC1
pPolítica do domínio: none (só relatórios), quarantine (tratar como suspeito, geralmente pasta de spam) ou reject (recusar a mensagem).p=reject
spPolítica para subdomínios. Por padrão, igual a p.sp=quarantine
pctPorcentagem das mensagens reprovadas às quais a política se aplica, de 0 a 100. Padrão: 100.pct=25
ruaPara onde vão os relatórios agregados.rua=mailto:dmarc@example.com
rufPara onde vão os relatórios de falha. Muitos provedores não os enviam.ruf=mailto:forensic@example.com
adkim, aspfModo de alinhamento de DKIM e SPF: r relaxado (subdomínios coincidem, padrão) ou s estrito.adkim=s

p=none, quarantine ou reject?

  • p=none não protege nada; os servidores de destino só enviam relatórios. Use por algumas semanas para ver quem envia e-mails em nome do seu domínio.
  • p=quarantine manda os e-mails reprovados para o spam. Um passo seguro quando todos os seus serviços já passam.
  • p=reject bloqueia totalmente os e-mails falsificados. O objetivo para a maioria dos domínios.

Um registro com p=none e sem rua não dá nem proteção nem relatórios, ou seja, não faz nada.

Como o DMARC decide: alinhamento

Uma mensagem passa no DMARC quando o SPF ou o DKIM passa e o domínio verificado coincide com o domínio do cabeçalho From. O SPF verifica o remetente do envelope (Return-Path); o DKIM verifica o domínio d= da assinatura. Um serviço de newsletter que assina com o próprio domínio passa no DKIM mas falha no alinhamento DMARC até você configurar o DKIM do seu domínio nesse serviço.

Erros comuns

  • O registro está no próprio domínio em vez de em _dmarc.
  • Dois registros DMARC, ou um registro DMARC dentro de um registro SPF.
  • pct deixado abaixo de 100 depois dos testes, então a maior parte dos e-mails falsificados continua sendo entregue.
  • Mudar para p=reject antes de todos os serviços de envio (CRM, helpdesk, newsletters) passarem no SPF ou no DKIM com alinhamento.
  • Relatórios enviados para um endereço de outro domínio sem o registro de autorização desse domínio.

Verifique também o SPF e o DKIM

O DMARC depende dos outros dois. Um registro SPF deve ficar dentro de 10 consultas DNS, incluindo os includes aninhados, ou falha com erro permanente. As chaves DKIM ficam sob um nome de seletor (por exemplo google._domainkey) que o DNS não consegue listar, então você precisa saber qual seletor o seu provedor usa.

Fontes