Ler um relatório DMARC
Com um registo DMARC, informa os destinatários sobre o que devem fazer com mensagens de correio que alegadamente vêm do seu domínio, mas que não passam na verificação. Também pode pedir que lhe enviem relatórios. Neles pode ver quais os servidores que enviam correio em nome do seu domínio, e se esse correio passa nas verificações SPF, DKIM e DMARC. Assim, consegue encontrar um serviço que tinha esquecido, e ver se alguém está a utilizar indevidamente o seu domínio. Pode ler o que é o DMARC em O que é o DMARC? Explicação em linguagem simples.
Ativar relatórios: o endereço rua
Só recebe relatórios se o seu registo DMARC tiver um endereço de relatório, a seguir a rua=. O registo padrão num pacote de alojamento da WebOké é v=DMARC1;p=reject, sem endereço de relatório. Nesse caso, não recebe relatórios. Pode adicionar um endereço sem alterar a sua política:
v=DMARC1; p=reject; rua=mailto:dmarc@osseudominio.nl
No DirectAdmin, clique em DNS Management no ícone de lápis a seguir ao registo _dmarc e introduza o endereço em Geaggregeerde e-mail (RUA). Consulte Configurar o DMARC. Em O meu WebOké, utilize o assistente DMARC no separador DNS: Assistentes de DNS: MX, SPF, DMARC, CAA e SRV. A política (p=) a escolher está explicada em Criar um registo DMARC no DirectAdmin.
Além disso, existe o ruf=, para relatórios de erro sobre mensagens individuais que falharam. Estes podem conter partes de correio real, e quase nenhum grande destinatário os envia. Deixe ruf vazio: só precisa dos relatórios agregados de rua.
dmarc@osseudominio.nl, para que o seu correio habitual não fique inundado. Mantenha essa caixa de correio sob vigilância: os relatórios também ocupam espaço de armazenamento.O que recebe
Um relatório é uma mensagem de correio com um anexo: um ficheiro XML, normalmente compactado como .gz ou .zip. O nome indica quem o envia, sobre que domínio e sobre que período, por exemplo google.com!osseudominio.nl!1793923200!1794009599.xml.gz. Os números são momentos no tempo, em segundos desde 1970. Não contém o conteúdo do correio: apenas, por servidor de envio, quantas mensagens houve e como correram as verificações.
Ler uma linha
Cada bloco <record> refere se a um único endereço IP de envio:
<row>
<source_ip>198.51.100.40</source_ip>
<count>1250</count>
<policy_evaluated>
<disposition>none</disposition>
<dkim>fail</dkim>
<spf>fail</spf>
</policy_evaluated>
</row>
<identifiers>
<header_from>osseudominio.nl</header_from>
</identifiers>
<auth_results>
<dkim><domain>servicodenewsletter.example</domain><result>pass</result></dkim>
<spf><domain>bounce.servicodenewsletter.example</domain><result>pass</result></spf>
</auth_results>
| Elemento | Significado |
|---|---|
source_ip | O endereço IP do servidor que entregou a mensagem de correio. |
count | Quantas mensagens deste endereço IP tiveram este resultado. |
disposition | O que o destinatário fez: pass ou none (entregue), quarantine (pasta de spam) ou reject (recusado). |
dkim e spf em policy_evaluated | O resultado do DMARC: o DKIM ou o SPF foi bem sucedido para um domínio associado ao seu endereço de remetente (alinhado)? |
header_from | O domínio indicado no endereço de remetente da mensagem. |
auth_results | O resultado bruto do SPF e do DKIM, com o domínio a que se aplicou. |
Repare na diferença entre auth_results e policy_evaluated. No exemplo, tanto o DKIM como o SPF são bem sucedidos, mas para o domínio do serviço de newsletter. Esse domínio não está associado a osseudominio.nl, pelo que o DMARC falha. Com p=reject, estas 1250 mensagens são recusadas.
Como encontrar um serviço esquecido
- Verifique, em cada linha, o elemento
policy_evaluated. Sedkimouspfindicarempass, essa origem está em ordem. - Falham ambos? Verifique em
auth_resultsqual o domínio indicado. Reconhece algum dos seus próprios serviços, como o programa de contabilidade, a loja online ou o serviço de newsletter? Nesse caso, ative o DKIM nesse serviço com o seu próprio domínio, e adicione o serviço ao seu registo SPF, se necessário. Consulte Adicionar ou alterar um registo SPF no DirectAdmin e Configurar o DKIM quando o DNS está noutra entidade. - Não reconhece nenhum domínio? Procure a quem pertence o endereço IP, por exemplo através de uma consulta whois. Um endereço IP desconhecido em que tudo falha é, geralmente, alguém a utilizar indevidamente o seu domínio. É precisamente contra isso que a sua política DMARC o protege.
Vê um endereço IP desconhecido em que o SPF falha, mas o DKIM é bem sucedido para o seu próprio domínio? Isso costuma ser correio seu que alguém reencaminhou. Nesse caso, o DMARC é bem sucedido através do DKIM, e não precisa de fazer nada.
Tornar os relatórios legíveis
Um único relatório pode ser aberto num navegador ou num programa que mostre XML. Se receber muitos, existem serviços de relatórios (alguns gratuitos) e programas de código aberto que recolhem os relatórios e criam resumos a partir deles. Tenha em conta que um serviço desses passa a ver quais os servidores que enviam correio em nome do seu domínio. Escolha um de confiança e que cumpra o RGPD.
O endereço de relatório está noutro domínio que não o seu, por exemplo num serviço de relatórios? Nesse caso, esse outro domínio tem de dar autorização através de um registo especial, como osseudominio.nl._report._dmarc.servicoderelatorios.example. Sem esse registo, os destinatários não enviam relatórios para esse endereço. Um serviço de relatórios trata normalmente desse registo por si só. Para mais informação: RFC 9990, capítulo 4.