DMARC: o que os destinatários devem fazer com e-mails falsos

Módulo 4: Registos para e-mail · Tempo de leitura: 10 minutos

Objetivo de aprendizagem: Após esta lição, saberá explicar como o DMARC combina o SPF e o DKIM, criar um registo DMARC válido e reforçar a política passo a passo.

Conceitos-chave: DMARC, _dmarc, v=DMARC1, política p=none / quarantine / reject, alinhamento (alignment), relatórios rua, sp= e np=, modo de teste t=, um único registo DMARC

A peça em falta

O SPF (lição 4.3) verifica de que servidor vem um e-mail, mas olha para o endereço técnico de envelope. O DKIM (lição 4.4) verifica uma assinatura, mas esta pode ser de qualquer domínio. Um burlão pode, assim, enviar um e-mail com "De: info@example.com" que passa facilmente no SPF para o seu próprio domínio e está devidamente assinado pelo seu próprio domínio.

O DMARC (Domain-based Message Authentication, Reporting and Conformance) fecha esse ciclo. Coloca uma única pergunta: a verificação de SPF ou DKIM bem-sucedida corresponde ao domínio que o destinatário vê no endereço "De:"? A isso chama-se alinhamento (alignment). E você indica aos destinatários o que devem fazer se a resposta for não.

O DMARC foi descrito em 2015 na RFC 7489. Em maio de 2026, a versão revista foi publicada como norma oficial da internet: RFC 9989 (com a RFC 9990 e a RFC 9991 para os relatórios). Os registos existentes com v=DMARC1 continuam válidos.

Como decide um destinatário

Quando chega um e-mail com remetente info@example.com, o destinatário faz o seguinte:

1. SPF: o e-mail vem de um servidor autorizado e o domínio de envelope corresponde a example.com?
2. DKIM: existe uma assinatura válida e o domínio assinante (d=) corresponde a example.com?
3. DMARC: pelo menos um destes dois teve sucesso e está alinhado? Então o e-mail está em ordem. Se não, o destinatário segue a sua política.

Basta que um dos dois tenha sucesso. Por isso o DKIM é tão importante para serviços que enviam com o seu próprio endereço de envelope, como acontece com muitos serviços de newsletter: nesses casos, o SPF até tem sucesso, mas não para o seu domínio. Só uma assinatura DKIM com d=example.com faz com que fique em ordem.

"Corresponder" significa, por predefinição: o mesmo domínio organizacional. nieuws.example.com corresponde a example.com. A isto chama-se alinhamento relaxed. Com adkim=s ou aspf=s (strict) tem de ser exatamente o mesmo domínio. Para quase todos, o relaxed é suficiente.

Como é um registo DMARC?

Um registo DMARC é um registo TXT no nome _dmarc do seu domínio:

_dmarc.example.com.  3600  IN  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"

É composto por partes (tags) separadas por ponto e vírgula.

Escolher a política

Ordem recomendada:

1. Primeiro acertar o SPF e o DKIM, para todos os serviços que enviam e-mail em seu nome: o seu fornecedor de e-mail, o seu website, o seu serviço de newsletter, o seu programa de contabilidade, a sua loja online.
2. Comece com p=none e um endereço rua. Durante algumas semanas, verifique nos relatórios que serviços enviam e-mail em nome do seu domínio e se são bem-sucedidos.
3. Passe para p=quarantine e, se tudo continuar a correr bem, passe para p=reject.

Se tiver dúvidas sobre se todos os seus serviços estão bem configurados, não passe imediatamente para reject. Um serviço esquecido (por exemplo, o programa que envia as suas faturas) deixará de chegar ao destinatário.

Algumas empresas de alojamento configuram logo, num pacote novo, um registo DMARC rigoroso (p=reject). Isso é seguro desde que todo o seu e-mail passe pelos servidores delas. Se também enviar e-mail através de outros serviços, verifique primeiro o SPF e o DKIM desses serviços.

Relatórios

Com rua=mailto:dmarc@example.com recebe diariamente, dos grandes destinatários, um resumo (um ficheiro XML) de quem enviou e-mail em nome do seu domínio e se foi bem-sucedido. Útil, mas técnico. Utilize um endereço próprio para isso; rapidamente recebe vários por dia. Existem serviços que tornam os relatórios legíveis.

Se enviar os relatórios para um endereço de outro domínio (por exemplo, um serviço de relatórios), esse outro domínio tem de dar autorização no seu DNS. O serviço normalmente trata disso automaticamente.

Erros comuns

• Dois registos DMARC. Só pode haver um em _dmarc. Com dois, o destinatário age como se não existisse DMARC. Ajuste o registo existente.
• No nome errado. O registo deve estar em _dmarc.example.com, não em example.com propriamente dito.
• Erros de escrita nas tags. p=reject funciona, p=rejected ou policy=reject não. Sem um p= válido, o registo conta como p=none.
• Ativar o DMARC antes de o SPF e o DKIM estarem corretos. Nesse caso, está a rejeitar o seu próprio e-mail.
• Verificar de novo demasiado depressa após uma alteração. Um registo DMARC tem por vezes uma TTL longa (por exemplo, quatro horas). Após uma alteração, ainda verá o registo antigo durante algum tempo.

Porque é que isto é importante

Desde fevereiro de 2024, o Gmail e o Yahoo exigem aos remetentes de grandes volumes de e-mail (mais de cerca de 5.000 por dia) um registo DMARC, no mínimo com p=none, e que o SPF ou o DKIM tenha sucesso alinhado. A Microsoft exige o mesmo desde maio de 2025 para o Outlook.com e o Hotmail. Mesmo para pequenos remetentes, o DMARC melhora a entrega e protege os seus clientes contra faturas falsas em seu nome.

Na prática: como se apresenta num painel

Neste exemplo, utilizamos o DirectAdmin. Em Administração de DNS, clica no lápis junto ao registo TXT _dmarc, ou cria um novo registo TXT com o nome _dmarc e escolhe DMARC em Tipo de registro TXT. Em Tipo de política de domínio escolhe Nenhum, Quarentena ou Rejeitar; em E-mail agregado (RUA) preenche, se quiser, um endereço de relatórios. O meu WebOké tem um assistente DMARC semelhante no separador DNS.

Se o seu painel não tiver essa ajuda, crie um registo TXT normal em _dmarc e escreva o texto você mesmo. O resultado é igual.

Resumo

• O DMARC verifica se o SPF ou o DKIM têm sucesso para o domínio no endereço "De:" (alinhamento).
• O registo fica em _dmarc.<domínio>, começa com v=DMARC1 e tem uma política p=none, quarantine ou reject.
• Primeiro o SPF e o DKIM para todos os serviços, depois p=none com relatórios, depois reforçar.
• Exatamente um registo DMARC por domínio.

Quiz

Exercício

Exercício Z4.5: Procurar o DMARC. Procure o registo DMARC de sidn.nl (o website da SIDN, a entidade gestora do registo de .nl na Holanda) (ou do seu próprio domínio). Cole o registo completo e indique qual é a política (p=) presente.

Exercício O4.5: Configurar você mesmo na sua zona de treino. Na zona de treino, envia os relatórios para um endereço de treino fixo; no seu domínio real, utiliza um endereço seu. Crie na sua zona de treino <code>.dnspractice.eu um registo DMARC com política quarantine (ou none se preferir começar por monitorizar) e relatórios para dmarc@dnspractice.eu (rua=mailto:dmarc@dnspractice.eu).

Para saber mais

Os passos descritos nestes artigos aplicam-se aos painéis da WebOké; noutros painéis o funcionamento é semelhante.

• O que é o DMARC? Explicação em linguagem simples
• Manual DirectAdmin 5.9: Configurar o DMARC
• Criar registo DMARC no DirectAdmin
• Manual do WebOké 5.5: Assistentes de DNS: MX, SPF, DMARC, CAA e SRV
• Verificação pública de e-mail (SPF, DMARC, MX): https://www.weboke.nl/pt/verificar-email, e o teste de e-mail do internet.nl: https://internet.nl
• RFC 9989 (DMARC), RFC 9990 (relatórios); historicamente RFC 7489