SPF, DKIM e DMARC: assim evita e-mail falso em seu nome

Módulo 4: E-mail, site e domínio · Tempo de leitura: 9 minutos

Objetivo de aprendizagem: Após esta lição, saberá explicar como o SPF, o DKIM e o DMARC trabalham em conjunto para impedir o uso indevido do seu domínio, onde está o limite destas proteções, e saberá verificar e avaliar o estado do seu próprio domínio.
Conceitos chave: spoofing, SPF, DKIM, DMARC, alinhamento, política none / quarantine / reject, relatórios DMARC, null MX, domínio lookalike

Porque é que este é um tema de segurança

No módulo 1 viu como funciona a fraude de faturas: um cliente recebe um e-mail "de" factuur@example.com com um novo IBAN. Se o seu domínio não estiver protegido, um burlão não precisa de hackear nada para o fazer. O e-mail foi criado nos anos oitenta sem qualquer verificação do remetente. Qualquer servidor de e-mail do mundo pode enviar uma mensagem com o seu endereço no campo "De:". A isto chama-se spoofing.

A vítima não é você, mas sim o seu cliente ou fornecedor. Ainda assim, é o seu nome que fica manchado e, muitas vezes, é o seu telefone que toca. Por isso, a proteção do seu domínio de e-mail tem lugar numa formação de segurança, e não apenas em "garantir que o e-mail chega".

Três registos DNS garantem, em conjunto, que os destinatários conseguem reconhecer e rejeitar e-mails falsos enviados em seu nome: SPF, DKIM e DMARC. Nesta lição irá aprender o que fazem em conjunto, o que não fazem e como avaliar o seu próprio domínio. Os detalhes técnicos (a estrutura de cada registo, as armadilhas na configuração) estão no curso de DNS, lições 4.3, 4.4 e 4.5, e brevemente no curso E-mail em Ordem (em desenvolvimento).

Três verificações, uma pergunta

A ideia mais importante: o SPF e o DKIM, por si só, não são suficientes. Um burlão pode enviar um e-mail que passa corretamente o SPF para o seu próprio domínio e está corretamente assinado por esse mesmo domínio, enquanto no campo "De:" consta info@example.com. Só o DMARC faz a ligação com o endereço que o seu cliente vê. E só o DMARC diz ao destinatário o que fazer quando algo não bate certo.

Um destinatário regista o resultado nos cabeçalhos do e-mail. Na lição 3.3 aprendeu a lê-los. Um e-mail falso em seu nome tem, por exemplo, este aspeto do lado do destinatário:

From: "Bakkerij Example" <factuur@example.com>
Authentication-Results: mx.leverancier.example;
  spf=pass smtp.mailfrom=bounce.goedkopemailer.example;
  dkim=pass header.d=goedkopemailer.example;
  dmarc=fail (p=reject) header.from=example.com

O SPF e o DKIM são bem sucedidos, mas para outro domínio. O DMARC falha e, como a política de example.com está definida como reject, o destinatário rejeita o e-mail.

Os três estados de política do DMARC

Muitas empresas ficam anos a fio em p=none. Isso é compreensível, pois é seguro para o seu próprio e-mail, mas não é um ponto final. Com p=none tem um sistema de alarme que dispara mas não tranca a porta.

A ordem correta

Uma política demasiado rigorosa num domínio cujos remetentes não são todos conhecidos faz desaparecer as suas próprias faturas ou boletins informativos. Uma política demasiado branda deixa os burlões à solta. A ordem que funciona para quase todos:

1. Faça uma lista de tudo o que envia e-mails em nome do seu domínio. O seu fornecedor de e-mail, mas também o seu site (formulário de contacto, loja online), o seu programa de contabilidade, o seu serviço de newsletter, o seu sistema de marcações. É isto que as pessoas mais se esquecem.
2. Coloque o SPF em ordem: exatamente um registo, com todos os remetentes incluídos, terminando em ~all (predefinição segura) ou -all (se tiver a certeza de que a lista está correta). Nunca +all.
3. Ative o DKIM para cada serviço que o suporte, com exatamente os registos que o serviço indica.
4. Comece o DMARC com p=none e um endereço de relatório (rua=mailto:dmarc@example.com). Observe durante algumas semanas nos relatórios quais os serviços que passam e quais não.
5. Avance para p=quarantine e depois para p=reject assim que já não vir falhar e-mail próprio.

Um domínio que nunca envia e-mails (um nome de marca que apenas registou, um domínio antigo) pode ser protegido rigorosamente de imediato. É precisamente este tipo de domínios que os burlões procuram, porque ninguém os vigia:

example.net.          MX   0 .
example.net.          TXT  "v=spf1 -all"
_dmarc.example.net.   TXT  "v=DMARC1; p=reject"

O null MX (0 .) indica "aqui não chega e-mail nenhum", o -all indica "ninguém pode enviar e-mails em nome deste domínio", e o p=reject pede aos destinatários para rejeitar tudo.

O que não impede

O SPF, o DKIM e o DMARC protegem o seu domínio exato. Não são um filtro de phishing. Há três coisas que não impedem:

• Domínios lookalike. Um burlão regista examp1e.example ou example-facturen.example e configura aí, corretamente, o seu próprio SPF, DKIM e DMARC. Esse e-mail passa em todo o lado. Só a leitura cuidadosa do domínio (lição 3.2) ajuda, e eventualmente o registo das variantes mais óbvias do seu próprio nome.
• Apenas o nome de exibição. Um e-mail de bakkerij.example.factuur@gratismail.example com o nome de exibição "Bakkerij Example" não tem qualquer relação com o seu domínio. O DMARC verifica o endereço, não o nome.
• Uma caixa de correio pirateada. Se um atacante iniciar sessão em info@example.com, envia o e-mail através do seu servidor real. Esse e-mail passa no SPF, no DKIM e no DMARC, pois tecnicamente é autêntico. É contra isto que protegem palavras-passe fortes e a autenticação de dois fatores (2FA) (módulo 2).

O SPF, o DKIM e o DMARC provam que um e-mail vem do domínio. Não provam que o domínio é fiável, nem que o remetente é quem diz ser.

O que lhe traz a si e aos seus clientes

• Proteção dos seus clientes. Com p=reject, faturas falsas no seu nome exato são rejeitadas pelos grandes fornecedores de e-mail antes de o seu cliente as ver.
• Melhor entrega. Desde fevereiro de 2024 que o Gmail e o Yahoo exigem a quem envia mais de cerca de 5.000 e-mails por dia que tenha SPF, DKIM e DMARC (pelo menos p=none); a Microsoft colocou essa exigência desde maio de 2025 para o Outlook.com e o Hotmail. Também para remetentes pequenos, o e-mail com boa autenticação acaba menos vezes no spam.
• Visibilidade sobre o uso indevido. Os relatórios DMARC mostram se alguém está a tentar usar o seu domínio. Use um endereço próprio para isso; recebe rapidamente alguns relatórios por dia.

O DMARC foi revisto em maio de 2026 como RFC 9989, que substitui a RFC 7489. Os registos existentes com v=DMARC1 continuam a funcionar normalmente.

Na prática: assim é que se faz

Pode verificar o estado de qualquer domínio sem instalar nada. De forma independente, pode fazê-lo com o teste de e-mail do internet.nl. Também a verificação pública de e-mail e o estado de saúde do domínio da WebOké mostram o SPF, o DMARC e o MX com um ponto verde, laranja ou vermelho. Se o seu domínio estiver na WebOké, a mesma verificação está disponível como cartão na página do domínio em O meu WebOké, com um botão para adicionar um registo DMARC em falta com p=none. Noutros fornecedores, funciona de forma semelhante: procure por "autenticação de e-mail" ou pelas definições de DNS do seu domínio.

Preste atenção, em cada ferramenta, ao que significa "verde". Algumas ferramentas já apresentam verde com p=none, porque o registo é válido. Do ponto de vista da segurança, p=none é laranja: o registo está em ordem, a proteção ainda não.

Resumo

• Sem proteção, qualquer pessoa pode enviar e-mails com o seu endereço no campo "De:" (spoofing).
• O SPF indica quais os servidores que podem enviar e-mails, o DKIM coloca uma assinatura, o DMARC verifica se um dos dois é bem sucedido para o domínio que o seu cliente vê e indica o que deve acontecer se não for.
• Ordem: inventariar remetentes, SPF, DKIM, DMARC p=none com relatórios, depois quarantine e reject. Fechar imediatamente os domínios que não enviam e-mails.
• Não protegem contra domínios lookalike, nomes de exibição enganadores ou uma caixa de correio pirateada.
• p=none é um começo, não uma proteção.

Questionário

Exercício

Exercício A4.1: Avaliar a proteção de e-mail do seu domínio. Introduza o nome do seu próprio domínio (se não tiver, use sidn.nl). O programa consulta o MX, o SPF e o DMARC e indica, para cada parte, verde, laranja ou vermelho com explicação. Depois, indique qual é a política DMARC existente e qual seria o seu próximo passo.

Exercício D4.1: Quem envia e-mails em nome do seu domínio? Faça uma lista de todos os serviços que enviam e-mails com um endereço do seu domínio: fornecedor de e-mail, site, loja online, contabilidade, newsletter, sistema de marcações. Assinale, por serviço, se consta do seu SPF e se usa DKIM com o seu próprio domínio. Escreva qual a política DMARC que pretende ter dentro de três meses e o que ainda precisa de acontecer para isso.

Para saber mais

Os passos indicados nos artigos da WebOké aplicam-se ao ambiente da WebOké; noutros fornecedores funciona de forma semelhante.

• Curso de DNS, lições 4.3 (SPF), 4.4 (DKIM) e 4.5 (DMARC): https://www.weboke.nl/pt/dns-cursus
• O que é o DMARC? Explicação em linguagem simples
• Como funciona o registo SPF no DNS?
• Criar registo DMARC no DirectAdmin
• Manual DirectAdmin 5.7: Configurar e complementar o SPF
• Manual DirectAdmin 5.8: Ativar e verificar o DKIM
• Manual DirectAdmin 5.9: Configurar o DMARC
• Verificação pública de e-mail: https://www.weboke.nl/pt/verificar-email
• Internet.nl, teste de e-mail (independente): https://internet.nl