O que o DMARC verifica
SPF e DKIM comprovam, cada um, algo sobre um domínio, mas nenhum deles verifica o endereço na linha From, que é o endereço que as pessoas leem. O DMARC vincula essas verificações a esse endereço. Uma mensagem passa no DMARC quando SPF ou DKIM passa para um domínio que corresponde ao domínio de From, e o registro informa aos servidores receptores o que fazer com uma mensagem que não passa.
O registro fica no DNS como um registro TXT em _dmarc seguido pelo seu domínio. Quando não há um registro nesse nome, os servidores receptores consultam o domínio organizacional, ou seja, o domínio registrado, como example.com para news.example.com. Por isso, um subdomínio pode ser coberto sem ter um registro próprio.
Como interpretar a política DMARC
p=none solicita que os servidores receptores não tomem nenhuma ação e apenas enviem relatórios. É por onde todos devem começar, mas também onde muitos domínios permanecem por anos. Enquanto essa política estiver em vigor, qualquer pessoa poderá enviar e-mails com seu domínio na linha From, e o servidor receptor terá sido orientado a deixá-los passar.
p=quarantine envia para o spam as mensagens que falham, enquanto p=reject as recusa antes da entrega. Desde fevereiro de 2024, Gmail e Yahoo exigem que remetentes em massa publiquem um registro DMARC. Um registro com p=none atende a esse requisito no papel, mas o verificador ainda o marca com um aviso.
Relatórios DMARC que nunca chegam
Os endereços rua recebem, por padrão, uma vez por dia, um relatório agregado de cada servidor receptor que vê seus e-mails. Se um endereço estiver em um domínio diferente daquele ao qual o registro se aplica, a RFC 7489 exige que esse outro domínio publique um registro de autorização informando que aceita relatórios para o seu domínio. Para cada endereço externo, o verificador consulta esse registro. Sem ele, os servidores receptores descartam os relatórios.
Perguntas
Como adicionar um registro DMARC?
Publique um registro TXT em _dmarc seguido pelo seu domínio, com v=DMARC1 e uma política, por exemplo, v=DMARC1; p=none; rua=mailto:dmarc@example.com. Comece com p=none, leia os relatórios por algumas semanas, depois mude para quarantine e, mais tarde, para reject. Verifique o registro aqui depois que o DNS propagar a alteração.
p=none é ruim?
Como primeiro passo, ele cumpre sua função: coleta relatórios sem afetar a entrega, e é assim que você identifica os serviços que enviam em seu nome e ainda não estão autenticados. Ele se torna um problema quando permanece assim, pois o objetivo dos relatórios é levar você à quarentena e depois à rejeição.
Preciso de um registro separado para cada subdomínio?
Um subdomínio sem registro próprio usa o registro do domínio organizacional, e a tag sp desse registro define a política para os subdomínios. Portanto, um único registro geralmente cobre todos eles.
Alinhamento relaxado ou estrito?
Relaxado, a menos que você tenha um motivo. Com o alinhamento relaxado, uma assinatura DKIM de mail.example.com é válida para endereços From em example.com. O alinhamento estrito impede isso e também muitas configurações nas quais um provedor assina com um subdomínio.
O que significa "DMARC policy not enabled"?
Significa que o registro DMARC do domínio usa p=none ou que o domínio não tem nenhum registro DMARC. Com p=none, os destinatários entregam normalmente as mensagens que falham e apenas enviam relatórios ao endereço rua. Portanto, ninguém é impedido de enviar mensagens como seu domínio.
Guia completo: DMARC policy not enabled
Um domínio pode ter mais de um registro DMARC?
Não. Quando _dmarc contém dois registros TXT que começam com v=DMARC1, os destinatários descartam ambos e tratam o domínio como se ele não tivesse nenhum. Mantenha apenas um e transfira para ele as tags necessárias do outro.
Quarentena ou rejeição?
Comece com quarantine. Os destinatários tratam e-mails que falham como suspeitos, normalmente enviando-os para o spam. Assim, se você esquecer algum serviço legítimo, o custo será uma pasta, não uma mensagem perdida. Mude para reject quando os relatórios mostrarem que nenhum dos seus e-mails falhou durante algumas semanas.