O que o DMARC decide
O SPF e o DKIM comprovam, cada um, algo sobre um domínio, mas nenhum verifica o endereço na linha From, que é o que as pessoas leem. O DMARC associa-os a esse endereço. Uma mensagem passa no DMARC quando o SPF ou o DKIM passa para um domínio que corresponde ao domínio From, e o registo indica aos recetores o que devem fazer com uma mensagem que não passe.
O registo encontra-se no DNS como um registo TXT em _dmarc seguido do seu domínio. Quando esse nome não tem nenhum registo, os recetores consultam o domínio organizacional (o domínio registado, example.com para news.example.com), pelo que um subdomínio pode estar abrangido sem ter um registo próprio.
Como interpretar a política
p=none pede aos recetores que não façam nada e apenas enviem relatórios. É por onde todos devem começar e onde demasiados domínios permanecem durante anos. Enquanto estiver em vigor, qualquer pessoa pode enviar email com o seu domínio na linha From e o recetor recebeu instruções para o aceitar.
p=quarantine envia para spam o email que falhar, enquanto p=reject o recusa à entrada. Desde fevereiro de 2024, o Gmail e o Yahoo exigem que os remetentes de email em massa publiquem um registo DMARC. Um registo com p=none cumpre formalmente esse requisito, mas o verificador continua a assinalá-lo como aviso.
Relatórios que nunca chegam
Os endereços rua recebem, por predefinição, um relatório agregado por dia de cada recetor que recebe o seu email. Se um endereço pertencer a um domínio diferente daquele a que o registo se refere, o RFC 7489 exige que esse outro domínio publique um registo de autorização a indicar que aceita relatórios para o seu domínio. O verificador consulta esse registo para cada endereço externo. Sem esse registo, os recetores descartam os relatórios.
Perguntas
Como adicionar um registo DMARC?
Publique um registo TXT em _dmarc seguido do seu domínio, com v=DMARC1 e uma política, por exemplo v=DMARC1; p=none; rua=mailto:dmarc@example.com. Comece com p=none, leia os relatórios durante algumas semanas e depois avance para quarantine e, mais tarde, para reject. Verifique o registo aqui assim que estiver disponível no DNS.
p=none é mau?
Como primeiro passo, cumpre a sua função: recolhe relatórios sem afetar a entrega, permitindo encontrar os serviços que enviam em seu nome e que ainda não estão autenticados. Torna-se um problema quando permanece assim, pois o objetivo dos relatórios é permitir avançar para a quarentena e, depois, para a rejeição.
Preciso de um registo separado para cada subdomínio?
Um subdomínio sem um registo próprio recorre ao registo do domínio organizacional, e a etiqueta sp nesse registo define a política para os subdomínios. Por isso, normalmente um único registo abrange todos.
Alinhamento relaxado ou estrito?
Relaxado, a menos que tenha um motivo para usar o estrito. Com o alinhamento relaxado, uma assinatura DKIM de mail.example.com é válida para endereços From em example.com. O alinhamento estrito impede isso e, com isso, afeta muitas configurações em que um fornecedor assina com um subdomínio.
O que significa "DMARC policy not enabled"?
Significa que o registo DMARC do domínio indica p=none ou que o domínio não tem qualquer registo DMARC. Com p=none, os servidores recetores entregam normalmente as mensagens que falham e apenas enviam relatórios para o endereço rua, pelo que ainda ninguém é impedido de enviar mensagens em nome do seu domínio.
Guia completo: DMARC policy not enabled
Um domínio pode ter mais do que um registo DMARC?
Não. Quando _dmarc contém dois registos TXT que começam por v=DMARC1, os servidores recetores descartam ambos e tratam o domínio como se não tivesse nenhum. Mantenha apenas um e transfira para esse registo as tags necessárias do outro.
Quarentena ou rejeição?
Comece por quarantine. Os destinatários tratam as mensagens que falham como suspeitas, normalmente colocando-as em spam. Assim, um serviço legítimo que não tenha identificado fica numa pasta, em vez de a mensagem se perder. Passe para reject quando os relatórios mostrarem, durante algumas semanas, que nenhuma mensagem sua está a falhar.