Pular para o conteúdo
EmailSecurity — página inicial

Antispoofing

Impedir que alguém envie e-mail se passando pelo seu domínio.

Enquanto o seu domínio não publicar autenticação com política de rejeição, qualquer pessoa no mundo consegue enviar mensagens que dizem vir de você — para os seus clientes, os seus fornecedores e a sua própria equipe.

Solicitar análise Verificar meu domínio

Como funciona

Três registros no DNS, cada um respondendo a uma pergunta.

Nenhum deles é software instalado. São registros publicados no DNS do seu domínio, que o servidor de quem recebe consulta na hora da entrega.

  1. 1

    SPF — quem pode enviar por mim?

    Um registro TXT que lista os servidores autorizados a enviar em nome do domínio. O destinatário compara o IP de quem está entregando com essa lista. A armadilha aqui é o limite de dez consultas DNS: passando dele, a verificação falha mesmo com o registro parecendo correto. O validador de SPF conta isso para você.

  2. 2

    DKIM — esta mensagem é mesmo minha e está intacta?

    Seu servidor assina cada mensagem com uma chave privada; o destinatário confere com a chave pública publicada no seu DNS. Como a assinatura viaja junto com a mensagem, ela sobrevive ao encaminhamento — que é justamente onde o SPF quebra.

  3. 3

    DMARC — o que fazer quando falha?

    Diz ao destinatário como tratar mensagens que não passaram nas verificações: apenas observar (none), mandar para spam (quarantine) ou recusar (reject). E, o mais valioso no começo, faz os provedores enviarem relatórios diários mostrando quem está enviando em nome do seu domínio.

A ordem certa de implantar

A pressa aqui custa caro, e o erro é sempre o mesmo: publicar p=reject antes de saber quem envia pelo domínio. No dia seguinte, o sistema de nota fiscal para de mandar boleto e ninguém liga uma coisa à outra.

O caminho seguro tem quatro etapas: publique SPF e DKIM; publique DMARC com p=none e um endereço em rua; leia os relatórios por algumas semanas até reconhecer todos os remetentes legítimos e regularizar cada um; só então suba para quarantine e, depois, para reject.

Os relatórios costumam revelar coisas que ninguém lembrava: um sistema antigo ainda ativo, um fornecedor enviando em nome da empresa, uma ferramenta de marketing contratada por outro setor. Descobrir isso com p=none é barato; descobrir com reject é um incidente.

Perguntas frequentes

Na prática, sim. O SPF sozinho quebra em qualquer encaminhamento. O DKIM sozinho não diz ao destinatário o que fazer quando a assinatura falha. O DMARC é quem amarra os dois e dá a instrução — mas depende de pelo menos um deles estar alinhado para funcionar.

Passar em SPF ou DKIM não basta: o domínio que passou precisa ser o mesmo que aparece no campo De que o destinatário enxerga. Sem isso, qualquer um poderia passar em SPF com o próprio domínio e ainda assim escrever o seu no cabeçalho.

É, se feito sem preparo. Quase toda empresa tem remetentes esquecidos — o sistema de nota fiscal, o formulário do site, a ferramenta de RH — que enviam em nome do domínio sem estar no SPF. Com reject, todos eles param de uma vez. O caminho é publicar p=none com relatórios, ler o que aparece e só depois endurecer.

Depende de quantos sistemas enviam pelo seu domínio. Em uma empresa pequena, algumas semanas. Em uma operação com muitos sistemas integrados, alguns meses. A parte demorada não é técnica: é descobrir e regularizar cada remetente legítimo.

Continue por aqui

Alguém consegue enviar e-mail como se fosse a sua empresa hoje?

Em poucos minutos verificamos SPF, DKIM e DMARC do seu domínio e mostramos exatamente o que falta publicar.

Solicitar análise técnica Diagnosticar meu domínio agora