Como implantar DMARC sem derrubar e-mail legítimo

A parte difícil do DMARC não é publicar o registro — isso leva cinco minutos. A parte difícil é endurecer a política sem descobrir, do jeito ruim, que existia um sistema enviando em nome do seu domínio que ninguém lembrava.

Este texto descreve o caminho que funciona, na ordem, e o erro que faz empresas pararem de receber boleto de um dia para o outro.

O que o DMARC faz

SPF e DKIM verificam coisas. O DMARC responde à pergunta que sobra: o que o destinatário deve fazer quando essas verificações falham?

E ele acrescenta duas coisas que nenhum dos dois tem sozinho:

• Alinhamento. Não basta passar em SPF ou DKIM: o domínio que passou precisa ser o mesmo que aparece no campo “De” que o destinatário enxerga. Sem isso, qualquer um passaria em SPF com o próprio domínio e ainda assim escreveria o seu no cabeçalho.
• Relatórios. Os provedores passam a enviar, todo dia, um relatório mostrando quem está enviando em nome do seu domínio e se essas mensagens passam nas verificações. É a única forma de enxergar isso.

O erro que custa caro

Publicar p=reject logo de cara. O registro fica “correto”, o relatório de segurança fica verde, e no dia seguinte o sistema de nota fiscal para de entregar boleto — porque ele envia de um IP que nunca esteve no SPF e nunca assinou com DKIM.

Quase toda empresa tem pelo menos um remetente assim. Um formulário do site, um sistema de RH, uma ferramenta contratada por outro setor, um servidor antigo que ficou ligado. Descobrir isso com p=none é barato. Descobrir com reject é um incidente.

O caminho seguro, em quatro etapas

Etapa 1 — Observar

Publique um TXT em _dmarc.seudominio.com.br:

v=DMARC1; p=none; rua=mailto:[email protected]

Nada é bloqueado. O domínio apenas passa a receber relatórios. Deixe assim por duas a quatro semanas, tempo suficiente para o ciclo mensal de sistemas aparecer.

Os relatórios chegam em XML compactado, um por provedor, por dia. Ler XML cru é desagradável — existem serviços gratuitos que agregam isso em uma tela, e vale usar um.

Etapa 2 — Regularizar cada remetente

Os relatórios vão mostrar uma lista de IPs enviando em nome do seu domínio. Para cada um, responda: eu reconheço isso?

• Reconheço e é legítimo → inclua no SPF e, se possível, configure DKIM com o seu domínio.
• Não reconheço → pode ser um sistema esquecido ou alguém falsificando o domínio. Investigue antes de decidir.

Esta é a etapa demorada, e não é técnica: é descobrir e regularizar cada remetente. Em empresa pequena leva semanas; em operação com muitos sistemas integrados, meses.

Etapa 3 — Quarentena

Quando os relatórios estiverem limpos, suba um degrau:

v=DMARC1; p=quarantine; rua=mailto:[email protected]

O que falha passa a ir para a caixa de spam do destinatário, em vez de para a caixa de entrada. Ainda é reversível: se algo legítimo cair, a mensagem está lá, e você tem tempo de corrigir.

Se preferir ir com mais cuidado, use pct= para aplicar a política a uma fração do tráfego — pct=25 aplica a um quarto. Só não esqueça de voltar a 100 depois.

Etapa 4 — Rejeição

v=DMARC1; p=reject; sp=reject; rua=mailto:[email protected]; adkim=s; aspf=s

Agora o que falha é recusado antes de chegar. É aqui que o seu domínio fica de fato protegido contra falsificação — e é o que impede que alguém envie golpe para os seus clientes usando o seu nome.

O sp=reject estende a política aos subdomínios, que é onde os atacantes tentam primeiro quando o domínio principal está fechado.

As etiquetas que importam

Etiqueta	Para que serve
p	A política: none, quarantine ou reject. Obrigatória.
sp	Política dos subdomínios. Sem ela, vale a mesma do p.
rua	Onde receber os relatórios agregados. Sem isso você fica cego.
pct	Percentual do tráfego a que a política se aplica.
adkim / aspf	Alinhamento: r relaxado (subdomínios contam) ou s estrito.

Dois detalhes que passam despercebidos

O encaminhamento continua sendo um problema

Mensagem encaminhada automaticamente quebra o SPF. Se ela não tiver DKIM válido, falha no DMARC — e com reject, some. É mais um motivo para o DKIM não ser opcional.

Listas de discussão

Listas costumam alterar o assunto e o corpo da mensagem, o que invalida a assinatura DKIM. Se a sua empresa participa de listas técnicas, considere usar um subdomínio separado para esse tráfego.

Conferindo

Use o validador de DMARC para conferir o registro e o diagnóstico completo para ver os três juntos com o alinhamento.

E resista à tentação de pular etapas. Todo o valor do DMARC está em chegar a reject — mas chegar lá sem derrubar e-mail legítimo é o que separa uma implantação bem-feita de um incidente.