O que é DMARC e como configurar

Este artigo é para quem cuida do DNS do domínio. Se o seu domínio é gerenciado pela Raszio, nós configuramos o DMARC para você.

O que é DMARC

O DMARC é um registro de texto (TXT) publicado no DNS do seu domínio. Ele diz aos outros provedores o que fazer com uma mensagem que diz vir do seu domínio, mas não passa nas verificações de SPF e DKIM. Isso ajuda a impedir que golpistas enviem e-mails se passando pela sua empresa.

O DMARC também pede aos provedores que enviem relatórios para um endereço seu. Esses relatórios mostram quem está enviando mensagens em nome do seu domínio, inclusive serviços que você não sabia que usavam o seu endereço.

Requisitos

O DMARC depende dos resultados do SPF e do DKIM, então pelo menos um dos dois precisa estar configurado. O registro é publicado como TXT no nome _dmarc do domínio, como _dmarc.suaempresa.com.br.

Parâmetros

Política (p)

O que fazer com uma mensagem que falha nas verificações:

• p=none: não fazer nada, só enviar os relatórios. Use para começar e observar.
• p=quarantine: mandar a mensagem para a quarentena, normalmente a pasta de spam.
• p=reject: recusar a mensagem.

Política para subdomínios (sp)

O mesmo que p, mas para os subdomínios, como vendas.suaempresa.com.br. Aceita os mesmos valores: none, quarantine ou reject. Sem sp, os subdomínios seguem a política p.

Relatório agregado (rua)

O endereço que recebe os relatórios agregados, normalmente enviados uma vez por dia. Eles resumem quantas mensagens em nome do seu domínio passaram ou falharam nas verificações, e de quais servidores elas vieram.

rua=mailto:dmarc@suaempresa.com.br

Relatório de falhas (ruf)

O endereço que recebe relatórios individuais de mensagens que falharam nas verificações. Poucos provedores enviam esse tipo de relatório.

ruf=mailto:dmarc@suaempresa.com.br

Alinhamento do SPF (aspf)

Quão parecido o domínio verificado pelo SPF precisa ser do domínio do remetente:

• aspf=r (relaxado, o padrão): basta ser o mesmo domínio principal. Um subdomínio, como mail.suaempresa.com.br, também passa.
• aspf=s (estrito): o domínio precisa ser exatamente o mesmo.

Alinhamento do DKIM (adkim)

O mesmo que aspf, mas para o domínio da assinatura DKIM:

• adkim=r (relaxado, o padrão): basta ser o mesmo domínio principal.
• adkim=s (estrito): o domínio precisa ser exatamente o mesmo.

Porcentagem (pct)

A porcentagem das mensagens em que a política é aplicada. Permite endurecer a política aos poucos e observar o impacto.

• pct=10: aplica a política em 10% das mensagens que falharem.
• pct=100: aplica em todas. É o padrão.

Exemplos

v=DMARC1; p=none; rua=mailto:dmarc@suaempresa.com.br

Não toma nenhuma ação com mensagens que falharem, só envia o relatório agregado para dmarc@suaempresa.com.br. É o jeito seguro de começar.

v=DMARC1; p=quarantine; sp=reject; pct=50; adkim=s; aspf=s; rua=mailto:dmarc@suaempresa.com.br; ruf=mailto:forense@suaempresa.com.br

Aplica a política em metade das mensagens que falharem: no domínio principal, elas vão para a quarentena; nos subdomínios, são recusadas. Exige alinhamento estrito de SPF e DKIM. Os relatórios agregados vão para dmarc@suaempresa.com.br e os de falhas, para forense@suaempresa.com.br.