O que é DMARC?

Definição

Domain-based Message Authentication, Reporting, and Conformance é a camada de política da autenticação de e-mail. O SPF e o DKIM realizam, cada um, uma checagem útil por conta própria, mas nenhum deles, sozinho, olha para o endereço From que um destinatário de fato vê, e nenhum deles diz a um servidor de recebimento o que fazer quando uma checagem falha. O DMARC preenche as duas lacunas. Ele instrui os destinatários sobre como tratar e-mails não autenticados e produz relatórios que dão ao dono do domínio visibilidade sobre como o domínio está sendo usado.

O próprio nome descreve os três trabalhos que ele faz. A parte de autenticação significa que o DMARC se baseia diretamente nos resultados do SPF e do DKIM. A parte de relatórios significa que os destinatários enviam ao dono do domínio dados agregados sobre as mensagens que afirmam vir do domínio, incluindo quantas passaram e quantas falharam. A parte de conformidade significa que o dono do domínio pode declarar uma política à qual os destinatários devem se conformar, indo de não tomar nenhuma ação, a entregar no spam, a rejeitar de imediato. Juntas, essas partes transformam o SPF e o DKIM de checagens isoladas em uma defesa aplicável e observável da identidade do domínio.

Como Funciona

Uma política de DMARC é publicada como um único registro TXT de DNS no subdomínio _dmarc.yourdomain.com. O registro começa com v=DMARC1, declara a política solicitada em uma tag p= e normalmente inclui uma tag rua= indicando um endereço para onde os relatórios agregados devem ser enviados. Quando uma mensagem chega, o servidor de recebimento roda o SPF e o DKIM como de costume, e então realiza a avaliação de DMARC sobre esses resultados.

O coração do DMARC é o alinhamento. Não basta que o SPF ou o DKIM simplesmente passem. O domínio que essas verificações validaram também precisa corresponder ao domínio exibido no cabeçalho De visível, porque proteger esse endereço De visível é justamente o propósito do DMARC. Existem dois modos de alinhamento. O alinhamento relaxado, que é o padrão, aceita uma correspondência no nível do domínio organizacional, de modo que um subdomínio pode se alinhar com o domínio principal. Já o alinhamento estrito exige uma correspondência exata de domínio. O DMARC passa quando pelo menos um entre SPF ou DKIM passa e se alinha com o domínio De. É por isso que uma mensagem pode passar no SPF ou no DKIM por conta própria e ainda assim falhar no DMARC, caso o domínio validado não bata com o endereço De. Essa é uma surpresa comum quando quem envia começa a apertar a política pela primeira vez.

Quando uma mensagem falha no DMARC, o servidor receptor aplica a política publicada. Uma política p=none pede ao receptor que não tome nenhuma ação especial e apenas inclua a mensagem nos relatórios, que é a configuração de monitoramento. Uma política p=quarantine pede ao receptor que trate a mensagem reprovada com desconfiança, normalmente direcionando-a para a pasta de spam. Uma política p=reject pede ao receptor que bloqueie totalmente a mensagem reprovada, de modo que ela nunca chega à caixa de entrada nem à pasta de spam. A implantação recomendada é gradual: comece em none, estude os relatórios agregados para confirmar que todas as fontes de envio legítimas estão se autenticando e alinhando, depois avance para quarantine e, por fim, para reject quando os dados mostrarem que é seguro. Aplicar uma política estrita antes de a configuração estar completa pode fazer com que um domínio bloqueie a própria correspondência legítima.

Por Que Isso Importa para a Entregabilidade de E-mail

O DMARC é importante por duas razões interligadas. A primeira é a segurança. Sem DMARC, um invasor pode enviar e-mails de phishing que exibem o domínio exato de uma empresa confiável no endereço De, porque o SPF e o DKIM sozinhos não fiscalizam esse campo visível. Uma política DMARC de quarantine ou reject permite que o verdadeiro dono do domínio instrua os provedores de e-mail do mundo todo a barrar essa correspondência falsificada antes que ela chegue a alguém. A segunda razão é a entregabilidade. Um registro DMARC sinaliza aos provedores que um domínio leva a autenticação a sério, o que sustenta a reputação do domínio e a chegada à caixa de entrada.

O DMARC também passou a ser uma exigência obrigatória. Sob os requisitos de remetentes de 2024 do Google e do Yahoo, quem envia em massa precisa publicar um registro DMARC com uma política de pelo menos p=none e precisa se autenticar com SPF e DKIM de uma forma que se alinhe no DMARC. Um domínio sem registro DMARC pode ter seus envios em massa limitados ou rejeitados. Ao mesmo tempo, os relatórios que o DMARC devolve têm valor próprio, porque revelam todos os serviços que enviam correspondência usando o domínio. Essa visibilidade ajuda quem envia a confirmar que todas as suas ferramentas legítimas, de plataformas de marketing a sistemas de suporte, estão se autenticando corretamente antes de aplicar qualquer política mais rígida.

Como a VeriMails Lida com Isso

O DMARC e a verificação de e-mails defendem a entregabilidade a partir de pontas opostas da mensagem. O DMARC protege a identidade do seu domínio na correspondência que você envia, garantindo que os receptores possam confiar que uma mensagem que diz ser do seu domínio realmente é. A verificação de e-mails protege a qualidade da lista para a qual você envia, garantindo que cada endereço seja real e alcançável. Um domínio pode ter uma política DMARC impecável e ainda assim prejudicar a própria reputação ao enviar para endereços mortos, então as duas práticas se complementam em vez de se sobrepor.

O VeriMails cuida do lado do destinatário. Todo endereço que você envia passa por validação de sintaxe, consulta de MX e DNS, um handshake SMTP ao vivo, detecção de catch-all, detecção de endereços descartáveis e detecção baseada em função, removendo os endereços inválidos que gerariam rejeições e corroeriam a reputação que seus registros DMARC, SPF e DKIM trabalham para proteger. Para ajudar no lado da autenticação, o VeriMails oferece um gerador de DMARC gratuito que cria um registro corretamente formatado, para que você possa começar em modo de monitoramento e apertar a política à medida que seus relatórios confirmam que é seguro. Você pode verificar uma lista pela API REST ou por upload de CSV em massa, com categorias de entregabilidade claras para decisões de campanha. A verificação começa em $0.0019 por e-mail, com 10,000 créditos por $19 e planos anuais a partir de $12.50/month quando cobrados anualmente, e toda conta começa com 100 créditos gratuitos, sem precisar de cartão de crédito, que nunca expiram.

Perguntas Frequentes