O que é DMARC

DMARC significa Domain-based Message Authentication, Reporting and Conformance. Em português: um protocolo que define o que servidores de e-mail devem fazer quando recebem uma mensagem fingindo ser do seu domínio.

Foi publicado como padrão em 2012, mas ainda hoje mais de 68% dos domínios na internet não tem uma política DMARC de bloqueio ativa. Isso significa que qualquer pessoa pode enviar um e-mail parecendo ser de você@suaempresa.com.br e boa parte dos servidores vai aceitar.

O problema que o DMARC resolve e clássico: atacantes enviam e-mails se passando pela sua empresa para enganar clientes, funcionários ou parceiros. E-mails de phishing, fraudes financeiras e engenharia social dependem exatamente dessa brecha.

Como funciona

O DMARC não trabalha sozinho. Ele se apoia em dois outros protocolos: SPF (Sender Policy Framework) e DKIM (DomainKeys Identified Mail).

SPF define quais servidores tem permissão de enviar e-mail pelo seu domínio. Funciona como uma lista de IPs autorizados no DNS. O servidor destinatário consulta essa lista e verifica se o remetente esta nela.

DKIM adiciona uma assinatura criptográfica no cabeçalho do e-mail. O servidor que recebe a mensagem busca a chave pública no DNS do remetente e valida a assinatura. Se o e-mail foi modificado no caminho, a assinatura quebra.

O DMARC une os dois e diz ao destinatário o que fazer quando nenhum dos dois valida: nada (none), colocar em quarentena (quarantine) ou rejeitar (reject). Ele também permite receber relatórios de quem esta tentando usar seu domínio.

Principais recursos

O DMARC vai além de bloquear e-mails falsos. Esses são os principais recursos que ele oferece:

  • Política de bloqueio (p=reject): instruir servidores destinatários a rejeitar e-mails que não passam na validação SPF/DKIM.
  • Relatórios agregados (RUA): você recebe JSONs diários de todos os servidores que processaram e-mails do seu domínio, incluindo tentativas de spoofing.
  • Relatórios forenses (RUF): copias de e-mails que falharam na validação, com mais detalhes. Nem todos os provedores enviam esse tipo.
  • Percentual gradual (pct): você pode aplicar a política em apenas uma porcentagem das mensagens, útil para transição sem cortar e-mails legítimos.
  • Alinhamento de domínio: DMARC verifica se o domínio no cabeçalho From esta alinhado com o domínio validado pelo SPF ou DKIM.
💡
Dica

Comece com p=none para monitorar sem bloquear nada. Análise os relatórios por 2-4 semanas antes de mudar para quarantine ou reject.

Como começar: configuração passo a passo

Configurar DMARC envolve adicionar registros TXT no DNS do seu domínio. Siga essa ordem para não quebrar o e-mail legítimo da empresa.

Passo 1: configure o SPF. Adicione um registro TXT na raiz do domínio (@ ou seudominio.com.br):

v=spf1 include:_spf.google.com include:sendgrid.net ~all

O ~all e o softfail (quarentena). Troque para -all (hardfail) depois de confirmar que todos os seus servidores de envio estão listados.

Passo 2: configure o DKIM. O processo varia por provedor. No Google Workspace, va em Admin > Apps > Google Workspace > Gmail > Autenticar e-mail. O painel gera o registro TXT para você copiar no DNS.

Passo 3: adicione o registro DMARC. Crie um registro TXT em _dmarc.seudominio.com.br:

v=DMARC1; p=none; rua=mailto:[email protected]; ruf=mailto:[email protected]; fo=1

Passo 4: aguarde a propagação do DNS (até 48 horas) e monitore os relatórios que chegarão no e-mail indicado no rua.

Exemplo prático

Imagine que você tem startup.com.br e usa o Google Workspace para e-mails corporativos, mais o SendGrid para e-mails transacionais do sistema.

Seu SPF ficaria assim:

v=spf1 include:_spf.google.com include:sendgrid.net -all

Depois de configurar o DKIM em ambas as plataformas e adicionar o DMARC com p=none, você começa a receber relatórios XML diários. Os relatórios mostram o IP de origem, quantidade de e-mails e se passaram na validação SPF/DKIM. Com p=reject ativo, e-mails que falham nas duas validações são bloqueados automaticamente pelo servidor destinatário.

⚠️
Atenção

Se você tem serviços de terceiros enviando e-mail pelo seu domínio (CRM, helpdesk, newsletter), todos precisam estar no SPF e com DKIM configurado ANTES de ativar p=reject. Caso contrario, esses e-mails legítimos serão bloqueados.

Comparação com alternativas

DMARC não tem concorrente direto porque e um padrão aberto, não um produto. Mas existem camadas complementares de segurança de e-mail que vale comparar:

SPF sozinho: valida apenas o servidor de envio, não o conteúdo. Pode ser burlado em alguns cenários. Sem DMARC, o que fazer com falhas fica a critério do provedor.

DKIM sozinho: valida a integridade do e-mail, mas não impede que um servidor não autorizado envie mensagens sem assinatura. Sem DMARC, e-mails sem DKIM não são automaticamente bloqueados.

DMARC + SPF + DKIM: a combinação completa. Os três juntos criam um sistema coeso onde a política de bloqueio e aplicada com base nos resultados dos dois protocolos.

Serviços de gateway de e-mail (como Proofpoint ou Mimecast): oferecem proteção adicional para e-mails entrantes, incluindo análise de conteúdo e sandboxing. São complementares ao DMARC, não substitutos.

Pontos positivos e limitações

O ponto mais forte do DMARC e ser um padrão aberto, gratuito e suportado por todos os grandes provedores de e-mail (Gmail, Outlook, Yahoo, etc.). Não depende de nenhum fornecedor específico.

Os relatórios agregados são valiosos para descobrir serviços esquecidos que enviam e-mail pelo seu domínio e para detectar ataques de spoofing em tempo real.

As limitações existem. DMARC não protege contra e-mails enviados de domínios parecidos (lookalike domains), como startup-br.com em vez de startup.com.br. Para isso, você precisaria registrar variantes do domínio ou usar serviços de monitoramento de marca.

🔴
Cuidado

O maior risco ao ativar DMARC e bloquear e-mails legítimos. Uma newsletter, um sistema de CRM ou um parceiro de integração que não esta no SPF vai parar de entregar e-mails sem aviso. Mapeie TODOS os serviços antes de ativar p=reject.

Casos de uso reais

DMARC serve para qualquer organização com domínio de e-mail, mas o impacto e especialmente alto em alguns cenários:

  • E-commerce e fintechs: clientes recebem e-mails falsos de confirmação de pedido ou alerta de transação. Com DMARC reject, esses e-mails de phishing não chegam na caixa de entrada.
  • Empresas B2B: fornecedores recebem e-mails falsos de mudança de conta bancaria. Um dos golpes mais comuns no Brasil. DMARC bloqueia a falsificação do domínio interno.
  • SaaS com e-mails transacionais: sistemas que enviam e-mails via SendGrid, Resend ou AWS SES precisam do SPF e DKIM configurados para que o DMARC funcione sem bloquear o sistema.
  • Desenvolvedores e freelancers: mesmo com um domínio pessoal, vale ativar DMARC para evitar que seu nome seja usado em spam ou phishing, o que prejudica a reputação do domínio.

Dicas e boas práticas

💡
Dica

Use uma ferramenta de análise de relatórios DMARC para não ter que ler XMLs na mao. Serviços como DMARC Analyzer, Postmark DMARC (gratuito) ou dmarcian transformam os relatórios em dashboards visuais.

🚀
Pro tip

Adicione o parâmetro sp=reject ao seu registro DMARC para que a política se aplique também aos subdominos do seu domínio. Sem ele, mail.suaempresa.com.br não e protegido automaticamente pela política do domínio pai.

💡
Dica

Valide sua configuração usando ferramentas online como MXToolbox ou Mail Tester. Elas mostram se SPF, DKIM e DMARC estão corretos antes de você esperar os relatórios chegarem.

⚠️
Atenção

Um domínio só pode ter um registro SPF. Se você tem vários provedores de e-mail, todos precisam estar no mesmo registro usando include:. Registros SPF duplicados causam falha na validação.

Vale a pena?

Sim, sem duvida. A configuração leva de 30 minutos a algumas horas dependendo da complexidade dos seus serviços de e-mail, e o beneficio e permanente: seu domínio para de ser usado como arma de phishing.

Para quem tem e-commerce, SaaS, empresa com e-mails corporativos ou qualquer domínio que clientes confiam, DMARC e obrigatório. Gmail e Yahoo já exigem SPF e DKIM para remetentes de alto volume desde 2024 -- DMARC e o próximo passo natural.

O próximo passo: acesse MXToolbox, verifique se seu domínio já tem SPF e DKIM, e adicione o registro DMARC com p=none para começar a monitorar. Em um mes você terá dados suficientes para decidir se ativa o bloqueio completo.