Como configurar o DMARC: a implantação segura, passo a passo

Configurar o DMARC é um registro DNS e uma disciplina: publique-o primeiro em modo de monitoramento, leia os relatórios que ele envia de volta, corrija o que não estiver autenticando e só então diga aos receptores para aplicarem a política. Se você correr direto para a aplicação, pode acabar mandando seus próprios e-mails legítimos para o spam. Aqui está o jeito seguro e ordenado de fazer isso.

A resposta curta#

O DMARC vive em um único registro TXT em _dmarc.yourdomain.com. O valor começa com v=DMARC1, define uma política (p=none, p=quarantine ou p=reject) e aponta para uma caixa de correio que coleta os relatórios agregados (rua=). A implantação correta é sempre a mesma: comece em p=none para observar sem quebrar nada, use os relatórios para confirmar que cada fluxo de e-mail legítimo passa em SPF ou DKIM em alinhamento e então suba a política para quarantine e, por fim, reject. Este guia é a configuração passo a passo do DMARC — para entender como SPF, DKIM e DMARC se encaixam conceitualmente, veja o explicativo sobre SPF, DKIM e DMARC.

O que é um registro DMARC e onde ele fica#

Um registro DMARC é uma entrada DNS em texto puro que diz aos servidores de e-mail receptores duas coisas: o que fazer com e-mails que afirmam vir do seu domínio, mas falham na autenticação, e para onde enviar os relatórios sobre isso. Não é mágica — é um único registro TXT que você publica uma vez e depois ajusta ao longo do tempo.

A localização é fixa e inegociável: o registro precisa ficar no host _dmarc sob o seu domínio. Então, para example.com, o nome completo do registro é _dmarc.example.com. Se o seu provedor de DNS pedir apenas o campo "nome" ou "host", normalmente você digita _dmarc e ele acrescenta o domínio para você.

Um registro inicial mínimo e válido tem esta cara:

_dmarc.example.com.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@example.com"

Isso é realmente tudo o que você precisa para começar. Ele ainda não aplica nada — p=none significa "não tome nenhuma ação" — mas liga o envio de relatórios que torna tudo o que vem depois possível.

A anatomia de um registro DMARC#

Todo registro DMARC é uma lista de tags separadas por ponto e vírgula. Apenas duas são obrigatórias (v e p); as demais são opcionais, mas úteis. Veja o que cada uma faz, em termos simples.

Você também vai ver uma tag ruf= em alguns registros — ela solicita relatórios forenses (por mensagem). A maioria dos provedores não os envia mais por razões de privacidade, então você pode deixá-la de fora sem problemas e contar com os relatórios agregados do rua.

Como o alinhamento do DMARC funciona com SPF e DKIM#

Este é o conceito que a maioria das configurações erra, então vale a pena desacelerar aqui. Passar em SPF ou DKIM não basta por si só — o DMARC também exige alinhamento, ou seja, o domínio que autenticou precisa coincidir com o domínio que seus destinatários realmente veem no endereço "From".

Veja por que isso importa. Um spammer pode enviar um e-mail que passa em SPF para o próprio domínio dele enquanto forja o seu domínio na linha "From" visível. O SPF sozinho consideraria isso um "pass", porque o SPF verifica o remetente oculto do envelope, e não o endereço que seu destinatário lê. O DMARC fecha essa brecha ao exigir que o domínio autenticado e o domínio do "From" coincidam. Uma mensagem satisfaz o DMARC quando qualquer uma destas condições é verdadeira:

• Alinhamento de SPF — a mensagem passa em SPF e o domínio que o SPF verificou coincide com o domínio do "From".
• Alinhamento de DKIM — a mensagem carrega uma assinatura DKIM válida e o domínio que assinou coincide com o domínio do "From".

Só um dos dois precisa estar alinhado, mas pelo menos um deve estar. O alinhamento relaxado (o padrão) aceita um domínio organizacional coincidente, então mail.example.com se alinha com example.com; o alinhamento estrito exige uma correspondência exata. Comece com o relaxado, a menos que tenha um motivo específico para não fazê-lo — o alinhamento estrito quebra mais e-mails legítimos e raramente agrega proteção real.

A implantação segura, passo a passo#

O DMARC é aquela rara peça da infraestrutura de e-mail em que a ordem das operações importa mais do que o próprio registro. Siga-a na sequência.

1. Publique p=none com um endereço para relatórios. Crie o registro TXT em _dmarc.yourdomain.com com v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. Isso não muda nada na forma como seus e-mails são tratados — apenas liga os relatórios agregados diários. Deixe-o assim por pelo menos algumas semanas para capturar um ciclo completo de envios.

2. Leia os relatórios agregados. Os provedores enviam relatórios em XML para o seu endereço rua uma vez por dia. Cada relatório lista os endereços IP de envio que usaram seu domínio, quantas mensagens cada um enviou e se elas passaram no alinhamento de SPF, DKIM e DMARC. O XML bruto é difícil de ler de relance, então a maioria das pessoas o encaminha para um analisador de relatórios DMARC ou um painel de monitoramento que o transforma em uma tabela simples. O que você está procurando: cada origem legítima dos seus e-mails — seu ESP, seu CRM, seu provedor transacional, seu próprio servidor de e-mail — mostrando um DMARC pass com SPF ou DKIM alinhado. Qualquer coisa que falhe é ou um fluxo que você precisa corrigir ou um spoofing que você fica feliz em pegar. Os relatórios também são a forma de descobrir serviços de envio dos quais você havia esquecido por completo, algo comum em qualquer organização que existe há alguns anos.

3. Corrija o alinhamento de cada fluxo legítimo. Este é o trabalho de verdade. Para cada serviço de envio que falha, garanta que ele autentique como o seu domínio: adicione os servidores dele ao seu registro SPF, configure a assinatura DKIM com o seu domínio (não o padrão do provedor) e configure um domínio "From" ou return-path personalizado onde o provedor permitir. O alinhamento de DKIM costuma ser o que deve ter prioridade, porque uma assinatura DKIM viaja junto com a mensagem e sobrevive ao encaminhamento, enquanto o alinhamento de SPF quebra no instante em que o e-mail é encaminhado. A maioria das plataformas de e-mail documenta exatamente quais registros DNS adicionar para um domínio de assinatura personalizado — é aqui que vai a maior parte do tempo de configuração. Continue iterando até que os relatórios mostrem todos os seus e-mails genuínos passando.

4. Passe para p=quarantine. Assim que os relatórios estiverem limpos, mude a política para que os e-mails que falham vão para o spam em vez da caixa de entrada. Você pode fazer isso aos poucos com pct= — p=quarantine; pct=25 aplica a política a um quarto dos e-mails que falham primeiro — e então aumente em direção a 100 conforme ganha confiança.

5. Passe para p=reject. O destino final. p=reject diz aos receptores para recusarem de vez os e-mails que falham, que é a configuração que de fato barra o spoofing e a que os grandes provedores recompensam. Só chegue aqui depois que os relatórios estiverem limpos em quarantine por um tempo. Esta é também a política que satisfaz plenamente os requisitos de remetente do Google e do Yahoo para remetentes em massa.

Por que o DMARC agora é obrigatório#

O DMARC costumava ser uma boa prática avançada. Desde 2024, é uma barreira. Sob os requisitos de remetente do Google e do Yahoo, os remetentes em massa — qualquer um que envie mais de 5.000 mensagens por dia para o Gmail — precisam publicar um registro DMARC com pelo menos uma política p=none, além de SPF, DKIM, alinhamento e cancelamento de inscrição em um clique. A exigência é uma política publicada, não necessariamente a aplicação, mas parar em p=none para sempre significa marcar a caixinha da conformidade enquanto deixa seu domínio escancarado para spoofing. Avançar em direção a reject é o que protege sua reputação de remetente e impede que impostores a queimem em seu nome.

Armadilhas comuns#

Um punhado de erros responde pela maioria das configurações de DMARC quebradas:

• Pular direto para p=reject. Sem a fase de monitoramento, você vai descobrir da forma mais difícil os fluxos que não autenticam — devolvendo suas próprias faturas e newsletters.
• Não ter um endereço rua. Um registro sem endereço para relatórios está voando às cegas. Você não consegue consertar o que não consegue ver; sempre inclua o rua.
• Esquecer um serviço de envio. Plataformas de marketing, ferramentas de help-desk, sistemas de faturamento e convites de calendário, todos enviam "como você". Cada um precisa ter SPF e DKIM configurados para o seu domínio, ou vai falhar no DMARC assim que você aplicar a política.
• Usar alinhamento estrito por padrão. O modo estrito quebra subdomínios e muitas configurações de ESP em troca de pouco benefício. O alinhamento relaxado é o padrão certo.
• Múltiplos registros DMARC. Só pode existir um registro TXT em _dmarc — um segundo invalida os dois. O mesmo vale para o SPF.
• Tratar o DMARC como entregabilidade. A autenticação prova quem você é; ela não faz de você um bom remetente. Uma mensagem perfeitamente autenticada, vinda de um domínio que envia para endereços mortos, ainda cai no spam, o que é uma das principais razões pelas quais e-mails legítimos vão para o spam.

Perguntas frequentes#

Onde exatamente eu coloco um registro DMARC?#

Ele vai no seu DNS como um registro TXT no host _dmarc.yourdomain.com. Na maioria dos painéis de controle de DNS, você cria um novo registro TXT, define o campo de nome ou host como _dmarc (o painel normalmente acrescenta seu domínio automaticamente) e cola o valor — por exemplo v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. Só pode existir um registro DMARC por domínio; um segundo invalida os dois.

O que significa DMARC p=none e isso é suficiente?#

p=none diz aos servidores receptores para não tomarem nenhuma ação sobre e-mails que falham na autenticação e simplesmente enviarem relatórios para você. É o ponto de partida correto e seguro para começar porque permite monitorar sem colocar em risco seus e-mails legítimos — mas, por si só, não oferece nenhuma proteção contra spoofing. Ele cumpre a letra da exigência do Google e do Yahoo de ter uma política publicada, mas você deve tratá-lo como o passo um, não a linha de chegada, e avançar para quarantine e reject.

Quanto tempo devo esperar antes de passar de p=none para a aplicação?#

Tempo suficiente para capturar um ciclo completo de envios e confirmar que os relatórios estão limpos — normalmente algumas semanas, às vezes mais se você tem muitos serviços de envio ou fluxos de baixa frequência, como extratos mensais. O período de espera não é arbitrário: você fica observando os relatórios agregados até que toda origem legítima mostre um DMARC pass com SPF ou DKIM alinhado. Só avance quando nada legítimo ainda estiver falhando.

Qual é a diferença entre DMARC e SPF ou DKIM?#

O SPF lista quais servidores podem enviar em nome do seu domínio, e o DKIM assina criptograficamente cada mensagem para que o receptor possa confirmar que ela não foi forjada. O DMARC fica acima dos dois: ele os vincula ao endereço "From" visível por meio do alinhamento, diz aos receptores o que fazer quando uma mensagem falha e envia relatórios de volta para você. O SPF e o DKIM fazem a autenticação; o DMARC define a política e torna o resultado aplicável.

O DMARC prova que seus e-mails são realmente seus, mas a autenticação é apenas o ingresso de entrada para a caixa de entrada. O plano gratuito roda todo o pipeline de verificação para que você elimine endereços mortos e spam traps da sua lista antes que eles gerem bounce — porque uma identidade confiável só conquista o posicionamento quando a lista por trás dela está limpa.