DMARC: o que é e como configurar no seu domínio

O DMARC completa a proteção do SPF e do DKIM, dizendo aos servidores de destino o que fazer quando um email falha as verificações de autenticidade. Neste artigo explicamos o que é, porque importa e como configurá-lo com segurança.

O que é o DMARC

O DMARC (Domain-based Message Authentication, Reporting & Conformance) é um registo DNS que define a política a aplicar quando um email falha as verificações de SPF e DKIM, e permite receber relatórios sobre tentativas de utilização indevida do seu domínio.

Porque é importante

Sem DMARC, mesmo tendo SPF e DKIM configurados, os servidores de destino ficam sem uma orientação clara sobre o que fazer perante um email que falha as verificações – podendo entregá-lo na mesma. O DMARC fecha esta lacuna e ainda lhe dá visibilidade sobre tentativas de spoofing do seu domínio, através dos relatórios que recebe.

Boas práticas

  • Configurar sempre SPF e DKIM antes do DMARC, já que o DMARC depende destes dois.
  • Começar com uma política de monitorização (p=none) antes de aplicar restrições.
  • Analisar os relatórios recebidos durante algumas semanas antes de avançar para políticas mais restritivas.
  • Avançar de forma gradual: none para quarantine e só depois para reject.

Como corrigir

  1. Configure primeiro o SPF e o DKIM (o DMARC depende destes dois).
  2. Crie um registo TXT em _dmarc.exemplo.pt.
  3. Comece com uma política de monitorização, sem impacto no envio de emails:

    v=DMARC1; p=none; rua=mailto:
  4. Após algumas semanas a analisar os relatórios recebidos e confirmar que todos os emails legítimos estão a passar nas verificações, avance progressivamente para uma política mais restritiva:

    v=DMARC1; p=quarantine; e depois v=DMARC1; p=reject;

Avançar demasiado depressa para uma política restritiva de DMARC pode bloquear emails legítimos – e a maioria dos fornecedores de alojamento não acompanha nem interpreta os relatórios por si. Na WebDig Host, configuramos e monitorizamos o DMARC do seu domínio, avançando com segurança de none para reject apenas quando os dados confirmam que é seguro fazê-lo.

Conhecer os serviços de alojamento e gestão de domínios da WebDig Host

Perguntas frequentes sobre o DMARC

Posso ativar o DMARC diretamente com a política mais restritiva (reject)?

Não é recomendado. Comece sempre com p=none para monitorizar sem impacto, confirme que todos os emails legítimos passam nas verificações, e só depois avance gradualmente para quarantine e reject.

O que são os relatórios DMARC?

São relatórios periódicos, enviados por servidores de email de terceiros, com informação sobre emails recebidos que alegam vir do seu domínio – incluindo tentativas legítimas e possíveis tentativas de spoofing.

Preciso de SPF e DKIM para usar DMARC?

Sim, o DMARC depende de pelo menos um destes dois mecanismos estar corretamente configurado para poder avaliar a autenticidade dos emails.

Verifique agora o DMARC do seu domínio

Com o Secure Check, pode confirmar gratuitamente se o DMARC do seu domínio está corretamente configurado, em poucos segundos.

Analisar o meu domínio gratuitamente com o Secure Check