Como configurar o DMARC — guia passo a passo

O DMARC (Domain-based Message Authentication, Reporting & Conformance) indica aos servidores de correio receptores o que fazer quando as mensagens do seu domínio não passam a autenticação. Assenta no SPF e no DKIM para lhe dar controlo e visibilidade sobre o seu correio.

SPF, DKIM e DMARC em conjuntoRemetenteSPFTXTDKIMTXTDMARC_dmarcCaixapasspassp=
O SPF verifica o servidor que envia, o DKIM verifica a assinatura e o DMARC decide o que acontece quando um deles falha.

Pré-requisitos

Antes de configurar o DMARC deve ter:

  • SPF record configurado para o seu domínio
  • a assinatura DKIM configurada no seu fornecedor de correio

O DMARC verifica se pelo menos um dos dois, SPF ou DKIM, está alinhado com o domínio do From:.

Passo 1: criar um registo DMARC de monitorização

Start with p=none — assim apenas monitoriza, sem rejeitar qualquer mensagem. Adicione um registo TXT em _dmarc.yourdomain.com:

v=DMARC1; p=none; rua=mailto:[email protected]

Isto pede aos servidores receptores que enviem relatórios agregados para o seu endereço de e-mail.

Passo 2: analisar os relatórios

Ao fim de alguns dias vai receber relatórios XML que mostram que servidores enviam correio do seu domínio e se passam o SPF/DKIM. Analise-os para garantir que o seu correio legítimo se autentica corretamente.

Use um analisador de relatórios DMARC (existem muitas opções gratuitas) para converter o XML num formato legível.

Passo 3: passar para quarentena

Quando o seu correio legítimo passar de forma consistente, mude para p=quarantine:

v=DMARC1; p=quarantine; pct=10; rua=mailto:[email protected]

The pct=10 significa aplicar a política apenas a 10% do correio que falha. Aumente gradualmente até 100% à medida que ganha confiança.

Passo 4: impor com reject

A política mais rigorosa — as mensagens que falham são rejeitadas de imediato:

v=DMARC1; p=reject; rua=mailto:[email protected]; ruf=mailto:[email protected]

Parâmetros do registo DMARC

TagExampleDescription
pp=rejectPolítica: none, quarantine ou reject
spsp=quarantinePolítica para subdomínios (herda p se for omitida)
pctpct=50Percentagem do correio a que a política se aplica (1-100)
ruarua=mailto:[email protected]Destino dos relatórios agregados
rufruf=mailto:[email protected]Destino dos relatórios forenses (de falha)
adkimadkim=sAlinhamento DKIM: s (estrito) ou r (relaxado)
aspfaspf=rAlinhamento SPF: s (estrito) ou r (relaxado)

O alinhamento DMARC explicado

O DMARC exige «alinhamento»: o domínio no cabeçalho From: da mensagem tem de corresponder ao domínio usado na autenticação SPF ou DKIM:

  • Relaxed (r) — os subdomínios são permitidos (predefinição). mail.example.com aligns with example.com
  • Strict (s) — é exigida correspondência exacta. mail.example.com NÃO está alinhado com example.com

Erros comuns

  • Passar directamente para p=reject sem monitorizar primeiro — o correio legítimo pode falhar
  • Colocar o registo na raiz do domínio em vez de em _dmarc.yourdomain.com
  • Não configurar primeiro o SPF e o DKIM
  • Esquecer-se de incluir rua — sem relatórios não consegue acompanhar o que está a acontecer

Verifique o seu registo DMARC

Use o verificador de segurança do correio para confirmar que o seu DMARC está bem configurado:

Verificar o seu DMARC →← O que é o SPF?
Experimente no seu domínio

Veja a teoria na prática — execute Verificação de segurança do correio para o seu próprio domínio.

Artigos relacionados
O que é o SPF? Sender Policy Framework explicado →Registos TXT →Registos MX →