O que é DMARC?
DMARC, sigla de Domain-based Message Authentication, Reporting and Conformance (em tradução livre, “autenticação, relatório e conformidade de mensagens baseada em domínio”), é o protocolo que coordena as duas outras camadas de autenticação de e-mail. O DMARC diz aos provedores o que fazer quando uma mensagem em nome do seu domínio falha nas verificações de SPF e DKIM: entregar mesmo assim, mandar para o spam ou rejeitar.
Além da política de tratamento, o DMARC entrega relatórios. Os provedores enviam resumos periódicos mostrando quem está disparando e-mails em nome do seu domínio, quantas mensagens passaram na autenticação e de onde vêm as tentativas de falsificação.
Desde 2024, Gmail e Yahoo exigem DMARC de remetentes de grande volume. O protocolo virou requisito para qualquer operação séria de e-mail marketing, com impacto direto na entregabilidade e na reputação do domínio.
Como funciona na prática?
O DMARC é um registro TXT publicado no DNS, no formato:
v=DMARC1; p=quarantine; rua=mailto:relatorios@suaempresa.com.brA tag p define a política e aceita três valores, em níveis crescentes de rigor:
- p=none: modo de monitoramento. Nada muda na entrega, e você recebe relatórios sobre quem envia em seu nome. É o ponto de partida recomendado.
- p=quarantine: mensagens que falham na autenticação vão para a pasta de spam do destinatário.
- p=reject: mensagens que falham são rejeitadas antes de chegar à caixa. É o nível máximo de proteção.
Há um detalhe técnico central: o alinhamento. Para passar no DMARC, a mensagem precisa ser aprovada em SPF ou DKIM com o mesmo domínio que aparece no campo “De” visível ao destinatário. Essa checagem impede que um golpista use autenticação válida de outro domínio para se passar pela sua marca.
A implantação segura segue uma progressão: publique com p=none, analise os relatórios por algumas semanas, corrija fontes legítimas que estejam falhando e só então avance para quarantine e reject.
DMARC vs SPF vs DKIM: qual a diferença?
| Protocolo | Papel | O que acontece sem ele |
|---|---|---|
| SPF | Autoriza os servidores que enviam pelo domínio | Qualquer servidor pode alegar ser você |
| DKIM | Assina o conteúdo com criptografia | Mensagens podem ser adulteradas no caminho |
| DMARC | Define a punição para falhas e gera relatórios | As falhas de SPF e DKIM ficam sem consequência |
Veredito: SPF e DKIM são as verificações, o DMARC é a política que dá consequência a elas, e os três funcionam como um sistema único.
Exemplos de uso
- Um banco digital publica DMARC com
p=reject. Campanhas de phishing que tentam usar o domínio do banco são rejeitadas em massa pelos provedores, protegendo os clientes. - Um e-commerce em
p=noneidentifica pelos relatórios que o sistema de recuperação de carrinho falhava no alinhamento de DKIM e corrige a configuração antes de migrar parap=quarantine.
Erros comuns
- Publicar
p=rejectde imediato e bloquear e-mails legítimos de sistemas esquecidos. - Ficar em
p=nonepara sempre, o que gera relatórios e nenhuma proteção real. - Esquecer o alinhamento: SPF e DKIM podem passar e o DMARC ainda falhar.
- Deixar sem DMARC os domínios que não enviam e-mail, livres para falsificação.
Perguntas frequentes sobre DMARC
DMARC é obrigatório para enviar e-mail marketing?
Para remetentes de grande volume, sim: Gmail e Yahoo passaram a exigir DMARC publicado como condição de entrega a partir de 2024. Para volumes menores, o protocolo segue fortemente recomendado, porque melhora a entregabilidade, protege a marca e dá visibilidade sobre o que sai em seu nome.
Qual política DMARC devo usar no início?
Comece com p=none para mapear todas as fontes de envio sem risco de bloquear mensagens legítimas. Depois de algumas semanas analisando relatórios e corrigindo falhas, avance para p=quarantine e, por fim, p=reject. Essa progressão dá proteção máxima sem interromper e-mails importantes.
O que são os relatórios DMARC e para que servem?
Os relatórios são arquivos enviados pelos provedores com dados agregados: volume de mensagens em nome do seu domínio, resultado das verificações de SPF e DKIM e os IPs de origem. Eles servem para descobrir fontes de envio esquecidas, corrigir configurações e detectar falsificações.