netlupaVerificar o registro DMARC de um domínio
O DMARC diz ao mundo o que fazer com os e-mails que falsificam seu domínio. Digite-o para revisar a política e os relatórios.
Como ler um registro DMARC
O DMARC é um registro TXT em _dmarc.seudominio.com.br que começa com “v=DMARC1” e segue com tags separadas por ponto e vírgula. Por exemplo:
- v=DMARC1; p=quarantine; rua=mailto:[email protected]; pct=100; adkim=s
A tag mais importante é p, a política: none (só observar), quarantine (mandar para o spam) ou reject (rejeitar). Um e-mail passa no DMARC se passar no SPF ou no DKIM e, além disso, o domínio validado estiver alinhado com o remetente que o usuário vê.
Com rua, você recebe todo dia relatórios XML dos grandes provedores com todos os IPs que enviaram e-mail em seu nome: é assim que você descobre serviços legítimos que falham e tentativas de falsificação.
Cada registro em detalhe
Perguntas frequentes
Posso colocar “p=reject” direto?
Só se você tiver certeza de que todos os seus serviços de envio passam no SPF ou no DKIM alinhados. Senão, vai perder e-mails legítimos. O seguro é começar em “none”, revisar os relatórios e endurecer aos poucos.
Os subdomínios precisam de DMARC próprio?
Não: eles herdam a política do domínio principal (ou a de “sp”, se você definir). Só é preciso um registro próprio se quiser uma política diferente para um subdomínio.
Qual é o meu seletor DKIM?
Abra um e-mail que você enviou, veja o código-fonte ou os cabeçalhos originais e procure DKIM-Signature: o valor de “s=” é o seletor e o de “d=” é o domínio. O Google Workspace costuma usar “google” e o Microsoft 365 “selector1” e “selector2”.
É melhor “~all” ou “-all”?
Com DMARC funcionando, a diferença prática é pequena, porque quem decide é a política DMARC. “-all” é mais rigoroso; “~all” é mais tolerante com encaminhamentos e serviços esquecidos. Sem DMARC, “-all” protege mais.
Mudei o DNS e a ferramenta não vê a mudança. Por quê?
Os registros DNS ficam em cache pelo tempo do TTL (muitas vezes uma hora). Espere esse tempo e confira de novo. Confira também se o registro está no nome certo (por exemplo, _dmarc.seudominio.com.br para o DMARC).
Preciso de SPF e DMARC em um domínio que não envia e-mail?
Sim, e é muito recomendável: publique “v=spf1 -all” e “v=DMARC1; p=reject;” para que ninguém use esse domínio para enviar e-mails falsos.
Vocês guardam os domínios que eu verifico?
Não. Consultamos o DNS público na hora, com nosso próprio resolvedor, e não guardamos nem o domínio nem o resultado.