Registro DMARC

Você realmente precisa disso?

Se você envia e-mails de um endereço pessoal do Gmail ou do Outlook, não precisa mexer no DMARC. O Google e a Microsoft cuidam disso para você.

Mas se você envia de um domínio personalizado (voce@suaempresa.com), essa é a sua responsabilidade. O Google e o Yahoo anunciaram em 2023 que os remetentes em massa precisam ter o DMARC configurado, e no final de 2025 o Gmail começou uma aplicação rigorosa, com mensagens não conformes agora enfrentando rejeições temporárias ou permanentes. A Microsoft seguiu com regras semelhantes para remetentes de alto volume em 2025.

Você pode se deparar com o DMARC pela primeira vez quando seus e-mails começam a cair na pasta de spam sem motivo aparente. Ou quando o seu registrador de domínio sinaliza a ausência de um registro de autenticação. Ou quando a equipe de TI de um cliente pergunta por que suas mensagens estão falhando nas verificações de segurança deles. É nesse momento que isso deixa de ser abstrato.

Enviando newsletters ou e-mails para clientes a partir de um domínio personalizado? Configure. Isso não é mais opcional.

O que o DMARC realmente faz

Sem uma política de DMARC, um servidor receptor precisa tomar sua própria decisão quando recebe um e-mail que falha nas verificações de autenticação. Às vezes ele entrega mesmo assim. Às vezes não. Você não tem visibilidade nem controle.

O DMARC muda isso. Seu registro informa ao servidor receptor exatamente o que fazer com esses e-mails reprovados: entregar normalmente (p=none), enviar para o spam (p=quarantine) ou rejeitar completamente (p=reject). Você também recebe relatórios. Os servidores receptores enviam dados diários mostrando quais mensagens passaram na autenticação, quais falharam e quais endereços IP enviaram e-mails em nome do seu domínio.

Essa última parte é onde o DMARC prova seu valor para pequenas empresas. Sem ele, alguém poderia enviar e-mails de phishing que parecem exatamente vir do endereço da sua empresa. Seus clientes são enganados, culpam sua marca, e você não faz ideia de que isso está acontecendo. Os relatórios avisam você. A política de aplicação impede isso.

Não é apenas uma medida de segurança. É também uma questão de entregabilidade de e-mail.

Como um registro DMARC é estruturado

Os registros DMARC ficam no seu DNS como registros TXT, publicados em _dmarc.seudominio.com. Um registro básico se parece com isto:

v=DMARC1; p=none; rua=mailto:dmarc-reports@yourdomain.com

As partes principais que você precisa entender:

p= é a sua política. Comece com none (apenas monitoramento, nenhuma ação tomada). Depois de confirmar que seus e-mails legítimos estão passando na autenticação, mude para quarantine e, então, reject.

rua= é para onde vão os seus relatórios agregados. Este é o endereço de e-mail que recebe resumos XML diários dos servidores receptores. Você vai querer uma caixa de entrada dedicada para eles, já que o volume pode aumentar rapidamente.

v=DMARC1 é apenas a tag de versão. Sempre DMARC1.

Sinceramente, isso é a maior parte do que você precisa para uma configuração básica. As outras tags (adkim=, aspf=, sp=) controlam o rigor do alinhamento e a política de subdomínios, mas você não precisa se preocupar com elas no primeiro dia.

Como configurar um registro DMARC

O DMARC é uma operação de DNS. Você está adicionando um registro de texto ao seu domínio. Mas antes de mexer em qualquer coisa, certifique-se de que o SPF e o DKIM já estejam configurados e passando. O Google recomenda aguardar 48 horas após configurar o SPF e o DKIM antes de adicionar o seu registro DMARC. Se você pular esta etapa, provavelmente criará problemas de entrega para o seu próprio e-mail.

Configuração geral (funciona para qualquer registrador de domínio):

1. Confirme que o SPF e o DKIM estão ativos para o seu domínio. Use a consulta DMARC gratuita do MXToolbox para verificar.
2. Gere seu registro DMARC usando uma ferramenta gratuita como o gerador de registros do EasyDMARC ou o gerador de DMARC do MXToolbox. Comece com p=none.
3. Faça login no seu registrador de domínio ou provedor de DNS (Cloudflare, GoDaddy, Namecheap, etc.)
4. Adicione um novo registro TXT. Defina o Nome como _dmarc e cole a string de política gerada como o Valor.
5. Salve e aguarde até 48 horas para a propagação do DNS.
6. Verifique se está ativo usando a consulta DMARC do MXToolbox.

Para o Google Workspace: o guia oficial de configuração de DMARC do Google percorre o processo especificamente para domínios do Workspace.

Para o Microsoft 365: a documentação de configuração de DMARC da Microsoft abrange a configuração para ambientes 365.

Você não precisa configurar nada dentro do Gmail, do Outlook ou do Spark. O DMARC fica inteiramente no nível do DNS, não dentro do seu cliente de e-mail.

Como implementar o DMARC sem quebrar o seu e-mail

Configure o SPF e o DKIM primeiro. O DMARC não funciona sem eles. Se você pular isso, provavelmente causará problemas de entrega para o seu próprio e-mail antes de consertar qualquer coisa. Não pule isso.

Comece com p=none e aguarde. Não tenha pressa em ir para p=reject. Passe uma ou duas semanas apenas coletando relatórios. Você provavelmente descobrirá ferramentas que esqueceu que enviavam e-mails em seu nome. Isso é normal. As mais comuns incluem Mailchimp, CRMs, softwares de faturamento, qualquer coisa que envie e-mails usando o endereço do seu domínio.

Verifique todas as ferramentas que enviam e-mails por você. Cada uma precisa estar devidamente autenticada antes de você reforçar a sua política. Esquecer uma é a maneira mais comum de isso dar errado. Você muda para p=reject e, de repente, suas newsletters do Mailchimp param de ser entregues porque você esqueceu de configurar o DKIM através do seu ESP.

Use uma ferramenta de painel para relatórios. Os relatórios brutos são arquivos XML. Ilegíveis para a maioria das pessoas. Os planos gratuitos do EasyDMARC ou do MXToolbox os transformam em algo compreensível. Use uma.

Migre para p=reject eventualmente. p=none é um ponto de partida, não um destino. Até você chegar lá, seu domínio ainda pode ser falsificado. O objetivo é a aplicação total. Só leva algumas semanas para chegar lá com segurança.

Termos relacionados

• DKIM