Política DMARC

Este guia faz parte do nosso guia completo sobre DMARC. Relacionado: o registro DMARC e como configurar o DMARC.

A sua política DMARC — a tag p= no seu registro DMARC — informa aos servidores de e-mail de recebimento o que fazer com as mensagens que falham na autenticação DMARC. Há três opções: p=none (apenas monitorar, não tomar nenhuma ação), p=quarantine (enviar e-mails que falham para o spam) e p=reject (bloquear e-mails que falham de imediato). Apenas p=reject lhe dá proteção total contra a falsificação do seu domínio.

Todos que têm um registro DMARC têm uma política, mas a maioria dos domínios permanece em p=none, que não faz nada para impedir a personificação. O objetivo é avançar com segurança para p=reject. Este guia explica cada política, por que o alinhamento decide silenciosamente se as mensagens passam ou falham, e como chegar à aplicação sem bloquear o seu próprio e-mail legítimo.

As três políticas: none, quarantine, reject

A tag p= é a parte mais importante do seu registro DMARC. Ela instrui os destinatários sobre qual ação tomar quando uma mensagem afirma ser do seu domínio, mas falha no DMARC.

Política	O que os destinatários fazem	Quando usar
p=none	Não tomar nenhuma ação — entregar normalmente, mas enviar relatórios agregados a você	O ponto de partida. Use apenas enquanto você coleta dados e confirma que todos os remetentes legítimos passam.
p=quarantine	Encaminhar os e-mails que falham para a pasta de spam/lixo eletrônico	O estágio intermediário. Use quando os relatórios estiverem limpos, para uma aplicação leve antes de se comprometer com um bloqueio total.
p=reject	Recusar os e-mails que falham no servidor — eles nunca chegam à caixa de entrada	O objetivo final. Use quando estiver confiante de que todo e-mail legítimo autentica e se alinha. Proteção total contra falsificação.

p=none é um modo de monitoramento, não de proteção. Um domínio preso em p=none ainda pode ser falsificado livremente — os atacantes podem enviar e-mails em seu nome e eles chegam às caixas de entrada. A real proteção contra falsificação começa em p=quarantine e é completa em p=reject.

O alinhamento determina passar ou falhar

Um “pass” do DMARC é mais estrito do que um pass de SPF ou DKIM por si só. Para o DMARC passar, uma mensagem precisa que pelo menos um entre SPF ou DKIM tanto autentique quanto alinhe com o domínio From: visível que os destinatários realmente veem.

• Alinhamento de SPF — o domínio no envelope SMTP (Return-Path) deve corresponder ao domínio From: visível, e o SPF deve passar.
• Alinhamento de DKIM — o domínio na assinatura DKIM (d=) deve corresponder ao domínio From: visível, e a assinatura deve ser verificada.

É aqui que o SPF quebra silenciosamente o DMARC. Um registro SPF é limitado a 10 consultas DNS. Quando o seu registro excede esse limite — fácil de acontecer assim que você adiciona vários provedores por meio de instruções include: aninhadas — o SPF retorna um PermError e para de avaliar. Isso mata silenciosamente o alinhamento de SPF. Se o alinhamento de DKIM também não estiver em vigor, e-mails que de outra forma seriam legítimos falham no DMARC e são colocados em quarentena ou rejeitados no momento em que você migra para a aplicação.

É por isso que por que o alinhamento de SPF é importante antes de você apertar a sua política. Verifique se o seu registro está abaixo do limite de consultas e não retorna nenhum PermError. O AutoSPF mantém o SPF válido ao achatar o seu registro automaticamente, de modo que ele permaneça abaixo de 10 consultas mesmo à medida que você adiciona remetentes — protegendo o alinhamento do DMARC conforme você avança para o reject.

Você também pode controlar quão estrito é o alinhamento com as tags aspf (SPF) e adkim (DKIM). r (relaxado, o padrão) permite que subdomínios se alinhem; s (estrito) exige uma correspondência exata. A maioria dos domínios deve deixá-las relaxadas. Veja o registro DMARC para a referência completa das tags.

Como passar de none para reject com segurança

Pular direto para p=reject corre o risco de bloquear e-mails reais. Use uma implantação em etapas:

1. Comece em p=none. Publique um registro DMARC com p=none e um endereço de relatório (rua=). Isso não muda nada na entrega, mas começa a coletar relatórios agregados.
2. Leia os seus relatórios. Ao longo de duas a quatro semanas, revise os relatórios para ver cada fonte que envia em nome do seu domínio — a sua própria plataforma de marketing, CRM, help desk, ferramenta de faturamento e quaisquer remetentes ocultos.
3. Corrija os remetentes legítimos que falham. Para cada remetente real que falha, adicione-o ao SPF ou configure a assinatura DKIM para que ele autentique e se alinhe. Mantenha o SPF abaixo do limite de 10 consultas enquanto faz isso.
4. Migre para p=quarantine com pct. Defina p=quarantine; pct=25 para aplicar primeiro a um quarto dos e-mails que falham, depois aumente pct em direção a 100 conforme os relatórios permanecem limpos. Isso limita o raio de impacto caso você tenha deixado passar um remetente.
5. Migre para p=reject. Uma vez que a quarentena esteja em pct=100 e os relatórios mostrem apenas falhas esperadas (ou seja, falsificação real), mude para p=reject para proteção total.

Para a sintaxe do registro e a publicação passo a passo, veja como configurar o DMARC.

A tag sp (política de subdomínio)

A tag sp= define uma política separada para os subdomínios do seu domínio. Se você a omitir, os subdomínios herdam o valor principal de p=. Isso é importante porque os atacantes costumam falsificar subdomínios (como mail.yourdomain.com) que você talvez não use ativamente. Um padrão seguro comum é publicar sp=reject mesmo enquanto a sua política de nível superior ainda está subindo, para que os subdomínios não utilizados sejam bloqueados cedo. Se você usa subdomínios para envio legítimo, trate-os da mesma forma: monitore, alinhe e depois aplique.

Perguntas Frequentes

O que é uma política DMARC?

Uma política DMARC é a tag p= no registro DNS DMARC do seu domínio. Ela informa aos servidores de e-mail de recebimento como tratar as mensagens que afirmam vir do seu domínio, mas falham na autenticação DMARC. Os três valores são p=none (apenas monitorar), p=quarantine (enviar para o spam) e p=reject (bloquear). É a instrução central que transforma o DMARC em proteção real.

Qual é a diferença entre p=none, p=quarantine e p=reject?

p=none não toma nenhuma ação sobre os e-mails que falham — apenas envia relatórios a você, então o seu domínio ainda pode ser falsificado. p=quarantine encaminha as mensagens que falham para a pasta de spam, um estágio de aplicação leve. p=reject recusa os e-mails que falham no servidor, de modo que nunca cheguem à caixa de entrada. Apenas p=quarantine e p=reject realmente impedem a personificação; p=reject é o objetivo de proteção total.

É seguro usar p=reject?

Sim, uma vez que você tenha se preparado para isso. p=reject é seguro após uma implantação em etapas na qual todo remetente legítimo autentica e se alinha, e os seus relatórios agregados mostram apenas falhas esperadas. O risco vem de pular para o reject cedo demais e bloquear e-mails reais. Corrija os remetentes que falham em p=none, avance gradualmente por p=quarantine com pct, depois comprometa-se com o reject.

Por que a minha política DMARC não está habilitada?

Geralmente porque está definida como p=none, que é apenas de monitoramento e não aplica nada — então o seu domínio permanece passível de falsificação. Ela também pode parecer desabilitada se o SPF exceder o limite de 10 consultas e retornar PermError, quebrando silenciosamente o alinhamento de modo que e-mails legítimos falhem no DMARC. Verifique o seu registro com um verificador de SPF, corrija o alinhamento e, então, avance de none para reject.