Configurar DMARC não é difícil — o segredo é fazer na ordem certa e avançar com cuidado. Siga este passo a passo e você sai de "domínio desprotegido" para p=reject sem bloquear nenhum e-mail legítimo.
Antes de começar: SPF e DKIM
O DMARC se apoia no SPF e no DKIM, então eles precisam estar funcionando primeiro. Se ainda não estão, resolva isso antes:
- Confira o SPF no verificador de SPF (ou crie um no gerador de SPF).
- Confira o DKIM no verificador de DKIM.
Passo 1 — Comece sempre em p=none
Nunca comece direto no reject. O p=none não bloqueia nada — ele só liga o monitoramento, para você enxergar quem envia em seu nome antes de tomar qualquer decisão.
Passo 2 — Monte o registro
Um registro DMARC inicial saudável é assim:
v=DMARC1; p=none; rua=mailto:[email protected]; adkim=r; aspf=r; pct=100
O que cada parte significa:
v=DMARC1— versão (obrigatório).p=none— política: começar monitorando.rua=mailto:...— para onde enviar os relatórios agregados. Essencial: sem isso, você fica cego.adkim=r / aspf=r— modo de alinhamento "relaxado" (recomendado para começar).pct=100— aplica a política a 100% das mensagens.
Não quer montar na mão? Use o gerador de DMARC.
Passo 3 — Publique no DNS
No painel de DNS do seu domínio, crie um registro TXT:
| Tipo | TXT |
| Nome/Host | _dmarc (vira _dmarc.suaempresa.com.br) |
| Valor | o registro do passo 2 |
| TTL | 3600 |
A propagação leva de alguns minutos a algumas horas.
Passo 4 — Monitore os relatórios
Em 24 a 48 horas começam a chegar os relatórios. Aqui está o detalhe: eles vêm em XML, vários por dia, de cada provedor. Ler isso na mão é inviável. Uma plataforma de monitoramento transforma tudo em painéis e mostra, com clareza, quais serviços enviam em seu nome e quais estão falhando na autenticação.
Passo 5 — Avance para quarantine e depois reject
Quando os relatórios mostrarem que todos os seus remetentes legítimos estão passando na autenticação, avance:
- Mude para
p=quarantine(suspeitos vão para o spam). Observe por algumas semanas. - Confirmando que está tudo certo, vá para
p=reject(fraudes bloqueadas).
Quer ir com mais cautela? Use pct= para aplicar a política gradualmente (ex.: pct=25, depois 50, 100).
Erros comuns para evitar
- Pular o
nonee ir direto parareject— receita para bloquear e-mail legítimo. - Esquecer a tag
ruae ficar sem relatórios. - Avançar a política sem antes corrigir um serviço que falha na autenticação.
- Ter mais de um registro DMARC (só pode existir um).
Faça do jeito guiado
Em vez de cuidar disso na planilha e no XML, deixe a plataforma recomendar a hora certa de avançar cada etapa — com segurança: