Se você já recebeu um e-mail de golpe que parecia vir do seu banco, já viu por que o DMARC existe. Ele é o mecanismo que diz aos provedores de e-mail — como Gmail e Outlook — o que fazer quando alguém tenta enviar uma mensagem fingindo ser você.
A sigla, sem complicação
DMARC significa Domain-based Message Authentication, Reporting & Conformance. Em bom português: é um padrão que autentica os e-mails enviados em nome do seu domínio, relata o que está acontecendo e impõe uma política sobre o que deve ser feito com mensagens não autorizadas.
O problema que ele resolve
Por incrível que pareça, o e-mail foi criado sem nenhuma verificação de identidade. Por padrão, qualquer pessoa no mundo pode enviar uma mensagem colocando [email protected] no campo "De" — mesmo sem ter qualquer acesso ao seu domínio. É exatamente assim que funcionam o spoofing e boa parte dos golpes de phishing.
O DMARC fecha essa porta. Com ele configurado, o Gmail consegue perguntar: "esse e-mail que diz vir da suaempresa.com.br foi mesmo autorizado por ela?" — e agir de acordo com a resposta.
Como o DMARC funciona
O DMARC não trabalha sozinho. Ele se apoia em dois outros padrões — SPF e DKIM — e adiciona duas coisas que faltavam: alinhamento e política.
- SPF define quais servidores podem enviar e-mail pelo seu domínio.
- DKIM adiciona uma assinatura criptográfica que prova que a mensagem não foi adulterada.
- DMARC verifica se o domínio do SPF/DKIM bate com o domínio que aparece para o destinatário (isso é o alinhamento) e, se algo falhar, aplica a sua política.
As três políticas do DMARC
A política é definida pela tag p= no seu registro. São três níveis, do mais brando ao mais rígido:
| Política | O que acontece | Quando usar |
|---|---|---|
p=none | Nada é bloqueado. Apenas monitora e gera relatórios. | No começo, para enxergar quem envia em seu nome. |
p=quarantine | Mensagens não autenticadas vão para o spam. | Quando você já mapeou seus remetentes legítimos. |
p=reject | Mensagens não autenticadas são bloqueadas na entrega. | O objetivo final: proteção máxima. |
A jornada saudável é começar em none, observar os relatórios e avançar com segurança até reject. Pular etapas é o que faz empresas bloquearem os próprios e-mails — e é justamente o que o avanço guiado evita.
E os tais relatórios?
Esta é a parte mais poderosa e menos conhecida do DMARC. Quando você adiciona a tag rua=mailto:..., os provedores passam a te enviar relatórios diários com tudo o que circula em nome do seu domínio: quais serviços enviaram, de quais IPs, quantos passaram na autenticação e quantos falharam.
O problema é que esses relatórios chegam em arquivos XML praticamente ilegíveis. É aí que entra uma plataforma de monitoramento: nós transformamos esses dados em painéis claros, para você tomar decisões sem precisar decifrar código.
Por onde começar
O primeiro passo é descobrir como seu domínio está hoje. Leva 10 segundos e é grátis:
Depois, se quiser entender o porquê de tudo isso importar tanto, veja por que o DMARC é importante ou vá direto ao passo a passo de configuração.