Para configurar DMARC com segurança, publique primeiro um registro de monitoramento, use seus relatórios para autenticar todas as fontes de envio legítimas e, em seguida, aumente a política em etapas, de nenhuma até quarentena e rejeição. A ordem é importante: a aplicação antes da aprovação das fontes bloqueará a correspondência real. Feito em sequência, você alcança proteção total sem atrapalhar a entrega.
Antes de começar
DMARC depende de SPF e DKIM , então confirme se ambos existem primeiro. SPF ( RFC 7208 ) lista os IPs e serviços permitidos para envio para o seu domínio em um registro TXT . DKIM adiciona uma assinatura criptográfica publicada como chave pública no DNS . Você precisa de pelo menos um deles passando e alinhado para que DMARC passe, e idealmente ambos. Observe também o limite de pesquisa DNS SPF 10: um registro SPF que aciona mais de dez pesquisas DNS falha, o que quebra o alinhamento DMARC .
Passo a passo
- 1
1. Publique um registro de monitoramento
Adicione um registro TXT em _dmarc com v=DMARC1; p=none; rua=mailto:rua@example.com. Isso coleta dados sem afetar a entrega.
- 2
2. Reúna relatórios
Aguarde duas a quatro semanas e leia os relatórios agregados ( RUA ) para ver todas as fontes de envio como seu domínio.
- 3
3. Autentique cada fonte
Para cada remetente legítimo, configure SPF e DKIM para que ele passe e se alinhe com seu domínio De.
- 4
4. Mude para quarentena
Quando o correio legítimo passar de forma consistente, defina p=quarantine, opcionalmente usando pct para aumentar gradualmente.
- 5
5. Mova para rejeitar
Assim que a quarentena não mostrar nenhuma falha em mensagens legítimas, defina p=reject para proteção total.
- 6
6. Continue monitorando
Continue lendo os relatórios para que novos serviços e qualquer abuso sejam detectados precocemente.
O caminho de implementação
v=DMARC1; p=none then p=quarantine; pct=50 then p=reject; pct=100
Lidar com o limite de pesquisa SPF
Muitas organizações excedem o limite de pesquisa DNS SPF 10 à medida que adicionam serviços em nuvem, o que quebra silenciosamente SPF e prejudica DMARC . O nivelamento SPF resolve os mecanismos incluídos em endereços IP diretos para que você fique abaixo do limite. SmartSPF do EmailAuth nivela seu registro SPF automaticamente e o mantém atualizado conforme seus fornecedores alteram seus IPs.
Armadilhas comuns
- Saltar para p=reject antes que as fontes sejam autenticadas, o que bloqueia mensagens reais.
- Esquecendo subdomínios: defina uma política sp ou eles podem ficar desprotegidos.
- Publicar dois registros DMARC , o que invalida completamente DMARC .
- Ignorando o limite de pesquisa SPF 10, que quebra o alinhamento SPF e DMARC .
- Aplicar e nunca mais verificar os relatórios, para que novos remetentes passem despercebidos.
Facilite o gerenciamento contínuo
EmailAuth pode hospedar seus registros DMARC , SPF , DKIM e BIMI por delegação CNAME , para que você aponte DNS uma vez e gerencie as alterações de política em um painel em vez de editar DNS repetidamente. Ele analisa RUA e RUF para você e sinaliza fontes que ainda precisam de trabalho. Para ver seu ponto de partida, execute uma verificação de domínio gratuita e siga o caminho passo a passo acima para chegar a p=reject.
Perguntas frequentes
Como configuro DMARC sem quebrar o email?
Comece com p=none, que monitora sem afetar a entrega. Use os relatórios agregados para autenticar cada remetente legítimo com SPF e DKIM , depois passe para a quarentena e finalmente rejeite. A abordagem gradual significa que você nunca aplica até ter confirmado os passes de correio reais.
Quanto tempo devo ficar em p=none?
Tempo suficiente para ver uma visão completa de suas fontes de envio, geralmente de duas a quatro semanas para a maioria das organizações. Se você envia por meio de vários serviços ou tem remetentes sazonais, espere mais. Prossiga apenas quando seus relatórios mostrarem toda a passagem e alinhamento de correspondência legítima.
Qual é o limite de pesquisa DNS SPF 10?
A avaliação SPF é limitada a dez pesquisas DNS . Se a inclusão do seu registro e outros mecanismos acionarem mais de dez, SPF retornará um permerror e falhará, o que quebra o alinhamento DMARC . Achatar o registro SPF em IPs diretos, por exemplo com EmailAuth SmartSPF , mantém você abaixo do limite.
Preciso de um registro DMARC separado para subdomínios?
Não necessariamente. Os subdomínios herdam a política do domínio organizacional, a menos que você defina a tag sp ou publique um registro dedicado em _dmarc.subdomain. Use sp para aplicar uma política diferente aos subdomínios e proteja explicitamente os subdomínios não utilizados para que não possam ser falsificados.
[ DMARC guia ]
Proveniência da empresa
Por que as principais instituições financeiras e governos retiraram seus painéis de segurança de e-mail.
As plataformas tradicionais de autenticação de e-mail vendem um painel e pedem que seus engenheiros façam o trabalho. Em ambientes de alto risco, a supervisão manual significa aplicação atrasada, desvios de configuração e domínios ocultos não monitorados.
EmailAuth é a plataforma de origem de e-mail agente. Nossos agentes impõem p=reject, mantenha remetentes terceiros alinhados e mova seus domínios para full RFC 9989 conformidade, o novo padrão DMARC , com auditabilidade humana no circuito.
SaaS · Locação dedicada · Air gap no local · Criptografia BYOK