DMARC in email: how to avoid rejections when sending via your domain

O que é DMARC

DMARC é uma política que ajuda o domínio a dizer aos provedores o que fazer quando uma mensagem falha nas verificações de autenticação. Ele trabalha junto com SPF e DKIM.

O assunto voltou às discussões de desenvolvedores após relatos de rejeição de mensagens por serviços de e-mail que passaram a exigir DMARC em determinados cenários.

Para um produto brasileiro, isso afeta newsletters, reset de senha, alertas e qualquer e-mail transacional enviado em nome do domínio.

Como funciona

SPF verifica quais servidores podem enviar pelo domínio. DKIM assina a mensagem. DMARC verifica se o domínio visível para o destinatário está alinhado com essas autenticações.

A política publicada no DNS pode orientar o provedor a apenas monitorar, colocar mensagens em quarentena ou rejeitar falhas.

Relatórios agregados mostram fontes que enviam mensagens em nome do domínio. Eles ajudam a encontrar serviços esquecidos e configurações incompletas.

Principais recursos

O modo p=none permite observar falhas sem pedir bloqueio. É uma etapa útil para descobrir todos os serviços que enviam mensagens legítimas.

Quarantine sinaliza mensagens que falham, enquanto reject pede que elas não sejam aceitas. A mudança precisa acompanhar a correção de SPF, DKIM e alinhamento.

Os relatórios rua ajudam a medir o resultado. Não coloque endereços pessoais ou dados sensíveis em registros públicos; use um serviço apropriado para receber relatórios.

Como começar

Liste os provedores de envio usados pelo domínio, incluindo plataforma de marketing, suporte, cobrança e aplicação. Para cada um, confira SPF, DKIM e domínio de retorno.

Publique primeiro uma política de monitoramento e observe os relatórios. Corrija fontes legítimas antes de aumentar a proteção.

Depois, avance com cautela para quarentena e rejeição. Mantenha um plano para voltar à política anterior se uma fonte importante falhar.

Exemplo prático

Uma aplicação envia reset de senha por um provedor transacional, enquanto o marketing usa outra plataforma. As duas fontes precisam estar autorizadas e assinar mensagens com o domínio esperado.

Se o SPF tiver limite de consultas ou o DKIM estiver ausente, o relatório do DMARC mostrará falhas. Corrija a origem, não apenas a política final.

Depois do ajuste, envie mensagens de teste para contas diferentes e verifique cabeçalhos. A entrega depende também de reputação e conteúdo.

Comparação com alternativas

SPF sozinho ajuda a autorizar servidores, mas não protege contra todos os usos do domínio visível. DKIM preserva uma assinatura, mas não define sozinho uma ação para falhas.

DMARC combina autenticação e alinhamento com uma política. Ele não é um filtro universal de spam nem garante que uma mensagem válida sempre chegue à caixa de entrada.

Serviços especializados simplificam relatórios e alertas. Uma equipe pequena pode começar com DNS e monitoramento, desde que entenda as fontes de envio.

Pontos positivos e limitações

DMARC reduz falsificação do domínio e dá visibilidade sobre quem tenta enviar mensagens em seu nome. Também melhora a disciplina de configuração dos provedores.

A implantação exige inventário e manutenção. Um serviço novo pode quebrar o envio se não for incluído no SPF ou configurado com DKIM.

A política não corrige problemas de reputação, conteúdo ou bloqueios do destinatário. Ela é uma camada de autenticação, não uma garantia de entrega.

Casos de uso reais

Uma loja virtual usa DMARC para proteger e-mails de pedido, boleto e recuperação de conta. O time separa os domínios transacional e de marketing.

Uma startup que envia por SaaS monitora relatórios antes de mudar para reject. O inventário evita esquecer a ferramenta usada pelo suporte.

Uma agência mantém registros de clientes com várias fontes de envio. A documentação de cada domínio reduz regressões em trocas de fornecedor.

Dicas e boas práticas

Mantenha SPF curto e organizado. Muitos serviços encadeados podem atingir limites de consulta e causar falhas inesperadas.

Use DKIM com chaves rotacionáveis e acompanhe os relatórios. Remova integrações antigas quando deixarem de enviar.

Faça mudanças graduais e registre a data, a política e as fontes autorizadas. Assim, um problema de entrega pode ser relacionado à alteração correta.

Vale a pena usar DMARC

Sim, especialmente para domínios que enviam mensagens de login, cobrança ou comunicação com clientes. A visibilidade ajuda a encontrar abusos e configurações esquecidas.

Não publique reject sem observar o tráfego legítimo. O custo de um inventário curto é menor que o impacto de bloquear o próprio produto.

O próximo passo é consultar os registros DNS, listar todos os remetentes e começar com uma política de monitoramento.