O que é DMARC e como configurar no e-mail da empresa

Resposta rápida: DMARC (Domain-based Message Authentication, Reporting, and Conformance) é um protocolo de segurança publicado no DNS que define o que os provedores de destino devem fazer quando uma mensagem enviada em nome da sua empresa falha na validação de SPF ou DKIM. Ele combate tentativas de golpe por falsificação de identidade (spoofing) e protege a reputação do seu domínio. Para configurá-lo, você adiciona um registro do tipo TXT na sua zona DNS chamado _dmarc, definindo uma política de monitoramento (p=none), quarentena (p=quarantine) ou rejeição (p=reject).

O que é DMARC e por que ele se tornou obrigatório?

O DMARC foi formalizado pela Internet Engineering Task Force por meio da RFC 7489. Em termos simples, ele funciona como uma instrução formal que o dono do domínio dá para servidores como Google, Yahoo e Microsoft sobre como tratar mensagens suspeitas que usam o nome da sua marca.

Historicamente, o e-mail foi criado sem mecanismos nativos de segurança. Qualquer computador conectado à rede podia enviar uma mensagem dizendo ser de contato@suaempresa.com.br. Para resolver isso, foram criados dois mecanismos anteriores: o SPF (RFC 7208), que lista os servidores autorizados a disparar e-mails pelo seu domínio, e o DKIM, que assina digitalmente a mensagem para comprovar que ela não foi adulterada durante o trajeto.

No entanto, faltava uma peça: e se um e-mail falhar no SPF ou no DKIM? O servidor que recebe deve descartar a mensagem, colocá-la na caixa de spam ou entregá-la mesmo assim? É exatamente essa resposta que o DMARC fornece. Se você quiser entender como essas três peças se conectam antes de avançar, consulte nosso artigo com MX, SPF, DKIM e DMARC explicados sem jargão técnico.

Além de fechar brechas para criminosos aplicarem golpes em clientes e fornecedores usando seu nome, o DMARC deixou de ser opcional para quem se preocupa com entregabilidade. As diretrizes para remetentes de e-mail do Google e as regras equivalentes do Yahoo estabeleceram que domínios sem autenticação completa sofrem bloqueios severos ou têm seus disparos redirecionados diretamente para o lixo eletrônico. Ter um e-mail corporativo configurado corretamente é hoje um requisito operacional básico.

Como o DMARC funciona na prática?

Para compreender o DMARC, é preciso entender o conceito de alinhamento de identificadores. Quando você envia um e-mail profissional, existem dois endereços de remetente envolvidos:

1. O remetente do cabeçalho visível (From): é o endereço que o seu cliente enxerga no aplicativo de e-mail, como vendas@suaempresa.com.br.
2. O remetente técnico (envelope ou Return-Path): é o endereço usado pelos servidores para registrar erros de entrega e processar o SPF.

Golpistas costumam usar um domínio próprio invisível no Return-Path (que passa no SPF deles) e colocam o domínio da sua empresa no cabeçalho visível para enganar a vítima. O DMARC exige alinhamento: o domínio visível deve ser exatamente o mesmo validado pelo SPF ou pela assinatura criptográfica do DKIM.

Quando uma mensagem chega ao destino, o servidor receptor executa as seguintes etapas:

• Checa se o SPF passou e se o domínio alinha com o remetente visível.
• Checa se a assinatura DKIM é válida e se o domínio da chave alinha com o remetente visível.
• Consulta a entrada DMARC no DNS do domínio remetente.
• Se a mensagem falhar em ambos os critérios, o servidor aplica a política estipulada pelo dono do domínio.

Se a sua empresa envia mensagens legítimas mas não configurou esses passos, seus comunicados comerciais correm sério risco de rejeição. Explicamos detalhadamente esse problema no artigo por que meu e-mail cai no spam.

Quais são as políticas do DMARC?

A regra que você publica no DNS é definida pela tag p=. Existem três opções possíveis, que representam níveis graduais de proteção:

1. Política de monitoramento (p=none)

Indica aos servidores receptores que, mesmo que a mensagem falhe na autenticação, ela deve ser entregue normalmente à caixa de entrada do destinatário (ou seguir o filtro anti-spam comum do provedor). Esta fase serve exclusivamente para coletar relatórios e diagnosticar quais serviços legítimos usam seu domínio sem autorização prévia.

2. Política de quarentena (p=quarantine)

Determina que mensagens com falha de autenticação devem ser tratadas com suspeita. Geralmente, o provedor de destino as entrega direto na pasta de spam ou lixo eletrônico do destinatário, impedindo que cheguem à caixa principal.

3. Política de rejeição (p=reject)

É o nível mais alto de defesa. Instruções com p=reject ordenam que o servidor de destino bloqueie e recuse totalmente o recebimento da mensagem no próprio nível de conexão SMTP. Ela nunca chega a nenhuma pasta do usuário. Golpistas perdem totalmente a capacidade de enviar e-mails falsificados em nome do seu domínio.

Tag DMARC	Nome	Função	Exemplo prático
v	Versão	Identifica o protocolo (sempre DMARC1)	v=DMARC1;
p	Política	Define a ação para o domínio principal	p=none; ou p=quarantine;
sp	Política de subdomínios	Define a ação para subdomínios não declarados	sp=reject;
rua	Relatórios agregados	E-mail que receberá resumos diários em XML	rua=mailto:dmarc@dominio.com.br;
pct	Porcentagem	Percentual de mensagens sujeitas à regra (1 a 100)	pct=100;

Como configurar o DMARC no seu domínio passo a passo

Antes de adicionar o registro DMARC, você precisa ter certeza absoluta de que suas entradas MX, SPF e DKIM já estão ativas e funcionando. Se você ainda tem dúvidas sobre como validar essas etapas preliminares, leia nosso guia sobre como verificar se o domínio está configurado para e-mail.

Para quem busca uma configuração rápida e sem dor de cabeça técnica, o Domailo oferece uma interface intuitiva em que você gerencia caixas de entrada corporativas e visualiza os registros necessários de forma organizada.

Siga o procedimento abaixo para habilitar o DMARC:

Passo 1: Acesse a zona de gerenciamento de DNS do seu domínio

Abra o painel onde a sua zona DNS está hospedada. Esse local pode ser a empresa de hospedagem do site ou um provedor especializado em DNS como a Cloudflare.

Atenção essencial para domínios .com.br registrados no Registro.br: O serviço de DNS básico e gratuito fornecido diretamente no painel do Registro.br possui uma limitação de software conhecida: ele não aceita o caractere sublinhado (_) no campo de nome dos registros. Como o protocolo DMARC exige obrigatoriamente a entrada _dmarc, você não conseguirá inseri-lo no DNS do Registro.br. A solução recomendada é direcionar os servidores DNS (Nameservers) do Registro.br para a Cloudflare (utilizando o plano gratuito da Cloudflare) e cadastrar todas as entradas DNS por lá.

Passo 2: Crie o registro TXT inicial

Na zona de DNS, adicione uma nova entrada com as seguintes propriedades:

• Tipo: TXT
• Nome (ou Host): _dmarc (alguns painéis exigem digitar _dmarc.seudominio.com.br, enquanto outros exigem apenas _dmarc)
• Conteúdo (ou Valor): v=DMARC1; p=none; rua=mailto:relatorios@seudominio.com.br
• TTL: 3600 (ou Automático)

Substitua relatorios@seudominio.com.br por uma caixa de entrada real criada para receber esses arquivos. Não se assuste se receber arquivos .xml.gz: são relatórios técnicos consolidados enviados periodicamente por servidores como Gmail e Yahoo com o histórico de quem tentou enviar e-mails em seu nome.

Passo 3: Avalie os relatórios durante 7 a 15 dias

Acompanhe se todos os sistemas legítimos que enviam e-mails pela sua empresa (como seu sistema de vendas, emissores de nota fiscal eletrônica e plataformas de atendimento) estão passando no SPF e DKIM. Se você identificar disparos válidos falhando, corrija o SPF antes de prosseguir.

Passo 4: Suba a proteção para quarentena e rejeição

Assim que confirmar que apenas mensagens autorizadas saem com a assinatura do seu domínio, edite o valor do registro TXT:

1. Altere primeiro para quarentena: v=DMARC1; p=quarantine; rua=mailto:relatorios@seudominio.com.br
2. Após mais uma semana sem incidentes de falsos positivos, mude para bloqueio definitivo: v=DMARC1; p=reject; rua=mailto:relatorios@seudominio.com.br

A partir desse momento, qualquer mensagem forjada tentando usar o seu e-mail empresarial será sumariamente descartada pelos principais provedores globais.

Erros frequentes na configuração do DMARC

Mesmo sendo um registro simples em termos de digitação, alguns descuidos comuns podem comprometer o fluxo de comunicação de uma empresa:

• Começar direto com p=reject sem testar: se você tiver um sistema externo de cobrança ou automação que ainda não foi adicionado ao seu registro SPF, seus próprios e-mails corporativos serão bloqueados e seus clientes não receberão faturas e orçamentos.
• Digitar o nome sem o sublinhado: cadastrar apenas dmarc em vez de _dmarc faz com que os servidores do mundo inteiro simplesmente ignorem a política, pois o protocolo não procurará pelo nome sem o caractere inicial.
• Esquecer de monitorar a caixa do endereço rua: caixas de relatórios podem encher rapidamente com dezenas de mensagens técnicas compactadas se você enviar volumes consideráveis de comunicação diária.

E-mail corporativo sem complicações para a sua equipe

Muitas soluções de e-mail do mercado tornam a gestão de domínios e caixas postais um desafio desnecessário para pequenas e médias empresas. Ferramentas complexas cobram preços salgados por usuário individual e exigem configurações intermináveis em painéis desenhados para corporações gigantescas.

No Domailo, a proposta é direta: você tem e-mail profissional com o domínio próprio da sua empresa e caixa de entrada prática acessada direto pelo navegador (webmail). Em vez de pagar por funcionário, o modelo de cobrança do Domailo é por organização. O plano Startup sai por R$ 19,00/mês para até 2 usuários, o plano Essencial sai por R$ 39,00/mês para 5 usuários e até 3 domínios, e o plano Equipe custa R$ 99,00/mês comportando até 20 caixas e 10 domínios diferentes. Se optar pelo pagamento anual antecipado, você paga 10 mensalidades e utiliza por 12 meses (R$ 190,00/ano no Startup, R$ 390,00/ano no Essencial e R$ 990,00/ano no Equipe).

Se a sua empresa precisa de uma suíte de escritório integrada com planilhas na nuvem e sincronização por aplicativos locais via IMAP/POP, suítes como Google Workspace ou Microsoft 365 podem ser o caminho adequado. Porém, para a imensa maioria dos negócios que precisam de um e-mail empresarial seguro, com domínio próprio, suporte a caixas compartilhadas com múltiplos logins de equipe e administração sem burocracia, o Domailo entrega a melhor experiência de uso com custos previsíveis.

Conclusão: proteja a reputação da sua marca hoje mesmo

Configurar o DMARC deixou de ser um detalhe avançado de segurança de servidores para se tornar a linha de defesa obrigatória da entregabilidade de qualquer e-mail profissional. Ao vincular o SPF e o DKIM sob uma política clara de inspeção, você garante que as comunicações da sua empresa alcancem os clientes e barra tentativas maliciosas de falsificação.

Se você quer colocar seu e-mail corporativo para funcionar com segurança, simplicidade e excelente custo-benefício, o Domailo é a escolha ideal. Você conecta seu domínio, valida as entradas com facilidade e conta com um teste gratuito de 30 dias para comprovar na prática todas as funcionalidades.