Política DMARC Explicada em Português Claro

O DMARC é a parte da configuração de e-mail que soa mais intimidante e que, na prática, é uma das ideias mais simples de entender. Se você tem um negócio de limpeza, climatização, telhados ou paisagismo e alguém mandou você "definir uma política DMARC" sem você fazer ideia do que isso significa, este artigo é para você. Ao final, você vai entender exatamente o que o DMARC faz, o que significam as três configurações de política e como ativá-lo sem bloquear seus próprios e-mails por acidente.

Não é preciso conhecimento prévio. Vamos manter cada termo em português claro e explicar por que um pequeno negócio — e não só um banco ou uma grande empresa — realmente precisa disso.

O que é o DMARC, em uma frase

O DMARC é uma regra que você publica e que diz aos servidores de e-mail do mundo o que fazer com mensagens que afirmam ser do seu negócio mas não conseguem provar. É só isso. A sigla significa Domain-based Message Authentication, Reporting and Conformance, mas você pode esquecer esse trava-língua. O que importa é a regra e os relatórios.

Toda mensagem que chega ao Gmail ou ao Yahoo fingindo ser do seu domínio é verificada. O DMARC é a sua instrução escrita para as falhas: ignorar, tratar como suspeita ou bloquear de vez. Sem um registro DMARC, você não deu instrução nenhuma, e qualquer um pode falsificar seu nome sem nada no caminho.

Por que um pequeno negócio deve se importar

Dois motivos, um defensivo e um prático. O motivo defensivo: golpistas adoram se passar por negócios de serviço locais. Eles enviam faturas falsas e e-mails de "seu agendamento está confirmado" que parecem vir da sua empresa, e quando um cliente se dá mal, a sua reputação leva o dano mesmo sem você ter feito nada. Uma política DMARC configurada para bloquear fecha essa porta.

O motivo prático é a entrega. Desde fevereiro de 2024, o Gmail e o Yahoo exigem que todo domínio que envia em volume publique um registro DMARC — no mínimo uma política de monitoramento — ou enfrente filtragem. Então o DMARC deixou de ser um extra avançado e opcional. É um requisito básico para sequer chegar à caixa de entrada. Nossa visão geral das exigências do Gmail e do Yahoo para remetentes coloca o DMARC no contexto do conjunto completo de regras.

Como o DMARC funciona com SPF e DKIM

O DMARC nunca funciona sozinho. Ele fica em cima de outros dois registros — SPF e DKIM — e só faz sentido depois que você entende a dupla embaixo dele. O SPF é uma lista de servidores autorizados a enviar pelo seu domínio. O DKIM é uma assinatura digital que prova que a mensagem não foi adulterada. Você pode ler a mecânica completa no nosso guia sobre SPF, DKIM e DMARC explicados.

Aqui está a palavra crucial que o DMARC acrescenta: alinhamento. Não basta o SPF ou o DKIM simplesmente passarem; o domínio que eles verificam precisa coincidir com o domínio que o destinatário vê na linha "De". Uma mensagem passa no DMARC quando pelo menos um entre SPF e DKIM passa e alinha com o seu domínio de envio visível. Se os dois falham ou nenhum alinha, sua política DMARC decide o destino daquela mensagem.

As três políticas, sem rodeios

O DMARC tem exatamente três configurações, escritas no registro como o valor "p=". Elas formam uma escada que você sobe da mais segura à mais rígida:

• p=none — só monitorar. As mensagens que falham são entregues normalmente, mas você recebe relatórios sobre elas. Nada muda para seus destinatários.
• p=quarantine — as mensagens que falham são tratadas com suspeita e enviadas para a pasta de spam ou lixo eletrônico.
• p=reject — as mensagens que falham são bloqueadas antes da entrega e nunca chegam.

A abordagem certa é começar na base da escada e subir apenas quando você tiver certeza de que seu e-mail legítimo passa. Pular direto para reject antes de entender quem envia em seu nome é a forma mais comum de os negócios bloquearem por acidente as próprias faturas e lembretes.

p=none: onde todo mundo começa

Uma política de p=none não muda nada em como seu e-mail é entregue. É puro monitoramento. Sua única função é fazer os receptores enviarem relatórios agregados — um resumo de cada servidor que enviou e-mail alegando ser do seu domínio, e se aquelas mensagens passaram ou falharam.

Esta é a sua fase de descoberta. Você quase sempre vai encontrar fontes que esqueceu: seu software de agendamento, sua ferramenta de contabilidade, um serviço de pedido de avaliações, a plataforma que envia suas newsletters. O p=none permite catalogar todas elas e confirmar que cada uma está autenticada corretamente antes de apertar. Google e Yahoo aceitam o p=none como cumprimento do requisito mínimo, então mesmo que você nunca avance dele, satisfaz as regras de 2024 — embora deixe a proteção contra falsificação desligada.

p=quarantine: o passo do meio

Quando seus relatórios estiverem limpos — todo remetente legítimo autenticando e alinhando — você sobe para p=quarantine. Agora, qualquer mensagem que falha no DMARC é desviada para a pasta de spam em vez da caixa de entrada. O e-mail legítimo que passa não é afetado; só as falhas são tratadas como suspeitas.

A quarentena é uma rede de segurança. Se você deixou passar um remetente legítimo durante a fase p=none, o e-mail dele cai no spam em vez de sumir por completo, então você percebe e corrige sem perder a mensagem para sempre. Muitos negócios usam aqui uma implantação gradual com uma tag de porcentagem, aplicando a política a uma pequena parcela do e-mail que falha no início e aumentando conforme os relatórios seguem limpos.

p=reject: proteção total

O topo da escada é o p=reject. As mensagens que falham no DMARC são bloqueadas na porta e nunca são entregues em lugar nenhum. Essa é a configuração que de fato impede criminosos de falsificar seu domínio, porque um e-mail forjado que alega ser da sua empresa simplesmente é recusado.

O reject é a meta, mas é conquistado, não apressado. Você chega a ele só depois de semanas de relatórios limpos na quarentena, quando tem confiança de que toda fonte legítima está alinhada. Chegue cedo demais e você arrisca bloquear um remetente real que passou despercebido. Chegue do jeito certo e seu domínio se torna genuinamente impossível de falsificar — a proteção mais forte que o DMARC oferece.

Lendo um registro DMARC sem medo

Um registro DMARC é uma única linha de texto publicada no seu DNS. Parece técnico, mas são só algumas configurações rotuladas separadas por ponto e vírgula. As tags importantes são simples:

• v=DMARC1 — a versão, sempre a mesma, marca isto como um registro DMARC.
• p= — a política: none, quarantine ou reject, como acima.
• rua= — o endereço de e-mail para onde os relatórios agregados são enviados.
• pct= — a porcentagem do e-mail que falha à qual a política se aplica, usada para implantação gradual.

Isso é genuinamente a maior parte. Você não precisa decorar — mas ver que o registro "assustador" é só quatro configurações simples costuma dissolver o medo.

O que os relatórios de fato dizem

Os relatórios que o DMARC gera são a metade subestimada de todo o sistema. Enviados como resumos agregados para o seu endereço rua, eles listam cada fonte que envia e-mail como seu domínio e se ela autenticou. Leia-os e você vê seu retrato real de envio: quais das suas ferramentas estão configuradas corretamente, quais estão mal configuradas e se alguém está tentando se passar por você.

Os relatórios brutos chegam como arquivos de dados densos, difíceis de ler à mão, e por isso a maioria das pessoas usa um serviço ou plataforma que os transforma em um painel simples. O objetivo não é virar analista de relatórios; é confirmar que seu e-mail legítimo está limpo antes de subir para quarentena e reject.

Um plano de implantação segura que você pode seguir

Aqui está a jornada inteira em ordem, e ela é propositalmente sem pressa:

• Semanas 1–4: publique p=none com um endereço para relatórios. Colete relatórios e liste cada remetente legítimo.
• Corrija o alinhamento: garanta que cada remetente real autentique com SPF ou DKIM alinhado ao seu domínio.
• Semanas 4–8: mude para p=quarantine, opcionalmente em uma porcentagem baixa primeiro, observando que nenhum e-mail legítimo seja pego.
• Depois de relatórios limpos: suba para p=reject para proteção total.

A orientação do setor é manter cada etapa por pelo menos algumas semanas, e mais tempo se você envia por várias ferramentas de terceiros. Não há prêmio por ter pressa, e há risco real em tê-la.

Erros comuns de DMARC a evitar

Os erros clássicos são fáceis de nomear. Definir p=reject no primeiro dia, antes de saber quem envia por você, e bloquear o próprio e-mail. Deixar p=none para sempre, marcando a caixinha da entrega mas nunca ganhando a proteção contra falsificação. Esquecer o endereço rua de relatórios, e assim voar às cegas sem dados. E deixar passar um remetente legítimo — uma ferramenta de avaliações, um app de faturamento — que autentica sob um domínio diferente e por isso falha no alinhamento. Cada um deles remete a andar rápido demais ou pular a fase de monitoramento.

Como o Mailmundo cuida do DMARC por você

Se ler tudo isso confirmou sua suspeita de que você preferiria não encostar em registros DNS de jeito nenhum, esse é exatamente o problema que o Mailmundo resolve. Como plataforma com entregabilidade em primeiro lugar feita para prestadores de serviço, o Mailmundo fornece um subdomínio de envio gerenciado com SPF, DKIM e DMARC configurados e alinhados corretamente desde o início. Suas campanhas passam no DMARC porque a plataforma autentica cada mensagem corretamente e mantém o alinhamento intacto.

Você ganha a proteção e a chegada à caixa de entrada sem publicar, ler ou depurar um único registro. Combinado com cancelamento com um clique e conformidade com CAN-SPAM embutidos, isso significa que seu marketing por e-mail e seus lembretes automatizados são conformes e confiáveis por padrão. Se você quer o panorama mais amplo do que impulsiona a chegada à caixa de entrada, nosso guia de entregabilidade amarra o DMARC ao resto.

Perguntas frequentes

O p=none é suficiente para cumprir as regras do Gmail e do Yahoo?

Sim para o requisito, não para a proteção. O p=none satisfaz a regra mínima de remetente em massa, mas não impede ninguém de falsificar seu domínio. Trate-o como a linha de partida, não a de chegada.

O DMARC vai algum dia bloquear meus e-mails legítimos?

Só se você pular para quarentena ou reject antes de confirmar que seus remetentes reais estão alinhados. Seguido em ordem — none, depois quarantine, depois reject — o processo foi desenhado justamente para evitar isso.

Preciso de DMARC se já tenho SPF e DKIM?

Sim. O SPF e o DKIM provam mensagens individuais, mas só o DMARC os amarra ao seu domínio visível e diz aos receptores o que fazer com as falhas. É a camada que transforma os outros dois em proteção de verdade.

Com que frequência preciso conferir os relatórios DMARC?

De perto durante sua implantação, depois só de vez em quando, uma vez que você esteja em reject e estável. Em uma plataforma gerenciada, isso é cuidado por você e raramente precisa da sua atenção.