Como configurar o DMARC: exemplos de registro de p=none a reject

Passos#

1. 1

   Confira primeiro o SPF e o DKIM

   Liste todos os serviços que enviam com o seu domínio no endereço From e confirme que cada um é aprovado no SPF ou no DKIM para o seu próprio domínio. O Google sugere configurar os dois pelo menos 48 horas antes do DMARC ^S3.

2. 2

   Escolha uma caixa de entrada para os relatórios

   Crie um endereço como dmarc@ninefold.example ou use um serviço de relatórios. Os relatórios chegam como arquivos XML compactados ^S2.

3. 3

   Publique um registro de monitoramento

   Adicione um registro TXT com o host _dmarc e o valor v=DMARC1; p=none; rua=mailto:dmarc@ninefold.example. Uma política none não muda o tratamento dos e-mails ^S1.

4. 4

   Verifique o registro

   Execute dig +short TXT _dmarc.ninefold.example ou use uma ferramenta de consulta DNS e confira se volta exatamente um registro e se ele começa com v=DMARC1.

5. 5

   Leia os relatórios

   Revise os relatórios agregados até que todo remetente legítimo apareça com SPF ou DKIM alinhado. O Google sugere pelo menos uma semana; a RFC 9989 sugere cerca de um mês antes de aplicar a política ^S1S3.

6. 6

   Passe para quarantine

   Mude a política para p=quarantine, para que os e-mails reprovados vão para o spam. Continue lendo os relatórios.

7. 7

   Passe para reject

   Depois de um período parecido com relatórios limpos, mude a política para p=reject, para que os destinatários recusem os e-mails reprovados ^S1.

O que você precisa antes de começar#

O DMARC não autentica nada sozinho. Ele lê os resultados do SPF e do DKIM e verifica se pelo menos um deles foi aprovado para um domínio alinhado com o endereço From visível ^S1. Se a sua ferramenta de marketing assina com o domínio dela em vez do seu, o DMARC falha mesmo com o DKIM aprovado. Corrija isso primeiro, ou os relatórios vão ficar cheios dos seus próprios e-mails.

Para uma pequena marca de roupas como a Ninefold, a lista de remetentes costuma incluir a caixa de e-mail da equipe, os e-mails de pedido e de envio da plataforma da loja, a central de atendimento e a ferramenta de e-mail marketing. Cada um precisa de SPF ou DKIM configurado em ninefold.example. O guia SPF, DKIM e DMARC explicados mostra como cada registro funciona.

O Gmail exige um registro DMARC de quem envia mais de 5.000 mensagens por dia para contas pessoais do Gmail, e uma política none é aceita ^S4. O Yahoo também pede pelo menos p=none aos remetentes em massa ^S5. O registro leva minutos para ser publicado, então vale a pena adicioná-lo em qualquer volume.

Sintaxe do registro DMARC#

Um registro DMARC é um registro TXT publicado em _dmarc no seu domínio. Ele é uma lista de tags separadas por ponto e vírgula. A tag v=DMARC1 precisa vir primeiro, ou os destinatários ignoram o registro inteiro ^S1. Estas são as tags de que uma loja precisa:

Deixe adkim e aspf de fora, a menos que tenha um motivo. O alinhamento relaxed, que é o padrão, permite que um e-mail assinado por um subdomínio como mail.ninefold.example fique alinhado com um endereço From em ninefold.example ^S1, e o Yahoo aceita o alinhamento relaxed ^S5.

Exemplos de registro DMARC para cada etapa#

Estes exemplos usam ninefold.example. Troque o domínio e o endereço dos relatórios pelos seus e publique cada um no host _dmarc.

Monitoramento

v=DMARC1; p=none; rua=mailto:dmarc@ninefold.example

Quarentena

v=DMARC1; p=quarantine; rua=mailto:dmarc@ninefold.example

Rejeição

v=DMARC1; p=reject; np=reject; rua=mailto:dmarc@ninefold.example

Guias mais antigos, incluindo a página de implementação do Google, usam pct= para aplicar a política a uma porcentagem dos e-mails ^S3. A RFC 9989 removeu essa tag porque os destinatários só a aplicavam de forma confiável em 0 ou 100 e, no lugar dela, adicionou t=y para um período de teste ^S1. Os destinatários precisam ignorar as tags que não conhecem, então quem ainda não oferece suporte a np ou t simplesmente as ignora ^S1.

O que os relatórios rua mostram#

Os provedores de e-mail que enviam relatórios agregados costumam enviar um por dia para cada domínio, como um arquivo XML compactado ^S2. Cada relatório lista os endereços IP que enviaram e-mails usando o seu domínio, quantas mensagens vieram de cada um, os resultados de SPF e DKIM, se estavam alinhados e o que o destinatário fez com o e-mail ^S2.

• Uma origem que você reconhece e que falha no alinhamento é um remetente que você esqueceu de configurar. Ative o DKIM para o seu domínio nesse serviço ou adicione-o ao SPF.
• Uma origem que você não reconhece é um serviço que alguém da sua equipe contratou ou alguém falsificando o seu domínio. Pergunte internamente antes de aplicar a política.
• E-mails encaminhados costumam falhar no SPF e ser aprovados no DKIM ^S1. Isso é esperado e é um dos motivos pelos quais o DKIM alinhado é o mais importante.

XML bruto é difícil de ler à mão, então muitas lojas enviam o rua para um serviço de relatórios que o transforma em gráficos. Se esse serviço usa outro domínio, ele precisa publicar um registro de autorização, ou os destinatários ignoram o endereço ^S2. Os serviços de relatórios configuram isso do lado deles.

Como passar de p=none para quarantine e depois para reject#

A ordem é sempre a mesma: monitorar, depois quarantine, depois reject. O que muda é quanto tempo dura cada etapa. O Google sugere pelo menos uma semana em none ^S3. A RFC 9989 sugere pelo menos um mês em none e um período parecido em quarantine antes de reject ^S1. Uma loja com poucos remetentes e relatórios limpos pode avançar mais rápido do que uma com uma dúzia de ferramentas.

Antes de cada mudança, confira a última semana de relatórios em busca de origens reprovadas que você reconhece. Se a equipe envia mensagens para listas de discussão com o domínio da loja, a RFC 9989 desaconselha o p=reject: e-mails de lista recusados pelos destinatários causam problemas para a lista e podem fazer inscritos serem removidos ^S1. Nesse caso, quarantine é um bom ponto de parada.

DMARC para subdomínios#

Sem um registro próprio, um subdomínio como news.ninefold.example usa a política de ninefold.example. Use sp para dar uma política diferente aos subdomínios existentes e np para nomes que não existem, uma forma comum de falsificar uma marca ^S1.

Algumas lojas enviam e-mail marketing de um subdomínio para separá-lo dos e-mails da equipe. Esse subdomínio pode ter o próprio registro _dmarc. A RFC 9989 descreve como testar um subdomínio com p=quarantine; t=y, depois passar para p=reject e remover a marcação de teste ^S1.

Como configurar o DMARC com o Tellnod no Claude ou no ChatGPT#

O Tellnod é um conector MCP para escrever, visualizar e enviar e-mail marketing pelo Claude ou pelo ChatGPT. Você pode enviar na hora de um endereço no domínio compartilhado do Tellnod, como hello@yourshop.tellnodmail.com, dentro dos limites de 500 destinatários por campanha e 1.000 e-mails por mês. Verificar o seu próprio domínio remove esses limites.

Peça no chat: “Configure ninefold.example como meu domínio de envio.” O Tellnod passa os registros SPF, DKIM e DMARC e os verifica para você. Se outra pessoa administra o seu DNS, peça um link de configuração para enviar a ela: ela pode adicionar os registros com um clique nos provedores compatíveis, ou copiá-los, sem criar uma conta. Você recebe um aviso no chat e por e-mail quando o domínio é verificado. Se você já tem um registro DMARC, mantenha um único registro e confira se os seus e-mails do Tellnod estão alinhados antes de deixar a política mais rígida.

Toda campanha continua passando por uma prévia no computador e no celular e por um card de confirmação que só você pode apertar. Você aprova cada envio. Conecte o Tellnod para começar no plano grátis ou compare os planos na página de preços. Para o restante do que o Gmail e o Yahoo esperam, veja o básico de entregabilidade.

Perguntas frequentes#