mark_email_read Auditoria de DNS de E-mail (SPF, DKIM, DMARC) star

Como Funciona a Autenticação de E-mail

Três registros DNS trabalham juntos para impedir que alguém envie e-mails falsificados que parecem vir do seu domínio. O SPF (Sender Policy Framework) publica uma lista de servidores explicitamente autorizados a enviar e-mails pelo domínio — um servidor receptor verifica o IP que se conectou contra essa lista. O DKIM (DomainKeys Identified Mail) adiciona uma assinatura criptográfica a cada mensagem enviada; o servidor receptor busca sua chave pública no DNS e verifica se a assinatura não foi alterada durante o trânsito, algo que o SPF sozinho não consegue detectar. O DMARC (Domain-based Message Authentication, Reporting and Conformance) une os dois: ele informa aos servidores receptores o que fazer quando o SPF ou o DKIM falham — não fazer nada, enviar para spam ou rejeitar diretamente — e solicita relatórios agregados para que você veja quem está realmente enviando e-mails em nome do seu domínio, incluindo impostores.

Exemplo concreto: sem nenhum desses três registros, um invasor pode enviar um e-mail que parece vir de [email protected], e a maioria dos servidores de e-mail o entregará diretamente na caixa de entrada do destinatário sem nenhum aviso exibido. Digite seu domínio na ferramenta acima e ela consulta MX, SPF, DKIM (tentando seletores comuns automaticamente) e DMARC via DNS-over-HTTPS, depois aponta exatamente o que está faltando: nenhum registro SPF, uma política DMARC travada em p=none (apenas monitoramento, sem proteção real), dois registros SPF concorrentes (uma violação de padrão que quebra a validação por completo) ou um mecanismo all ausente no final da string SPF.

O Que Você Deve Saber

Acertar os três registros não é opcional para quem se importa com a reputação da marca ou com a entrega na caixa de entrada — um domínio com lacunas em SPF, DKIM ou DMARC é tanto mais fácil de falsificar quanto mais propenso a ter seu próprio e-mail legítimo enviado para o spam, porque provedores importantes como Gmail, Yahoo e Outlook exigem cada vez mais autenticação completa antes de confiar em um remetente. A implementação é segura se feita em ordem: publique o SPF primeiro, adicione a assinatura DKIM através do seu provedor de e-mail, depois adicione o DMARC começando em p=none para acompanhar os relatórios agregados sem arriscar e-mails reais — só avance para quarentena ou rejeição depois que cada fonte de envio legítima, como ferramentas de marketing, um CRM ou um sistema de tickets, estiver confirmada e alinhada.

• Um único domínio pode ter apenas um registro TXT de SPF — se você usa múltiplos serviços (Google Workspace, uma plataforma de marketing, um CRM), combine todos os seus mecanismos include em uma única string em vez de publicar registros separados.
• Os seletores DKIM são específicos de cada provedor: o Google Workspace costuma publicar sob "google", o Microsoft 365 sob "selector1" ou "selector2" — se a verificação automática não encontrar nada, procure o nome exato do seletor do seu provedor e insira-o manualmente.
• Esta ferramenta audita apenas a configuração de DNS; não verifica status em listas negras nem analisa o conteúdo das mensagens — essas são camadas separadas de entregabilidade de e-mail que se apoiam sobre uma base de DNS corretamente configurada.