DMARC

DMARC (Domain-based Message Authentication, Reporting and Conformance) é uma política publicada no DNS do domínio que instrui os servidores de e-mail receptores sobre o que fazer com mensagens que usam o domínio no remetente e falham nas verificações de autenticação. Está definida na RFC 7489, de 2015, e depende de dois mecanismos anteriores: o SPF, que lista os servidores autorizados a enviar em nome do domínio, e o DKIM, que assina as mensagens com uma chave publicada no DNS.

Os três registros são publicados como TXT no DNS. O SPF fica no próprio domínio e lista endereços e serviços autorizados, terminando em uma instrução sobre o que fazer com os demais. O DKIM fica em um seletor, como selector1._domainkey.dominio, e contém a chave pública usada para verificar a assinatura. O DMARC fica em _dmarc.dominio e traz a política (p=), o endereço para relatórios (rua=) e, opcionalmente, a fração de mensagens sujeitas à política (pct=).

Ao receber uma mensagem, o servidor verifica se ela passa em SPF ou em DKIM e se o domínio verificado é o mesmo que aparece no campo De, o que se chama alinhamento. Se ao menos uma verificação passa alinhada, a mensagem é entregue. Se nenhuma passa, o servidor aplica a política do DMARC: com p=none, entrega e apenas reporta; com p=quarantine, encaminha para spam; com p=reject, recusa a mensagem.

Os relatórios agregados, enviados diariamente ao endereço em rua=, listam quais servidores enviaram mensagens com o domínio e o resultado das verificações em cada um. É com eles que a organização descobre serviços legítimos ainda não incluídos no SPF ou no DKIM, como plataformas de disparo e sistemas de cobrança, antes de tornar a política restritiva. A sequência usual é publicar p=none com relatórios, corrigir as fontes legítimas e então passar a p=quarantine e a p=reject.

Um domínio sem DMARC, ou com p=none por tempo indefinido, pode ser usado como remetente por qualquer servidor, e boa parte dos destinos aceita a mensagem. O cidguard verifica SPF, DKIM e DMARC de cada domínio a cada ciclo, aponta o que falta para a política chegar a p=reject e inclui o resultado no pilar de identidade da nota.