DMARC (Domain-based Message Authentication, Reporting and Conformance) é um registro TXT que diz aos provedores de e-mail o que fazer quando chega uma mensagem com o seu domínio no remetente, mas que não passa na autenticação. Ele também pede que esses provedores mandem relatórios sobre quem está enviando em seu nome.

É o registro que amarra o SPF e o DKIM ao endereço que a pessoa vê no campo De:. Desde fevereiro de 2024, Gmail e Yahoo exigem DMARC de quem envia muitas mensagens para eles, e contar com ele melhora a entrega de qualquer domínio.

Como é um registro DMARC

Ele fica no nome _dmarc do seu domínio:

_dmarc.suaempresa.com.br   TXT   "v=DMARC1; p=none; rua=mailto:dmarc@suaempresa.com.br"
  • v=DMARC1 identifica o registro.
  • p= é a política: o que fazer com mensagens que falham.
  • rua= é o endereço que recebe os relatórios diários.

Qual política usar

Política O que acontece com quem falha Quando usar
p=none Nada; você só recebe relatórios No começo, para descobrir quem envia em seu nome
p=quarantine Vai para o spam Quando os relatórios mostram que seus envios legítimos passam
p=reject É recusada Quando você tem certeza de que tudo que é seu está autenticado

Comece em none, acompanhe os relatórios por algumas semanas e só então aperte. Ir direto para reject pode bloquear mensagens legítimas de um sistema que você esqueceu, como a emissão de notas fiscais ou uma ferramenta de marketing.

Como o DMARC decide

Para passar, a mensagem precisa passar no SPF ou no DKIM, e o domínio que passou precisa ser o mesmo do campo De:. Isso se chama alinhamento. Um golpista pode ter um SPF válido para o domínio dele, mas não consegue alinhar esse domínio com o seu remetente, e é aí que o DMARC o barra.

Como conferir

dig +short TXT _dmarc.suaempresa.com.br

A resposta deve começar com v=DMARC1. Numa mensagem recebida no Gmail, Mostrar original mostra DMARC: PASS.

Para criar o registro, escolha a política no gerador de DMARC.

Para ver o DMARC no contexto dos outros registros, incluindo o registro MX, siga o guia de e-mail com domínio próprio.