# O que é DMARC e qual política usar no seu domínio

DMARC diz aos provedores o que fazer com e-mails que fingem ser do seu domínio. Veja como criar o registro, qual política escolher e como ler os relatórios.

**DMARC** (Domain-based Message Authentication, Reporting and Conformance) é um registro TXT que diz aos provedores de e-mail o que fazer quando chega uma mensagem com o seu domínio no remetente, mas que não passa na autenticação. Ele também pede que esses provedores mandem relatórios sobre quem está enviando em seu nome.

É o registro que amarra o [SPF](https://zilimail.com.br/glossario/spf) e o [DKIM](https://zilimail.com.br/glossario/dkim) ao endereço que a pessoa vê no campo **De:**. Desde fevereiro de 2024, Gmail e Yahoo exigem DMARC de quem envia muitas mensagens para eles, e contar com ele melhora a entrega de qualquer domínio.

## Como é um registro DMARC

Ele fica no nome `_dmarc` do seu domínio:

```
_dmarc.suaempresa.com.br   TXT   "v=DMARC1; p=none; rua=mailto:dmarc@suaempresa.com.br"
```

- `v=DMARC1` identifica o registro.
- `p=` é a **política**: o que fazer com mensagens que falham.
- `rua=` é o endereço que recebe os relatórios diários.

## Qual política usar

| Política       | O que acontece com quem falha   | Quando usar                                                    |
| -------------- | ------------------------------- | -------------------------------------------------------------- |
| `p=none`       | Nada; você só recebe relatórios | No começo, para descobrir quem envia em seu nome               |
| `p=quarantine` | Vai para o spam                 | Quando os relatórios mostram que seus envios legítimos passam  |
| `p=reject`     | É recusada                      | Quando você tem certeza de que tudo que é seu está autenticado |

Comece em `none`, acompanhe os relatórios por algumas semanas e só então aperte. Ir direto para `reject` pode bloquear mensagens legítimas de um sistema que você esqueceu, como a emissão de notas fiscais ou uma ferramenta de marketing.

## Como o DMARC decide

Para passar, a mensagem precisa passar no SPF **ou** no DKIM, e o domínio que passou precisa ser o mesmo do campo **De:**. Isso se chama **alinhamento**. Um golpista pode ter um SPF válido para o domínio dele, mas não consegue alinhar esse domínio com o seu remetente, e é aí que o DMARC o barra.

## Como conferir

```
dig +short TXT _dmarc.suaempresa.com.br
```

A resposta deve começar com `v=DMARC1`. Numa mensagem recebida no Gmail, **Mostrar original** mostra `DMARC: PASS`.

Para criar o registro, escolha a política no [gerador de DMARC](https://zilimail.com.br/ferramentas/gerador-dmarc).

Para ver o DMARC no contexto dos outros registros, incluindo o [registro MX](https://zilimail.com.br/glossario/registro-mx), siga o [guia de e-mail com domínio próprio](https://zilimail.com.br/guias/email-com-dominio-proprio).

Fonte: https://zilimail.com.br/glossario/dmarc