Ir para o conteúdo principal
CaptainDNS

DMARC Generator

Crie um registro DMARC e pare o spoofing de email em 30 segundos

Quer parar o spoofing de email no seu domínio? Crie um registro DMARC em 30 segundos. Configure política, alinhamento, relatórios - copie o registro e publique. Sem sintaxe para memorizar.

1O seu domínio

O registro será publicado em _dmarc.seudominio. Verificamos se já existe um.

Este domínio envia emails?
2Aonde quer chegar?

Escolha o seu objetivo. A ferramenta indicará por onde começar para o alcançar sem quebrar os seus emails.

Sem relatórios, o DMARC está cego: não consegue saber se pode endurecer a política. É o combustível da transição.

3Opções avançadasOpcional
Subdomínios, alinhamento, relatórios forenses, modo de teste

Sem sp, os subdomínios herdam a política principal. Force sp=reject nos subdomínios que não enviam.

np (DMARCbis) protege os subdomínios que não existem. np=reject é um ganho rápido contra a falsificação sem risco: nenhuma mensagem legítima sai jamais de um subdomínio inexistente.

Modo de teste (t)

Monitoramento DMARC automático

Receba automaticamente relatórios DMARC e monitore a conformidade de autenticação de e-mail dos seus domínios em tempo real.

Configurar monitoramento DMARC

Principais recursos da ferramenta

Política configurável

Escolha none (observar), quarantine (spam) ou reject (bloquear). Defina uma política diferente para subdomínios se necessário.

Alinhamento SPF e DKIM

Configure alinhamento relaxed ou strict para SPF e DKIM. O alinhamento strict reforça a proteção depois que os seus fluxos estiverem estabilizados.

Relatórios agregados (RUA)

Receba relatórios diários sobre fontes de envio, taxas de sucesso/falha e erros. Essencial para mapear os seus fluxos antes de endurecer a política.

Relatórios forenses (RUF)

Obtenha detalhes de cada falha individual. Útil para diagnosticar problemas específicos (poucos provedores os enviam).

Implementação progressiva

Avance por fases DMARCbis: none para observar, quarantine em modo de teste (t=y), quarantine aplicado (t=n), depois reject. Limite os falsos positivos.

Por que gerar um registro DMARC?

O DMARC (Domain-based Message Authentication, Reporting and Conformance) é o protocolo que completa o SPF e o DKIM para proteger o seu domínio contra spoofing de email e phishing. Sem uma política DMARC, qualquer pessoa pode enviar emails se passando pelo seu domínio.

Três razões para ter DMARC:

  • Proteção de marca → Impeça fraudadores de usar o seu domínio para phishing (verifique com o Phishing URL Checker)
  • Visibilidade completa → Receba relatórios sobre quem envia emails do seu domínio
  • Melhor entregabilidade → Provedores (Gmail, Microsoft) priorizam domínios com DMARC

Como usar o gerador em 3 passos

Passo 1: Digite o seu domínio

Digite o seu domínio organizacional exatamente como aparece nos seus endereços de email (ex: captaindns.com). A ferramenta gera automaticamente o nome DNS completo: _dmarc.captaindns.com.

Passo 2: Configure as opções

Política principal (p): O que fazer com emails que falham?

  • none: Observar sem bloquear (recomendado para começar)
  • quarantine: Enviar para spam
  • reject: Bloquear completamente

Alinhamento (adkim, aspf): Como verificar a correspondência de domínios?

  • relaxed (r): Subdomínios aceitos (recomendado)
  • strict (s): Correspondência exata requerida

Relatórios (rua, ruf): Onde receber estatísticas?

  • Adicione mailto:dmarc@seudominio.com para relatórios agregados

Passo 3: Copie e publique

O gerador produz o registro DNS completo. Copie-o para a sua interface de gerenciamento DNS:

  • Nome: _dmarc.seudominio.com
  • Tipo: TXT
  • Valor: O registro gerado

A abordagem recomendada continua sendo "observar antes de bloquear": comece em modo de observação para mapear os seus fluxos, depois endureça a política sem arriscar bloquear emails legítimos. A ferramenta detecta um registro DMARC já presente no seu domínio e indica se você deve adicioná-lo, substituí-lo ou se ele já está correto (add, replace ou no_change).

O que é exatamente o DMARC?

O DMARC é uma política DNS que indica aos servidores de email:

  1. O que verificar: SPF ou DKIM passam E estão alinhados com o domínio visível?
  2. O que fazer em caso de falha: Observar (none), spam (quarantine), ou bloquear (reject)
  3. Onde reportar: Endereços de email para receber estatísticas

Exemplo de registro DMARC:

_dmarc.captaindns.com. IN TXT "v=DMARC1; p=quarantine; rua=mailto:dmarc@captaindns.com; adkim=r; aspf=r"

Decodificado:

  • v=DMARC1: Versão do protocolo (obrigatório)
  • p=quarantine: Política = enviar para spam
  • rua=mailto:...: Endereço para relatórios agregados
  • adkim=r: Alinhamento DKIM relaxed
  • aspf=r: Alinhamento SPF relaxed

Todas as tags DMARC explicadas

Tags obrigatórias

TagValoresDescrição
vDMARC1Versão do protocolo. Sempre DMARC1.
pnone / quarantine / rejectPolítica para o domínio principal.

Tags opcionais comuns

TagValoresDescrição
spnone / quarantine / rejectPolítica para subdomínios existentes. Herda de p se ausente.
npnone / quarantine / rejectPolítica para subdomínios inexistentes (DMARCbis). Sem valor padrão, a definir explicitamente.
ruamailto:endereçoEndereços para relatórios agregados (diários).
rufmailto:endereçoEndereços para relatórios forenses (por falha).
adkimr (relaxed) / s (strict)Modo de alinhamento DKIM. Padrão r.
aspfr (relaxed) / s (strict)Modo de alinhamento SPF. Padrão r.

Tags avançadas

TagValoresDescrição
fo0 / 1 / d / sOpções de geração de relatórios forenses. Padrão 0.
ty / nModo de teste DMARCbis. t=y indica aos destinatários para não aplicarem a política durante a observação. Padrão n.

Tags obsoletas/depreciadas pelo DMARCbis

Estas tags são removidas pelo DMARCbis e não devem mais ser configuradas em um novo registro:

TagEstadoSubstituição
pctDepreciadaUse a transição por fases (none, quarantine com t=y, quarantine, reject).
riDepreciadaIntervalo de relatórios fixado em 24h, sem ajuste possível.
rfDepreciadaFormato de relatório forense, sem uso prático atualmente.

Casos de uso práticos

Caso 1: Domínio novo sem histórico

Objetivo: Proteger um domínio que começa a enviar emails.

Configuração recomendada:

v=DMARC1; p=none; rua=mailto:dmarc@captaindns.com; adkim=r; aspf=r

Próximos passos:

  1. Monitore os relatórios durante 2-4 semanas
  2. Identifique todas as fontes legítimas
  3. Passe para p=quarantine; t=y (teste, não aplicado), depois retire t=y quando os relatórios estiverem limpos
  4. Termine com p=reject

Caso 2: Domínio com múltiplos serviços (CRM, newsletter, transacional)

Objetivo: Proteger sem interromper fluxos existentes.

Configuração inicial:

v=DMARC1; p=none; sp=none; rua=mailto:dmarc@captaindns.com; adkim=r; aspf=r

Diagnóstico via relatórios RUA:

  • Liste todos os IPs/domínios que enviam
  • Verifique se cada fonte tem SPF e DKIM configurados
  • Identifique fontes não autorizadas (spoofing potencial)

Implementação progressiva:

v=DMARC1; p=quarantine; t=y; rua=mailto:dmarc@captaindns.com

Quando os relatórios deixarem de mostrar falhas legítimas, retire t=y para aplicar a quarentena, depois passe para p=reject.

Caso 3: Domínio que não envia emails

Objetivo: Prevenir qualquer uso fraudulento de um domínio "estacionado".

Configuração strict direta:

v=DMARC1; p=reject; sp=reject; np=reject; adkim=s; aspf=s

Nenhuma fase de observação é necessária se o domínio nunca deve enviar emails legítimos. np=reject bloqueia também qualquer subdomínio inexistente.

Erros frequentes a evitar

ErroProblemaSolução
Dois registros DMARCConflito, política ignoradaApenas um registro por domínio
Esquecer o mailto:Relatórios não enviadosrua=mailto:endereco@dominio.com
Pular diretamente para rejectBloqueio de emails legítimosComeçar com p=none, depois quarantine
Ignorar relatóriosSem visibilidade dos problemasAnalisar o RUA semanalmente
Alinhamento strict muito cedoFalhas com subdomínios ou serviços terceirosManter r (relaxed) até o inventário completo

Melhores práticas de implementação

Fase 1: Observação (2-4 semanas)

v=DMARC1; p=none; rua=mailto:dmarc@captaindns.com; adkim=r; aspf=r
  • Colete os relatórios
  • Identifique todas as fontes legítimas
  • Corrija o SPF/DKIM das fontes não alinhadas

Fase 2: Quarentena em modo de teste

v=DMARC1; p=quarantine; t=y; rua=mailto:dmarc@captaindns.com
  • t=y pede aos destinatários para não aplicarem a política, mas continuarem reportando
  • Verifique nos relatórios RUA que nenhuma fonte legítima falha
  • Quando os relatórios estiverem limpos, retire t=y para aplicar de fato a quarentena

Fase 3: Reject

v=DMARC1; p=reject; sp=reject; np=reject; rua=mailto:dmarc@captaindns.com; adkim=r; aspf=r
  • Proteção máxima
  • Opcionalmente passe para alinhamento strict (adkim=s; aspf=s)

FAQ - Perguntas frequentes

P: O que é um registro DMARC?

R: O DMARC (Domain-based Message Authentication, Reporting and Conformance) é um registro DNS TXT que indica aos servidores de email como tratar emails que falham nas verificações SPF e DKIM. Protege o seu domínio contra spoofing e phishing.

P: Qual política DMARC devo usar para começar?

R: Comece sempre com p=none. Esta política não afeta a entrega, mas envia relatórios para você. Analise esses relatórios durante 2-4 semanas para identificar todos os fluxos legítimos antes de passar para quarantine e depois reject.

P: Qual é a diferença entre RUA e RUF?

R:

  • RUA (Reporting URI for Aggregate): Relatórios agregados diários com estatísticas globais
  • RUF (Reporting URI for Forensic): Relatórios detalhados por falha individual

RUA é essencial e suportado por todos. RUF é opcional e raramente suportado por provedores.

P: Como funciona o alinhamento DMARC?

R: O alinhamento verifica se o domínio visível (From:) corresponde ao domínio autenticado por SPF ou DKIM:

  • Relaxed (r): mail.exemplo.com alinha com exemplo.com
  • Strict (s): Correspondência exata requerida

P: Posso ter múltiplos registros DMARC?

R: Não. Só é permitido um registro DMARC por domínio. Múltiplos registros causam erros. Edite o existente em vez de adicionar um novo.

P: Quanto tempo até o DMARC estar ativo?

R: O registro fica ativo assim que o DNS propaga (de minutos a 48h). Os primeiros relatórios RUA chegam dentro de 24-48h após emails serem enviados do seu domínio.

P: Como recebo relatórios para um domínio externo?

R: Se o seu endereço RUA está em outro domínio, esse domínio deve autorizá-lo com:

seudominio._report._dmarc.dominio-relatorio.com TXT "v=DMARC1"

Prepare-se para o DMARCbis

O DMARCbis é o próximo Proposed Standard IETF que substitui o RFC 7489. Insere novas tags (np, t, psd), remove as tags obsoletas (pct, rf, ri) e substitui a Public Suffix List por um algoritmo tree walk DNS. Verifique a compatibilidade do seu domínio com o DMARCbis Checker ou gere um registro compatível com a ferramenta de migração DMARCbis.

Ferramentas complementares

FerramentaPropósito
DMARC Record CheckVerifique seu registro DMARC existente
DMARC ValidatorValidar a sintaxe de um registro DMARC antes da publicação
Analisador de relatórios DMARCAnalise os relatórios DMARC agregados recebidos por email
Monitoring DMARCMonitoramento DMARC automatizado e contínuo para seus domínios
DMARCbis CheckerVerifique a compatibilidade do seu domínio com DMARCbis
Migração DMARCbisGere um registro DMARC compatível com o DMARCbis
SPF GeneratorCrie um registro SPF válido
DKIM GeneratorCrie suas chaves DKIM (RSA/Ed25519)
DKIM Record CheckVerifique sua assinatura DKIM
Mail TesterTeste a entregabilidade dos seus emails
Phishing URL CheckerVerifique se uma URL é usada em campanhas de phishing

Recursos úteis