Domínio sem email: a configuração Null MX
Por CaptainDNS
Publicado em 29 de agosto de 2026
- Publique um único MX com prioridade
0cujo alvo seja.: a ausência de MX continua a desencadear um recurso ao endereço A ou AAAA. - Para o envio, utilize o SPF nu
v=spf1 -alle DMARC comp=reject; sp=reject; np=reject. Coloque oruanoutro domínio que receba realmente. - Não publique nenhum seletor DKIM. Um
p=vazio revoga uma chave antiga; não é a política de um domínio que não envia. - A auditoria pública apresenta uma receção completa, mas uma zona de referência mantém-se na faixa Bom, à volta de 80-85 consoante
ruae DNSSEC.
Um domínio sem email parece simples de administrar: nenhuma caixa de correio, nenhum servidor SMTP, portanto nada a configurar. É precisamente essa a armadilha. Uma zona deixada com os valores do registrar pode ainda conter um MX por defeito. Um SPF demasiado amplo pode continuar a autorizar um antigo fornecedor. Sem política DMARC, os destinatários não recebem nenhuma instrução firme contra a usurpação.
Outro erro frequente: eliminar todos os MX e julgar a receção fechada. O protocolo SMTP previu um recurso aos endereços A ou AAAA quando não existe nenhum MX. No caso de um site, esse recurso aponta exatamente para o servidor que serve o site. Talvez responda mal ou tarde, mas o remetente remoto terá ainda assim tentado entregar-lhe correio.
A receita abaixo trata dois casos na mesma zona de referência: um site montra ou uma aplicação em HTTPS sem qualquer caixa de correio e, depois, um domínio defensivo sem site e sem certificado. A base de correio é idêntica. O CAA difere, porque o primeiro tem de continuar a renovar o certificado enquanto o segundo tem de proibir qualquer emissão.
Verifique a zona e gere a política DMARC
O problema de uma zona deixada por defeito
Um domínio sem email deve anunciar explicitamente que não recebe nem envia correio. O silêncio do DNS deixa intactos os comportamentos de recurso e as autorizações antigas.
Comece por inventariar a zona. Procure os MX acrescentados pelo registrar, os TXT SPF históricos, _dmarc, os seletores sob _domainkey, os endereços A e AAAA e, por fim, os CAA. Um MX que aponta para uma oferta de correio gratuita não é inofensivo: se uma caixa vier a ser criada mais tarde por engano, o domínio volta a receber. Um SPF que contém include: continua a autorizar o serviço indicado a apresentar este domínio no envelope SMTP.
Uma zona sem DMARC deixa também cada destinatário decidir sozinho o destino de uma mensagem usurpada. O SPF pode falhar, mas o DMARC é a camada que liga a autenticação ao domínio visível no endereço From e publica uma política. Para este caso fechado o objetivo é claro: não existe nenhuma fonte legítima, por isso qualquer mensagem que diga vir do domínio tem de ser rejeitada.
O resultado esperado não é uma coleção de mecanismos de correio. É uma declaração negativa coerente: nenhum destino de receção, nenhum emissor autorizado, uma política de rejeição e nenhuma chave DKIM inventada. Menos registos, mas cada um com um sentido preciso.
Null MX fecha explicitamente a receção
Um Null MX é um único registo MX com prioridade 0 cujo alvo é o nome raiz .. A RFC 7505 define-o para anunciar que um domínio não aceita correio.
A representação na zona é curta:
example.com. IN MX 0 .
Consoante a interface DNS, o alvo pode surgir como um ponto, um valor vazio ou uma opção dedicada "Null MX". O resultado publicado tem de continuar a ser um único MX com preferência zero e um nome de troca vazio. Não acrescente um segundo MX de recurso: a presença de outro alvo contradiz a declaração.
A ausência de MX não tem o mesmo sentido
Sem resposta MX, um remetente SMTP pode experimentar o endereço A ou AAAA do domínio como se fosse um comutador implícito. Este comportamento histórico é a principal razão para publicar Null MX mesmo num domínio que não aloja qualquer site.
Com Null MX, o remetente percebe que a entrega é impossível e não experimenta o servidor web. Na auditoria CaptainDNS, esta configuração obtém a receção completa. MTA-STS, DANE e TLS-RPT deixam então de ser necessários: protegem um transporte SMTP que não existe, e a auditoria atribui os pontos correspondentes.
A distinção conta também quando o domínio não tem A nem AAAA. A ausência de MX continua a ser uma ausência, não uma declaração Null MX. Publicar 0 . documenta a intenção, resiste ao acrescento futuro de um endereço web e dá aos remetentes uma resposta sem ambiguidade.
Fechar o envio com SPF e DMARC
O SPF nu v=spf1 -all declara que nenhum endereço IP está autorizado a enviar em nome do domínio. O DMARC completa essa declaração com uma política de rejeição para o domínio e os seus subdomínios.
Publique no ápice:
example.com. IN TXT "v=spf1 -all"
Mantenha este valor tal como está. Não acrescente a, mx, include nem um intervalo de IP. Cada um destes mecanismos reintroduziria um emissor autorizado. O qualificador -all é uma falha firme; ~all exprimiria apenas uma falha suave, inútil quando não há qualquer fonte legítima a preservar. O gerador SPF ajuda a rever a sintaxe, mas aqui o valor final resume-se a dois elementos.
Publique em seguida em _dmarc:
_dmarc.example.com. IN TXT "v=DMARC1; p=reject; sp=reject; np=reject; adkim=s; aspf=s; rua=mailto:dmarc@captaindns.com"
p=reject cobre o domínio organizacional. sp=reject aplica a rejeição aos subdomínios existentes e np=reject aos subdomínios inexistentes, quando um destinatário suporta essa etiqueta. Os alinhamentos estritos adkim=s e aspf=s são adequados aqui: nenhum fluxo legítimo depende de um alinhamento relaxado.
O relatório rua altera a pontuação
A etiqueta rua não é decorativa. A sua ausência altera a pontuação DMARC na auditoria. Serve para receber os relatórios agregados que revelam as fontes que se apresentam com o domínio, mesmo quando a política as rejeita.
O endereço nunca deve pertencer ao domínio sem email. rua=mailto:dmarc@example.com criaria um endereço órfão: Null MX anuncia que example.com não recebe nada. Utilize um endereço noutro domínio que receba realmente, como dmarc@captaindns.com, ou um serviço de ingestão DMARC. O mesmo princípio vale para ruf, caso seja utilizado, e para o endereço iodef de um CAA.
Os relatórios externos podem exigir uma autorização DNS adicional no domínio destinatário, de acordo com o DMARC. Verifique essa delegação com o fornecedor escolhido. A ingestão CaptainDNS a 5 euros é um segundo nível possível para centralizar estes relatórios; não é um pré-requisito para lançar a auditoria gratuita.
DKIM: não publicar nenhum seletor
Não existe um registo DKIM ideal para colar num domínio que não envia. A configuração correta é a ausência de qualquer seletor sob _domainkey.
O DKIM autentica uma assinatura transportada por uma mensagem. Aqui não parte nenhuma mensagem legítima. Publicar uma chave RSA ou Ed25519 "por precaução" criaria uma superfície de configuração sem utilidade. Publicar um valor vazio seria pior, porque o seu significado já está definido.
A RFC 6376 descreve uma etiqueta p= vazia como a revogação de uma chave publicada anteriormente. O signatário que conhece esse seletor pretende que as assinaturas que o utilizam falhem. A mesma RFC esclarece que um verificador não dá sentido diferente a uma chave revogada e a um registo de chave suprimido: em ambos os casos, nenhuma validação DKIM é bem sucedida. A RFC 5863 apresenta esse valor vazio como uma lápide útil ao retirar um seletor, para evitar a sua reutilização acidental.
Isto não cria uma política geral de "este domínio não envia". Um wildcard *._domainkey com um p= vazio aplica a semântica de revogação a nomes de seletor que nunca existiram. A M3AAWG retirou esta receita antiga do seu BCP de 2022: o DKIM não é necessário para um domínio sem email e nenhum deveria ser publicado.
O comportamento da CaptainDNS segue esta leitura. A auditoria pública mantém DKIM e BIMI a zero, conserva as respetivas recomendações e apresenta depois esta menção quando Null MX e o SPF nu estão presentes: "Se este domínio não envia email, DKIM e BIMI não são necessários. A pontuação não muda." Este texto explica o caso; não disfarça a pontuação.
Na monitorização, a opção "Este domínio não envia email" altera a camada de avaliação. DKIM e BIMI saem então da pontuação e é emitido um alerta se surgir um MX real ou uma chave DKIM. As duas vistas são portanto coerentes: a pública mostra as recomendações gerais e a pontuação limitada; a monitorização aplica a intenção declarada do domínio.
Nenhum endereço órfão na zona
Qualquer URI mailto: publicado por um domínio sem email deve visar outro domínio capaz de receber. Esta regra cobre o DMARC, as comunicações CAA e qualquer endereço operacional acrescentado mais tarde.
Faça uma pesquisa textual na zona exportada. Os locais habituais são rua, ruf e iodef. Um endereço de contacto num registo TXT próprio merece o mesmo controlo. Se a parte à direita de @ for o domínio que Null MX acabou de fechar, o relatório perde-se.
Num site sem correio, não confunda o endereço visível numa página web com o serviço de correio do domínio. É possível apresentar um endereço alojado noutro domínio, ou um formulário ligado a um sistema externo. O DNS do site permanece sem email. Num domínio defensivo sem site, nenhum endereço local tem razão de existir.
Esta separação evita uma contradição discreta: pedir às autoridades de certificação ou aos recetores DMARC que enviem um relatório para um destino que o DNS declara inexistente. A política de segurança pareceria completa num ficheiro de zona, mas ninguém leria os seus alertas.
Dois casos, uma base de correio e duas políticas CAA
O site HTTPS e o domínio sem site partilham Null MX, SPF e DMARC. A diferença está em A/AAAA e na autorização para emitir um certificado.
| Elemento | Site sem email | Domínio sem site |
|---|---|---|
| A / AAAA | Presentes consoante o alojamento | Ausentes |
| MX | 0 . | 0 . |
| SPF | v=spf1 -all | v=spf1 -all |
| DMARC | p=reject; sp=reject; np=reject | p=reject; sp=reject; np=reject |
| DKIM | Nenhum seletor | Nenhum seletor |
| CAA | CA realmente utilizada, mais iodef externo | 0 issue ";" |
| Certificado | Permitido e renovável | Proibido |
CAA para o site HTTPS
Um site tem de autorizar a CA que emite realmente o seu certificado. Acrescente também um destino iodef situado noutro domínio recetor. Uma política completa pode obter 100 no controlo CAA do pilar DNS, sem que a pontuação global atinja a faixa superior por causa do DKIM.
example.com. IN CAA 0 issue "ca.example.com"
example.com. IN CAA 0 iodef "mailto:security@captaindns.com"
Adapte o identificador à sua CA. Sobretudo, não publique issue ";" neste site: proibiria a emissão e a próxima renovação poderia falhar. O guia CAA detalha a herança, issuewild e os parâmetros ACME.
CAA para o domínio sem certificado
Um domínio sem site, sem A/AAAA e sem certificado pode proibir qualquer CA:
example.com. IN CAA 0 issue ";"
Na auditoria CaptainDNS, esta escolha vale 90 para CAA, não 100. A diferença reflete a ausência de canal iodef, ao passo que um domínio fechado não deve publicar um mailto: local. Uma CA indicada pelo nome não é uma variante intermutável: reabriria a emissão de certificados.
O DNSSEC protege também o site contra uma avaria silenciosa
O DNSSEC assina as respostas DNS e permite ao resolvedor detetar a sua falsificação. Uma cadeia quebrada torna o domínio inválido para os resolvedores validadores, mesmo que os registos estejam presentes no alojamento.
Para o site sem email, é o único elemento desta receita que pode tornar o site silenciosamente inacessível após uma rotação mal feita. Um DS obsoleto no registrar, uma KSK retirada demasiado cedo ou assinaturas expiradas produzem frequentemente SERVFAIL. O navegador não dirá "DNSSEC quebrado"; apresentará apenas um erro de resolução.
Implemente o DNSSEC verificando a cadeia entre a zona filha e a zona pai. Ao mudar de fornecedor DNS, coordene as chaves e o DS antes de retirar a zona antiga. O guia de ativação do DNSSEC cobre essa sequência.
No domínio sem site, uma avaria de DNSSEC não quebra uma página web inexistente, mas impede os destinatários de ler Null MX, SPF e DMARC. A proteção contra a usurpação continua, portanto, a depender de uma cadeia válida. Vigie-a como qualquer outro registo de segurança.
O que a auditoria pública vai mostrar
A auditoria pública avalia três pilares: envio 50, receção 35 e DNS 15. Uma zona sem email bem afinada obtém Bom, geralmente à volta de 80-85 consoante a presença de rua e DNSSEC.
A receção é completa com um único Null MX. MTA-STS, DANE e TLS-RPT não são pedidos, uma vez que o domínio não recebe correio. Pelo contrário, MXCount == 0 é um erro: o recurso a A continua possível e o fecho não está declarado.
Do lado do envio, o SPF estrito e o DMARC reject marcam claramente a ausência de fonte legítima. Ainda assim, DKIM e BIMI permanecem a zero na ferramenta pública, com as suas recomendações. A menção apresentada explica que esses mecanismos não são necessários se o domínio não envia e que a pontuação não muda. Resultado: a faixa superior, a partir de 90, mantém-se inacessível sem DKIM. É deliberado e visível.
O pilar DNS depende sobretudo de CAA e DNSSEC. O site pode obter o controlo CAA completo com uma CA autorizada e um iodef externo. O domínio sem certificado obtém 90 nesse controlo com issue ";". Estes números são subpontuações de controlos, não uma promessa de pontuação global.
A monitorização altera apenas a intenção de correio
A opção "Este domínio não envia email" é uma função de monitorização. Retira DKIM e BIMI da pontuação monitorizada e alerta se a zona voltar a aceitar ou a assinar correio.
Não fabrica uma captura lisonjeira na auditoria pública. Não altera a necessidade de Null MX, nem de SPF, nem de DMARC, nem de CAA, nem de DNSSEC. O seu interesse é operacional: se um administrador acrescentar um MX real ou se um antigo seletor DKIM reaparecer, a monitorização assinala que o contrato "sem email" acaba de ser quebrado.
A primeira ferramenta CaptainDNS é gratuita. Comece pela auditoria da zona, corrija os registos e ative depois uma monitorização se o domínio merecer um alerta contínuo. O monitor custa 5 euros. As restantes ferramentas seguem a tarifação da conta, 3 euros e depois 5 euros, sem oferta separada dedicada a este caso.
Divergências entre as recomendações publicadas
Os guias disponíveis em linha não dão todos a mesma receita. Retemos os textos mais recentes e a semântica das RFC, e assinalamos as diferenças em vez de as esconder.
A GOV.UK ainda recomenda um wildcard _domainkey que contém um p= vazio na sua página atualizada a 1 de março de 2021. A EasyDMARC e a Mimecast retomam igualmente o BCP M3AAWG de 2015. Não copiamos esse valor: a M3AAWG retirou-o na edição de junho de 2022, ao passo que as RFC o definem como a revogação de uma chave antiga. A ausência de seletor é mais exata e não desencadeia a recomendação crítica dkim.empty_p_tag da nossa própria auditoria.
A condição "Null MX apenas se existir um A ou AAAA" pertence à edição de dezembro de 2015: "M3AAWG recommends the use of a null MX record only if the domain has an A and/or AAAA record", por compatibilidade com os recetores que ainda não tinham implementado a RFC. A edição de junho de 2022 retirou essa restrição, e o seu exemplo "Single Parked Domain", sem A nem AAAA, publica de facto example.com. MX 0 .. Seguimos o texto de 2022 e publicamos nos dois casos: nenhum MX significa sempre "nenhum MX", não "recusa explícita", e um futuro endereço A reativaria o recurso SMTP.
O internet.nl recomenda igualmente Null MX para um domínio sem servidor de correio e considera vários testes de correio não aplicáveis a este perfil. A CaptainDNS conserva uma leitura pública uniforme dos três pilares: a zona sai Bom à volta de 80-85, não na faixa superior. As duas interfaces descrevem o mesmo objetivo com modelos de pontuação diferentes.
O que este artigo não é
Este guia descreve uma zona que não envia nem recebe correio. Não substitui o gerador DMARC, que compõe uma política a partir das opções escolhidas, nem a auditoria, que lê as respostas DNS realmente publicadas.
Também não é um guia de remetente. Não cobre a rotação de chaves, nem os seletores dos fornecedores, nem a entregabilidade de uma campanha. Esse papel fica para os artigos dedicados ao DKIM. Aqui, acrescentar uma plataforma de envio muda a necessidade: o domínio deixa de estar sem email e a receita tem de ser revista.
O CAA só é tratado no ponto de decisão entre certificado autorizado e certificado proibido. A sua herança e as suas variantes pertencem ao guia CAA. O DNSSEC limita-se ao risco de cadeia quebrada; o tutorial completo permanece separado. Por fim, a conservação e a expiração dos nomes cabem ao ciclo de vida de um domínio, não à configuração de correio.
Verificação final da zona
Uma zona coerente controla-se a partir do exterior, depois da propagação. Verifique que só está visível um MX 0 ., que o SPF contém apenas v=spf1 -all e que _dmarc publica a rejeição esperada.
Procure depois qualquer nome sob _domainkey: não deve restar nada, salvo uma chave antiga em curso de retirada segundo um plano datado. Confirme que cada mailto: visa outro domínio recetor. Termine com CAA, DNSSEC e os eventuais A/AAAA.
Volte a lançar a auditoria depois do TTL. Espere Bom e leia as recomendações ainda apresentadas para DKIM e BIMI à luz dessa menção. Se ativar a monitorização "Este domínio não envia email", teste também o alerta durante uma alteração planeada e reponha depois a zona de referência.
FAQ
Qual é a diferença entre Null MX e a ausência de MX?
Null MX publica um MX explícito com prioridade 0 e alvo .. Sem MX, um remetente SMTP pode recorrer a A ou AAAA; as duas configurações não são portanto equivalentes.
É preciso publicar um DKIM?
Não. Não publique nenhum seletor sob _domainkey. Um p= vazio serve apenas para retirar uma chave antiga; não é um modelo para declarar que um domínio não envia.
Porquê manter um rua se o domínio não envia?
Os relatórios agregados revelam as fontes que tentam utilizar o domínio, e a ausência da etiqueta rua altera a pontuação DMARC. Envie-os para um endereço alojado noutro domínio que receba realmente.
Null MX chega para impedir a usurpação?
Não. Null MX fecha a receção. O SPF v=spf1 -all e o DMARC p=reject tratam o envio usurpado; cada mecanismo responde a uma direção diferente.
Que CAA publicar para um site sem email?
Autorize a CA que emite o certificado do site e acrescente um iodef externo se possível. Nunca publique issue ";" nesse site, porque a renovação do certificado ficaria bloqueada.
Que CAA publicar para um domínio sem site?
Publique 0 issue ";" se nenhum certificado deve ser emitido. Na auditoria CaptainDNS, esta escolha vale 90 para o controlo CAA, e não 100.
Porque é que a pontuação pública se mantém em Bom?
A auditoria pública conserva DKIM e BIMI a zero com as suas recomendações, mesmo que uma menção explique que aqui são inúteis. A monitorização assinalada retira-os da sua pontuação, mas não altera a auditoria pública.
