Inspetor de registros DMARC

Como usar corretamente o inspetor DMARC

Verifique a política que os destinatários realmente leem antes de endurecer a aplicação. A ferramenta consulta _dmarc.<domínio>, interpreta cada etiqueta e destaca os alertas retornados pela API.

Prepare o domínio

Informe o domínio organizacional exatamente como aparece nos endereços de e-mail. O inspetor adiciona automaticamente _dmarc, segue eventuais CNAMEs e recolhe todas as respostas TXT.

Leia os badges

Cada política recebe um badge mostrando status, modos de alinhamento, percentagem aplicada e endereços rua/ruf. Erros significam que a política é ignorada, avisos apontam configurações arriscadas.

Compare as respostas

Resolvedor, latência e eventual ponto DoH permitem confirmar a propagação ou identificar um problema DNS local. Guarde instantâneos antes/depois para documentar suas mudanças.

Depois da verificação

Arquive a análise com seu registro de mudanças. Complete com o validador de sintaxe DMARC, os inspetores SPF e DKIM para validar toda a cadeia de autenticação antes de ativar a rejeição.

Por que usar este inspetor DMARC?

Verifique antes do envio se o seu registro DMARC é legível e utilizável.
A ferramenta consulta _dmarc.dominio, lê o TXT retornado, destaca etiquetas ausentes ou inválidas e explica o efeito real da política. Você economiza tempo e evita iterações durante a implantação em produção.

DMARC em resumo

DMARC vincula os resultados de SPF e DKIM ao domínio visível em From. Se SPF ou DKIM passa e está alinhado com From, a mensagem está em conformidade. A etiqueta p= indica o que fazer caso contrário observação, quarentena ou rejeição. As etiquetas rua e ruf enviam relatórios para orientar o endurecimento progressivo.

Instruções

Informe o domínio a testar.
Clique em Inspecionar DMARC.
Leia o resumo e as seções detalhadas. Erros bloqueiam a aplicação. Avisos apontam riscos ou práticas a melhorar.
Publique uma versão corrigida e execute outra verificação.

O que o inspetor verifica

TXT DMARC

Existência de um único registro TXT em _dmarc.dominio.
Presença e ordem das etiquetas essenciais v=DMARC1 e p=.
Ausência de CNAME. DMARC deve ser um TXT direto.
Tamanho razoável e TTL legível.

Política e subdomínios

p= none, quarantine ou reject e impacto operacional.
sp= se presente, política aplicada a subdomínios caso contrário herda de p.
pct= percentagem de aplicação da política.

Alinhamentos

adkim= e aspf= em r para relaxed por padrão ou s para strict.
Explicação do alinhamento com From para SPF e DKIM.

Relatórios

rua= endereços mailto: válidos, múltiplos permitidos separados por vírgulas.
ruf= opcional, raramente distribuído por operadores.
Detecção de endereços externos e lembrete de autorização necessária via _report._dmarc no domínio destinatário.
ri= intervalo de relatórios agregados.

Opções de falha

fo= 0 por padrão, variantes 1, d, s explicadas e uso recomendado.

Erros comuns

Dois registros DMARC no mesmo nome.
rua ou ruf sem prefixo mailto:.
Política p=none deixada em produção por muito tempo.
Alinhamento strict ativado enquanto fluxos legítimos não estão prontos.
Endereço de relatório externo sem autorização _report._dmarc.
Confusão entre pct aplicação e ri frequência de relatórios.

Melhores práticas

Começar com p=none com rua ativo para observar.
Passar para p=quarantine com pct progressivo depois para p=reject uma vez eliminados os falsos positivos.
Manter adkim e aspf em r inicialmente, considerar s quando tudo estiver estabilizado.
Definir sp se os subdomínios enviam de forma diferente.
Manter um registro de mudanças data, valor anterior e novo, motivo, TTL.

Solução rápida de problemas

Nenhum registro em _dmarc.dominio publique um TXT mínimo com v e p.
Nenhum relatório recebido verifique rua, autorização externa se aplicável e filtros do lado da caixa de entrada.
Rejeições inesperadas reduza pct ou retorne temporariamente a p=quarantine, corrija o alinhamento do fluxo, tente novamente.
Diferenças regionais considere TTL e caches.