Por que analisar seus relatórios DMARC?
Todos os dias, Google, Microsoft e Yahoo enviam relatórios DMARC agregados aos domínios configurados com uma tag rua=. Esses relatórios revelam quem está enviando emails em nome do seu domínio e se a autenticação SPF/DKIM está correta.
Desde 2024, Google e Yahoo exigem um registro DMARC para remetentes que ultrapassam 5 000 emails por dia. Analisar seus relatórios DMARC é agora indispensável.
O problema: um relatório DMARC agregado é um arquivo XML técnico, comprimido em ZIP ou gzip. Sem uma ferramenta dedicada, é impossível saber se seus emails estão corretamente autenticados ou se alguém está falsificando sua identidade.
Três razões para agir agora:
- Detectar spoofing - Identifique as fontes não autorizadas que enviam emails com seu domínio no From: e verifique se sua política DMARC as está bloqueando.
- Validar seus serviços de terceiros - Cada serviço externo (newsletter, CRM, suporte) deve ser autenticado por SPF e DKIM alinhados com seu domínio.
- Avançar para p=reject - Os relatórios DMARC são o seu roteiro para passar de p=none a p=reject com confiança.
Envie seu primeiro relatório acima para obter um diagnóstico em 10 segundos.
Como analisar um relatório DMARC em 3 etapas
Etapa 1: Recupere o relatório
Abra o email recebido do Google (noreply-dmarc-support@google.com), Microsoft ou Yahoo. Baixe o anexo .xml.gz ou .zip. O nome do arquivo segue o formato remetente!domínio!início!fim.xml.gz.
Etapa 2: Envie o arquivo
Arraste e solte o arquivo na área de upload acima. A ferramenta aceita os formatos XML bruto, gzip e ZIP, até 10 MB.
Etapa 3: Leia o diagnóstico
O CaptainDNS descompacta, faz o parse e exibe em poucos segundos:
- Um score de conformidade de 0 a 100 dividido em 4 níveis: excelente, bom, atenção, crítico
- O mapeamento das fontes de envio classificadas em legítimo, forwarding ou spoofing
- O alinhamento SPF e DKIM detalhado para cada IP de origem
- As recomendações práticas com link para a ferramenta CaptainDNS apropriada
O que é um relatório DMARC agregado?
Um relatório DMARC agregado (definido pela RFC 7489, Seção 7.2) é um arquivo XML enviado diariamente pelos provedores de email para o endereço indicado na tag rua= do seu registro DMARC.
Exemplo de registro DMARC com reporting:
_dmarc.captaindns.com. TXT "v=DMARC1; p=reject; rua=mailto:dmarc@captaindns.com"
Cada relatório contém:
| Campo | Descrição |
|---|---|
org_name | O remetente do relatório (Google, Microsoft, Yahoo, etc.) |
date_range | O período coberto, geralmente 24 horas |
policy_published | Sua política DMARC no momento da coleta |
record | Uma ou mais fontes IP com seus resultados de autenticação |
Para cada IP de origem, o relatório fornece o volume de mensagens, os resultados SPF e DKIM, o alinhamento DMARC e a disposição aplicada (none, quarantine ou reject).
O que a ferramenta analisa exatamente?
O analisador CaptainDNS avalia cada IP de origem do relatório em cinco eixos:
| Análise | Descrição | Resultado |
|---|---|---|
| Alinhamento DKIM | O domínio d= da assinatura DKIM corresponde ao header From: | Alinhado ou não alinhado |
| Alinhamento SPF | O domínio MAIL FROM corresponde ao header From: | Alinhado ou não alinhado |
| Conformidade DMARC | Pelo menos um mecanismo (SPF ou DKIM) está alinhado | Pass ou fail |
| Classificação da fonte | O IP é legítimo, forwarding ou spoofing? | Legítimo, forwarding, spoofing |
| Disposição | Qual ação o receptor aplicou | None, quarantine, reject |
Casos de uso reais
Incidente 1: Serviço de newsletter não autenticado
Sintoma: o relatório do Google sinaliza 320 mensagens em quarentena de um IP desconhecido com SPF fail.
Diagnóstico: seu serviço de newsletter usa um domínio MAIL FROM diferente (bounce.newsletter-service.com). O SPF passa para esse domínio, mas não está alinhado com o seu From:.
Ação: configure seu serviço para assinar com DKIM d=seudominio.com, ou adicione um custom return-path. Verifique com o SPF Record Checker.
Incidente 2: Spoofing detectado
Sintoma: 210 mensagens rejeitadas de um IP desconhecido, nenhuma assinatura DKIM, SPF não alinhado. Diagnóstico: uma fonte não autorizada está enviando emails com seu domínio no From:. Spoofing provável. Ação: sua política DMARC está funcionando. Se você ainda está em p=quarantine, considere mudar para p=reject. Verifique com o DMARC Record Checker.
Incidente 3: Falhas relacionadas ao forwarding
Sintoma: 15 mensagens com falha DMARC com razão forwarded e disposição none.
Diagnóstico: mensagens encaminhadas por um servidor intermediário quebraram a autenticação SPF e DKIM. O receptor aplicou uma exceção.
Ação: é um comportamento esperado. O forwarding quebra naturalmente a autenticação. Nenhuma ação necessária.
❓ FAQ - Perguntas frequentes
P: O que é um relatório DMARC agregado e como lê-lo?
R: Um relatório DMARC agregado é um arquivo XML enviado diariamente pelos servidores de email que recebem mensagens com seu domínio no From:. Ele contabiliza os resultados de autenticação SPF e DKIM por IP de origem. Esses arquivos são comprimidos em ZIP ou gzip - envie-os aqui para um diagnóstico imediato.
P: O que significam as disposições none, quarantine e reject?
R: São as ações aplicadas pelo servidor receptor. none: a mensagem é entregue normalmente (política p=none ou exceção). quarantine: a mensagem é colocada no spam. reject: a mensagem é bloqueada. A disposição aplicada depende da sua política DMARC e do resultado da autenticação.
P: Qual é a diferença entre um DMARC checker e um DMARC report analyzer?
R: Um DMARC checker verifica seu registro DNS _dmarc.domínio - é a configuração. Um DMARC report analyzer interpreta os arquivos XML de relatório - são os resultados. Use o Inspetor DMARC para verificar a configuração, e esta ferramenta para analisar os relatórios.
Ferramentas complementares
| Ferramenta | Utilidade |
|---|---|
| Inspetor DMARC | Verificar a política DMARC publicada |
| Gerador DMARC | Criar um registro DMARC |
| DMARC Syntax Checker | Validar a sintaxe de um registro DMARC |
| Inspetor SPF | Verificar a configuração SPF |
| Inspetor DKIM | Verificar a configuração DKIM |
| Auditoria de domínio email | Auditoria completa SPF, DKIM, DMARC, MTA-STS, TLS-RPT |
Você ainda não recebe relatórios DMARC? Adicione uma tag rua= ao seu registro DMARC com o Gerador DMARC.
Recursos úteis
- RFC 7489 - Domain-based Message Authentication, Reporting, and Conformance - especificação oficial DMARC
- RFC 7489, Appendix C - esquema XML dos relatórios agregados
- Google - Ler os relatórios DMARC - guia oficial Google Workspace
- Microsoft - Compreender os relatórios DMARC - documentação Microsoft 365