Porque analisar os seus relatórios DMARC?
Todos os dias, Google, Microsoft e Yahoo enviam relatórios DMARC agregados aos domínios configurados com uma tag rua=. Esses relatórios revelam quem está a enviar emails em nome do seu domínio e se a autenticação SPF/DKIM está correta.
Desde 2024, Google e Yahoo exigem um registo DMARC para remetentes que ultrapassam 5 000 emails por dia. Analisar os seus relatórios DMARC é agora indispensável.
O problema: um relatório DMARC agregado é um ficheiro XML técnico, comprimido em ZIP ou gzip. Sem uma ferramenta dedicada, é impossível saber se os seus emails estão corretamente autenticados ou se alguém está a falsificar a sua identidade.
Três razões para agir agora:
- Detetar spoofing - Identifique as fontes não autorizadas que enviam emails com o seu domínio no From: e verifique se a sua política DMARC as está a bloquear.
- Validar os seus serviços de terceiros - Cada serviço externo (newsletter, CRM, suporte) deve ser autenticado por SPF e DKIM alinhados com o seu domínio.
- Avançar para p=reject - Os relatórios DMARC são o seu roteiro para passar de p=none a p=reject com confiança.
Envie o seu primeiro relatório acima para obter um diagnóstico em 10 segundos.
Como analisar um relatório DMARC em 3 etapas
Etapa 1: Recupere o relatório
Abra o email recebido do Google (noreply-dmarc-support@google.com), Microsoft ou Yahoo. Descarregue o anexo .xml.gz ou .zip. O nome do ficheiro segue o formato remetente!domínio!início!fim.xml.gz.
Etapa 2: Envie o ficheiro
Arraste e solte o ficheiro na área de upload acima. A ferramenta aceita os formatos XML bruto, gzip e ZIP, até 10 MB.
Etapa 3: Leia o diagnóstico
O CaptainDNS descompacta, faz o parse e exibe em poucos segundos:
- Um score de conformidade de 0 a 100 dividido em 4 níveis: excelente, bom, atenção, crítico
- O mapeamento das fontes de envio classificadas em legítimo, forwarding ou spoofing
- O alinhamento SPF e DKIM detalhado para cada IP de origem
- As recomendações práticas com link para a ferramenta CaptainDNS apropriada
O que é um relatório DMARC agregado?
Um relatório DMARC agregado (definido pela RFC 7489, Secção 7.2) é um ficheiro XML enviado diariamente pelos fornecedores de email para o endereço indicado na tag rua= do seu registo DMARC.
Exemplo de registo DMARC com reporting:
_dmarc.captaindns.com. TXT "v=DMARC1; p=reject; rua=mailto:dmarc@captaindns.com"
Cada relatório contém:
| Campo | Descrição |
|---|---|
org_name | O remetente do relatório (Google, Microsoft, Yahoo, etc.) |
date_range | O período coberto, geralmente 24 horas |
policy_published | A sua política DMARC no momento da recolha |
record | Uma ou mais fontes IP com os seus resultados de autenticação |
Para cada IP de origem, o relatório fornece o volume de mensagens, os resultados SPF e DKIM, o alinhamento DMARC e a disposição aplicada (none, quarantine ou reject).
O que a ferramenta analisa exatamente?
O analisador CaptainDNS avalia cada IP de origem do relatório em cinco eixos:
| Análise | Descrição | Resultado |
|---|---|---|
| Alinhamento DKIM | O domínio d= da assinatura DKIM corresponde ao header From: | Alinhado ou não alinhado |
| Alinhamento SPF | O domínio MAIL FROM corresponde ao header From: | Alinhado ou não alinhado |
| Conformidade DMARC | Pelo menos um mecanismo (SPF ou DKIM) está alinhado | Pass ou fail |
| Classificação da fonte | O IP é legítimo, forwarding ou spoofing? | Legítimo, forwarding, spoofing |
| Disposição | Qual ação o recetor aplicou | None, quarantine, reject |
Casos de uso reais
Incidente 1: Serviço de newsletter não autenticado
Sintoma: o relatório do Google sinaliza 320 mensagens em quarentena de um IP desconhecido com SPF fail.
Diagnóstico: o seu serviço de newsletter usa um domínio MAIL FROM diferente (bounce.newsletter-service.com). O SPF passa para esse domínio, mas não está alinhado com o seu From:.
Ação: configure o seu serviço para assinar com DKIM d=seudominio.com, ou adicione um custom return-path. Verifique com o SPF Record Checker.
Incidente 2: Spoofing detetado
Sintoma: 210 mensagens rejeitadas de um IP desconhecido, nenhuma assinatura DKIM, SPF não alinhado. Diagnóstico: uma fonte não autorizada está a enviar emails com o seu domínio no From:. Spoofing provável. Ação: a sua política DMARC está a funcionar. Se ainda está em p=quarantine, considere mudar para p=reject. Verifique com o DMARC Record Checker.
Incidente 3: Falhas relacionadas com o forwarding
Sintoma: 15 mensagens com falha DMARC com razão forwarded e disposição none.
Diagnóstico: mensagens reencaminhadas por um servidor intermediário quebraram a autenticação SPF e DKIM. O recetor aplicou uma exceção.
Ação: é um comportamento esperado. O forwarding quebra naturalmente a autenticação. Nenhuma ação necessária.
FAQ - Perguntas frequentes
P: O que é um relatório DMARC agregado e como lê-lo?
R: Um relatório DMARC agregado é um ficheiro XML enviado diariamente pelos servidores de email que recebem mensagens com o seu domínio no From:. Ele contabiliza os resultados de autenticação SPF e DKIM por IP de origem. Esses ficheiros são comprimidos em ZIP ou gzip - envie-os aqui para um diagnóstico imediato.
P: O que significam as disposições none, quarantine e reject?
R: São as ações aplicadas pelo servidor recetor. none: a mensagem é entregue normalmente (política p=none ou exceção). quarantine: a mensagem é colocada no spam. reject: a mensagem é bloqueada. A disposição aplicada depende da sua política DMARC e do resultado da autenticação.
P: Qual é a diferença entre um DMARC checker e um DMARC report analyzer?
R: Um DMARC checker verifica o seu registo DNS _dmarc.domínio - é a configuração. Um DMARC report analyzer interpreta os ficheiros XML de relatório - são os resultados. Use o Inspetor DMARC para verificar a configuração, e esta ferramenta para analisar os relatórios.
Prepare-se para o DMARCbis
O DMARCbis foi publicado em maio de 2026 como RFC 9989, RFC 9990 e RFC 9991. A RFC 9989 torna a RFC 7489 obsoleta; v=DMARC1 não muda. O DMARCbis Checker explica o tree walk DNS e a ferramenta de migração remove tags históricas.
Ferramentas complementares
| Ferramenta | Utilidade |
|---|---|
| Inspetor DMARC | Verificar a política DMARC publicada |
| Gerador DMARC | Criar um registo DMARC |
| DMARC Syntax Checker | Validar a sintaxe de um registo DMARC |
| Inspetor SPF | Verificar a configuração SPF |
| Inspetor DKIM | Verificar a configuração DKIM |
| Auditoria de domínio email | Auditoria completa SPF, DKIM, DMARC, MTA-STS, TLS-RPT |
| Monitoring DMARC | Monitorização DMARC automatizada e contínua para os seus domínios |
Para uma monitorização automatizada e contínua dos seus relatórios DMARC sem upload manual, consulte o Monitoring DMARC.
Ainda não recebe relatórios DMARC? Adicione uma tag rua= ao seu registo DMARC com o Gerador DMARC.
Recursos úteis
-
RFC 7489 - Domain-based Message Authentication, Reporting, and Conformance - especificação oficial DMARC
-
RFC 7489, Appendix C - esquema XML dos relatórios agregados
-
Google - Ler os relatórios DMARC - guia oficial Google Workspace
-
Microsoft - Compreender os relatórios DMARC - documentação Microsoft 365