SPF, DKIM e DMARC explicados: impeça que falsifiquem o seu domínio

01O problema: o e-mail não tem verificação de identidade embutida

O sistema de e-mail original permite que o remetente escreva qualquer endereço na linha "De". Os atacantes usam isso para enviar faturas falsas, redefinições de senha e pedidos "urgentes" que parecem vir da sua empresa. As mensagens não são invadidas a partir dos seus servidores, são simplesmente forjadas.

Três registros DNS fecham essa brecha. Você os adiciona uma vez no seu provedor de DNS, e os servidores receptores, como Gmail e Outlook, os verificam em cada mensagem.

02SPF: quem pode enviar em seu nome

O SPF é uma lista dos servidores autorizados a enviar e-mail para o seu domínio. É um único registro TXT no próprio domínio.

v=spf1 include:_spf.mx.cloudflare.net -all

Leia da esquerda para a direita: use a versão 1 do SPF, confie no que o include listar, e -all significa "rejeitar todos os outros". ~all é a versão mais branda, que marca os demais e-mails como suspeitos em vez de rejeitá-los.

03DKIM: uma assinatura em cada mensagem

Com o DKIM, o seu provedor de e-mail assina cada mensagem enviada com uma chave privada. A chave pública correspondente fica no seu DNS, para que o receptor possa verificar que a mensagem não foi alterada e realmente passou pelo seu provedor. Normalmente você não escreve esse registro: o provedor fornece o nome e o valor exatos para colar.

v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8A...

04DMARC: a política que une tudo

O DMARC diz aos receptores o que fazer quando uma mensagem falha nas verificações de SPF e DKIM alinhadas ao domínio "De" visível, e para onde enviar os relatórios sobre isso.

v=DMARC1; p=none; rua=mailto:reports@example.com

• p=none: apenas observar e enviar relatórios. Nada é bloqueado.
• p=quarantine: e-mails suspeitos vão para o spam.
• p=reject: e-mails forjados são recusados por completo.

05Verifique o seu próprio domínio

Digite o seu domínio abaixo. A verificação roda no seu navegador contra o DNS público, e nada é armazenado.

06Um plano de implantação seguro

1. Adicione ou corrija o seu registro SPF com ~all.
2. Ative o DKIM no seu provedor de e-mail e publique o registro que ele fornecer.
3. Adicione o DMARC com p=none e um endereço de relatórios que você leia.
4. Após duas a quatro semanas de relatórios limpos, passe para p=quarantine.
5. Quando estiver confiante, passe para p=reject e mude o SPF para -all.