Qual é a diferença entre p=none, p=quarantine e p=reject?

O p=none só observa: a mensagem que falha é entregue normalmente e aparece nos relatórios. O p=quarantine pede que ela vá para o spam. O p=reject pede que ela seja recusada. O caminho seguro é começar em none e subir aos poucos.

Preciso ter SPF e DKIM antes do DMARC?

Sim. O DMARC não autentica nada sozinho: ele confere o resultado do SPF e do DKIM. Sem pelo menos um dos dois funcionando e alinhado ao domínio do remetente, toda mensagem falha no DMARC.

O DMARC vale para os subdomínios?

Vale. Sem registro próprio, o subdomínio segue a política do domínio principal, ou a da tag sp, se ela existir. Um subdomínio com registro DMARC próprio usa o dele.

Quanto tempo leva para o DMARC funcionar?

O registro passa a valer quando o DNS propaga, o que costuma levar de minutos a algumas horas. Os primeiros relatórios chegam em um ou dois dias.

O que é DMARC: para que serve e como configurar o registro

Q: O que é DMARC?

DMARC (Domain-based Message Authentication, Reporting and Conformance) é um registro de texto no DNS que diz aos provedores o que fazer com um e-mail em nome do seu domínio que não passa no SPF nem no DKIM: entregar, mandar para o spam ou recusar. Ele também faz os provedores enviarem relatórios para você.

Q: Para que serve o DMARC?

Para impedir que alguém envie e-mail se passando pelo seu domínio, como em golpes de boleto e de phishing, e para os provedores confiarem nas suas mensagens legítimas. Gmail, Yahoo e Outlook exigem DMARC de quem envia em volume.

Resposta rápida: DMARC é um registro de texto (TXT) no DNS, publicado em _dmarc.seudominio.com.br, que diz aos provedores o que fazer com um e-mail em nome do seu domínio que não passa no SPF nem no DKIM: entregar mesmo assim (p=none), mandar para o spam (p=quarantine) ou recusar (p=reject). Ele também faz os provedores mandarem relatórios de quem está enviando com o seu domínio.

O que é DMARC

DMARC é a sigla de Domain-based Message Authentication, Reporting and Conformance. É o terceiro dos registros de autenticação de e-mail, depois do SPF e do DKIM, e o único que dá uma ordem ao provedor de quem recebe.

O SPF diz quais servidores podem enviar pelo seu domínio. O DKIM assina cada mensagem. Mas nenhum dos dois diz o que fazer quando a checagem falha. Sem DMARC, cada provedor decide sozinho, e um e-mail falso com o nome da sua empresa no campo "De" pode chegar à caixa de entrada.

O DMARC fecha essa porta. Com a política certa, o Gmail, o Outlook, o Yahoo e os provedores brasileiros, como UOL e Locaweb, recusam a mensagem que usa o seu domínio sem autorização.

Para que serve o DMARC

Proteger a marca contra golpe. Boleto falso, cobrança falsa e phishing costumam usar o domínio de uma empresa conhecida. Com p=reject, essas mensagens não chegam.
Melhorar a entrega das mensagens legítimas. Domínio com DMARC é domínio que se identifica. Os provedores confiam mais nele, e a reputação do remetente melhora.
Cumprir as exigências dos provedores. Desde fevereiro de 2024, Gmail e Yahoo exigem DMARC de quem envia mais de 5 mil mensagens por dia, e a Microsoft passou a exigir o mesmo no Outlook em 2025.
Saber quem envia em seu nome. Os relatórios mostram cada servidor que usou o seu domínio, inclusive o sistema de boletos ou a ferramenta de marketing que ninguém lembrava de autorizar.

Como o DMARC funciona: o alinhamento

Quando uma mensagem chega, o provedor de quem recebe faz três perguntas:

O SPF passou? A mensagem saiu de um servidor autorizado?
O DKIM passou? A assinatura confere?
Está alinhado? O domínio que passou no SPF ou no DKIM é o mesmo domínio que a pessoa vê no campo "De"?

A terceira pergunta é o que o DMARC acrescenta. Um golpista pode configurar SPF e DKIM para o domínio dele e escrever o seu no campo "De". Os dois passam, mas para o domínio errado: sem alinhamento, o DMARC falha.

Basta um dos dois, SPF ou DKIM, passar e estar alinhado para a mensagem passar no DMARC. Se os dois falharem, o provedor aplica a política do seu registro.

Exemplo de registro DMARC

O registro é uma linha de texto, publicada como TXT no nome _dmarc do domínio:

v=DMARC1; p=none; rua=mailto:dmarc@seudominio.com.br

Tag	O que significa
`v=DMARC1`	Identifica o registro como DMARC. Sempre vem primeiro.
`p=`	A política: `none`, `quarantine` ou `reject`.
`rua=`	O endereço que recebe os relatórios diários, em XML.
`sp=`	A política dos subdomínios, quando deve ser diferente da principal.
`pct=`	A porcentagem das mensagens que recebe a política, para subir aos poucos.
`adkim=` e `aspf=`	O rigor do alinhamento: `r` (relaxado, aceita subdomínio) ou `s` (estrito).

As três políticas: none, quarantine e reject

p=none: só observa. Nenhuma mensagem é bloqueada. Os relatórios mostram o que passaria e o que falharia. É por onde todo domínio deve começar.
p=quarantine: manda para o spam. A mensagem que falha vai para a pasta de spam, em vez da caixa de entrada.
p=reject: recusa. A mensagem que falha nem é entregue. É a proteção completa contra quem usa o seu domínio.

p=none cumpre a exigência mínima do Gmail e do Yahoo, mas não protege ninguém de golpe. O objetivo é chegar a reject.

Como configurar o DMARC sem perder e-mail

Confira o SPF e o DKIM. Todo serviço que envia pelo seu domínio precisa estar no SPF ou assinar com DKIM do seu domínio: a caixa de e-mail da empresa, a ferramenta de marketing, o CRM, o sistema de nota fiscal e de boleto, a loja virtual.
Publique o DMARC em p=none, com um endereço em rua= para receber os relatórios. No painel do DNS (Registro.br, Cloudflare, Locaweb, a hospedagem), crie um registro TXT com o nome _dmarc.
Leia os relatórios por duas a quatro semanas. Eles mostram cada servidor que enviou com o seu domínio. O que for legítimo e estiver falhando, corrija no SPF ou no DKIM.
Suba para p=quarantine, se quiser com pct=25 e depois 50 e 100.
Chegue a p=reject quando os relatórios mostrarem só o que você conhece passando.

Um exemplo real: domínio principal e subdomínio de campanha

No nosso próprio domínio, o principal, que envia os e-mails de acesso da plataforma e os do dia a dia, está em p=reject: nenhuma mensagem falsa com o nome da Autentify é entregue.

Para as campanhas, usamos um subdomínio separado (mail.autentify.com.br). Ele tem registro DMARC próprio, que começou em p=none. Assim, uma campanha nova não arrisca ser recusada por um detalhe de configuração, e a reputação das campanhas fica separada da dos e-mails de acesso. Quando os relatórios mostrarem tudo alinhado, a política dele sobe.

Esse desenho serve para qualquer empresa: domínio principal protegido, envio em massa num subdomínio, cada um com a sua política.

Erros mais comuns

Dois registros DMARC. Com dois, o provedor ignora os dois. Edite o que existe.
Ir direto para reject. Um serviço legítimo esquecido no SPF, como o de boletos, passa a ter as mensagens recusadas sem ninguém perceber.
Ficar para sempre em none. O domínio cumpre a exigência, mas continua aberto para golpe.
Não ler os relatórios. Eles são a única forma de saber o que vai falhar antes de subir a política.
Registro no nome errado. O DMARC fica em _dmarc.seudominio.com.br, não no domínio puro.

DMARC não salva lista ruim

Autenticação resolve a pergunta "este e-mail é mesmo seu?". Ela não resolve o envio para endereços que não existem. Um domínio com SPF, DKIM e DMARC perfeitos ainda perde reputação se a taxa de rejeição subir, e as mensagens boas começam a cair na pasta de spam. Veja as outras causas em por que meus e-mails caem no spam e o passo a passo dos três registros em como configurar SPF, DKIM e DMARC.

Para testar agora

Confira de graça se o seu domínio tem DMARC, qual é a política e se o SPF e o DKIM estão certos na ferramenta de SPF, DKIM e DMARC. Ela mostra também o que falta para as exigências do Gmail e do Yahoo.

Com o domínio autenticado, o passo seguinte é a lista: o verificador de e-mail grátis testa 3 endereços por dia sem cadastro, e o Verify valida a lista inteira antes do envio.