O que são os relatórios DMARC que chegam por correio

Se o seu registo DMARC contiver um endereço rua, fornecedores como a Google, a Microsoft ou a Yahoo podem enviar periodicamente mensagens com assuntos semelhantes a Report Domain e um ficheiro XML, normalmente comprimido em ZIP ou GZIP.

Não são devoluções. A sua receção não implica por si só que exista um problema ou que o domínio tenha enviado spam: são relatórios agregados sobre os sistemas que entregaram mensagens usando o seu domínio e sobre o resultado de SPF, DKIM e DMARC. O IP observado pode pertencer ao emissor original, a um relay ou a um reencaminhador; não o classifique como autorizado ou malicioso sem rever o percurso e o alinhamento.

O que contém o relatório

O XML agrupa informação como:

• IP do sistema que entregou as mensagens ao recetor que gerou o relatório.
• Número de mensagens observadas.
• Resultado de SPF e DKIM.
• Política DMARC aplicada.
• Domínio visível no cabeçalho From.

O resultado bruto de SPF ou DKIM não equivale por si só ao resultado DMARC. Verifique também se o domínio autenticado está alinhado com o domínio visível em From: o DMARC passa quando existe alinhamento em SPF ou em DKIM.

Os relatórios agregados normalmente não incluem o corpo completo das mensagens. Ainda assim, evite publicar os ficheiros, porque contêm informação técnica sobre as suas fontes de envio.

Diferença entre rua e ruf

• rua pede relatórios agregados e é a opção habitual para monitorização.
• ruf pede relatórios forenses de falhas. Muitos fornecedores não os enviam e, quando existem, podem conter cabeçalhos, fragmentos ou até a mensagem original. Não os ative sem definir quem pode aceder-lhes e durante quanto tempo serão conservados.

Deixar de os receber ou alterar o destinatário

Edite o registo TXT de _dmarc.oseudominio.com e modifique o endereço ou elimine a etiqueta completa rua= ou ruf=. Não apague todo o registo DMARC só para parar os relatórios, porque eliminaria também a política que protege o domínio contra a falsificação de identidade.

Deve existir um único registo DMARC. Se quiser analisar os XML sem os receber numa caixa de correio pessoal, utilize um endereço dedicado ou um serviço de processamento de relatórios.

Se o endereço de rua ou ruf pertencer a um domínio organizacional diferente do que publica a política, o domínio recetor deve autorizar esses relatórios através do DNS. Por exemplo, para uma política em oseudominio.com que envia para dmarc@informes.example, deve existir um TXT com este nome:

oseudominio.com._report._dmarc.informes.example

O seu valor é v=DMARC1. Sem esta autorização, os geradores conformes ignoram esse destino externo. O fornecedor que recebe os relatórios deve indicar o registo exato. Um endereço noutro subdomínio do mesmo domínio organizacional não requer esta autorização externa.

O que rever nos resultados

Procure IP desconhecidos com muitas mensagens e fontes legítimas que falhem o alinhamento de SPF ou DKIM. Antes de endurecer a política de p=none para quarantine ou reject, identifique e autentique todos os serviços autorizados: alojamento, formulários, loja, CRM, Microsoft 365, Google Workspace ou plataformas de marketing. Aplique a alteração de forma gradual e reveja os relatórios; p=reject não é apropriado até confirmar que não bloqueará fontes legítimas.

O guia Configurar o registo DMARC explica a política e as suas etiquetas principais.

Ler um caso sem confundir os resultados

Se uma linha mostrar DKIM válido para um domínio da plataforma e o remetente visível pertencer à sua empresa, verifique o alinhamento antes de o dar como correto. A assinatura pode ser válida e não servir para passar o DMARC do seu domínio. Também pode passar o DMARC através de SPF alinhado, mesmo que essa assinatura não o esteja.

Relacione cada IP e domínio com um serviço conhecido e com o período do relatório. Um volume inesperado merece revisão, mas um IP desconhecido isolado pode ser um reencaminhador. Não autorize automaticamente todos os IP que apareçam no XML.

Os relatórios descrevem o que cada recetor observou; não são uma lista completa de todos os seus envios nem uma medição da caixa de entrada principal. Conserve períodos comparáveis e anote quando alterou a política para interpretar a evolução.