Leitor de relatórios DMARC: carregue os relatórios agregados e veja quem envia em seu nome

Como usar

• Guarde os anexos (.zip, .gz ou .xml) dos emails que chegam ao endereço indicado na etiqueta rua= do seu registo DMARC. A Google envia .zip; a maioria dos outros fornecedores de email envia .gz.
• Arraste e largue os ficheiros na caixa acima ou clique em «Escolher ficheiros». Não é preciso descomprimi-los e pode carregar muitos relatórios de uma vez (até 20 MB no total).
• Para ver primeiro como fica o resultado, clique em «Experimentar um relatório de exemplo».

O que é um relatório agregado DMARC

O DMARC permite que os servidores de receção verifiquem, com SPF e DKIM, se os emails que usam o seu domínio no remetente (From) vêm mesmo de si. Se o seu registo DMARC incluir rua=mailto:…, fornecedores como o Gmail e o Yahoo enviam-lhe um resumo do email que receberam do seu domínio: de que endereços IP, quantas mensagens e com que resultado de autenticação. Estes relatórios agregados (RUA) chegam normalmente uma vez por dia, no formato XML definido no RFC 7489.

Neles aparecem os serviços que utiliza e também os emails que falsificam o seu domínio. Corrija primeiro os remetentes legítimos que falham; assim, uma política mais rigorosa trava apenas a falsificação.

Como ler os resultados

• DMARC aprovado: o SPF ou o DKIM passou com um domínio alinhado com o seu domínio From.
• SPF alinhado: a parte em que o IP de envio é autorizado pelo SPF e o domínio do remetente do envelope está alinhado com o seu domínio From.
• DKIM alinhado: a parte assinada com DKIM em nome do seu domínio (ou de um subdomínio) e verificada.
• Remetente: identificado pelos domínios de assinatura DKIM, pelos intervalos de IP de envio que os fornecedores publicam no seu registo SPF e pelos domínios SPF. Para fornecedores que não publicam intervalos de envio, o remetente é indicado como estimado a partir da rede do fornecedor.
• Com serviços de envio como o Amazon SES, o SendGrid e o Mailchimp, o remetente do envelope é o domínio do serviço, por isso o SPF normalmente não fica alinhado. Não há problema, desde que o DKIM esteja alinhado com o seu domínio.

Causas frequentes de falha e como corrigi-las

• Falta no SPF: acrescente o valor do serviço ao seu registo SPF, por exemplo include:_spf.google.com para o Google Workspace ou include:spf.protection.outlook.com para o Microsoft 365. Mantenha um único registo SPF por domínio.
• Sem DKIM: ative a assinatura DKIM do seu domínio nas definições do serviço e publique no DNS a chave pública indicada.
• DKIM assinado com o domínio do serviço: configure a autenticação de domínio no serviço de envio para que assine em nome do seu domínio.
• Reencaminhamentos e listas de correio: o reencaminhamento costuma quebrar o SPF, e alterações ao assunto ou ao corpo quebram o DKIM. Algumas falhas destas são normais.
• Remetentes que não reconhece: podem estar a falsificar o seu domínio. Quando todos os remetentes legítimos passarem, mudar para p=quarantine e depois para p=reject mantém esses emails fora das caixas de entrada.

O que os ficheiros contêm

Os relatórios agregados contêm endereços IP de envio, número de mensagens e resultados de autenticação, mas não o conteúdo dos emails nem os destinatários. Esta ferramenta descomprime e lê os ficheiros apenas no seu navegador e não envia nada para nenhum servidor. Os resultados desaparecem quando fecha a página.