DMARC

O DMARC diz aos servidores receptores o que fazer quando uma mensagem que afirma vir do seu domínio falha no alinhamento de SPF e DKIM, e para onde enviar os relatórios. O Gmail e o Yahoo o exigem de quem envia em volume, e ele protege o seu domínio contra falsificação (spoofing).

O SpacePost retorna um registro inicial recomendado a cada domínio:

Tipo	Nome	Valor
TXT	_dmarc	v=DMARC1; p=none;

Ele não é obrigatório para a verificação, mas adicione-o.

Como o alinhamento funciona com o SpacePost

• DKIM: as mensagens são assinadas com d=acme.com por meio dos seus três CNAMEs do Easy DKIM. Isso se alinha com From: hello@acme.com.
• SPF: o remetente do envelope (return path) é send.acme.com, um subdomínio do seu domínio de From, então o SPF se alinha no modo relaxado. É por isso que os registros MX e TXT de send importam.

Basta um dos dois se alinhar para o DMARC passar; ter os dois é o mais robusto.

Políticas

Política	Efeito	Quando
p=none	Apenas monitora. Nada é bloqueado.	Comece por aqui.
p=quarantine	Os e-mails que falham vão para o spam.	Depois que os relatórios estiverem limpos por algumas semanas.
p=reject	Os e-mails que falham são rejeitados.	Proteção total.

Uma progressão típica, com relatórios:

v=DMARC1; p=none; rua=mailto:dmarc@acme.com; fo=1;
v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc@acme.com;
v=DMARC1; p=reject; rua=mailto:dmarc@acme.com;

rua é para onde vão os relatórios agregados em XML. Use um serviço de relatórios DMARC para lê-los.

Cuidado

Antes de passar para quarantine ou reject, garanta que todos os sistemas que enviam como o seu domínio (sua ferramenta de marketing, central de suporte, CRM) estejam alinhados. Caso contrário, você vai bloquear os seus próprios e-mails.

Subdomínios

Um registro _dmarc em acme.com também cobre os subdomínios, a menos que você adicione sp=. Se você envia de mail.acme.com, pode publicar um registro _dmarc.mail separado.