Configure SPF, DKIM e DMARC para impedir falsificações sem bloquear e-mails legítimos

## Defina quem aprova mudanças de DNS de e-mail e como desfazê-las Trate a autenticação de e-mail como infraestrutura compartilhada. A alteração de um registro pode afetar e-mails transacionais, sistemas de suporte, marketing, ferramentas internas e terceiros que usam o mesmo domínio. - Identifique os domínios e subdomínios de envio, os domínios visíveis do campo From e os fluxos de e-mail essenciais ao negócio incluídos no escopo. - Nomeie um responsável pelo domínio e um operador de DNS autorizado. - Separe quem propõe, analisa, aprova, publica, valida e monitora cada alteração. - Registre os valores atuais de DNS, o tempo de vida, as dependências e um valor de reversão testado. - Agende as alterações quando os responsáveis por fluxos críticos puderem observar os resultados. - Não altere o DNS de produção sem autorização explícita e um plano de recuperação. - Interrompa o avanço quando o inventário de remetentes ou as evidências de responsabilidade estiverem incompletos. ## Liste todos os serviços que enviam e-mails com o seu domínio Monte o inventário de remetentes antes de escrever os registros de autenticação. A ausência de um único serviço legítimo pode fazer a aplicação da política bloquear e-mails desejados, enquanto autorizações obsoletas ampliam a superfície para falsificação de remetente. - Liste cada plataforma, aplicativo, servidor de retransmissão, dispositivo e fornecedor que envia usando o domínio. - Registre o remetente do envelope, o domínio visível do campo From, o domínio de assinatura, o responsável pelo IP e a equipe responsável. - Diferencie remetentes diretos de caminhos de encaminhamento, listas de distribuição e pontos de passagem. - Indique quais fontes podem assinar com DKIM e quais dependem do alinhamento SPF. - Remova fontes desativadas somente após confirmar que elas não enviam mais tráfego legítimo. - Considere isolar grupos com riscos ou responsáveis diferentes em subdomínios dedicados. - Mantenha o inventário vinculado aos registros de alterações e aos relatórios de autenticação. ## Escreva um único registro SPF correto que inclua todos os remetentes O SPF autoriza os sistemas que podem usar um domínio no remetente do envelope. Ele avalia a fonte que estabelece a conexão; não assina o conteúdo e, por si só, não autentica o endereço visível do campo From. - Publique exatamente uma política SPF para cada nome de host que precise dela. - Reúna todos os remetentes legítimos nessa política, em vez de criar registros SPF duplicados. - Use somente mecanismos e inclusões compatíveis com os serviços de envio responsáveis. - Mantenha os mecanismos que consultam o DNS dentro do limite SPF de 10 durante a avaliação. - Remova inclusões redundantes e remetentes não utilizados antes de se aproximar do limite. - Escolha deliberadamente o mecanismo all final e torne-o mais restritivo somente depois de comprovar a cobertura. - Valide a sintaxe, os caminhos de expansão, a quantidade de consultas e os resultados de remetentes representativos. ## Ative a assinatura DKIM em cada serviço de envio O DKIM permite que um remetente assine partes selecionadas da mensagem com uma chave privada, enquanto os destinatários obtêm do DNS a chave pública correspondente. Uma assinatura aprovada mostra que o conteúdo assinado permaneceu intacto durante o trânsito e identifica o domínio de assinatura. - Gere um seletor e um par de chaves separados conforme o método compatível com cada remetente. - Prefira chaves fortes, como chaves de 2048 bits, quando tanto o remetente quanto o serviço de DNS forem compatíveis. - Publique o registro exato da chave pública no local do seletor especificado pelo remetente. - Proteja as chaves privadas e nunca as coloque no DNS, em chamados, documentos compartilhados ou registros de sistema. - Ative a assinatura somente depois que o registro público for resolvido corretamente. - Envie um teste real e verifique o seletor, o domínio de assinatura, o resultado da assinatura e a cobertura dos cabeçalhos. - Planeje a rotação de chaves baseada em seletores para comprovar uma chave nova antes de retirar a antiga. ## Comece o DMARC só em modo de observação e leia os relatórios O DMARC avalia se o domínio visível do campo From está alinhado a uma identidade SPF ou DKIM aprovada e, em seguida, aplica a política publicada pelo responsável pelo domínio. O sucesso da autenticação sem alinhamento ainda pode resultar em falha no DMARC. - Confirme que cada fluxo legítimo esteja alinhado por SPF, DKIM ou ambos. - Entenda se o alinhamento relaxado ou estrito é adequado à estrutura e ao risco do domínio. - Publique um registro DMARC no nome de host exigido pela política, com um destino autorizado para os relatórios. - Comece com uma política de monitoramento enquanto identifica fontes legítimas e não autorizadas. - Proteja as caixas postais de relatórios e limite o acesso, pois os relatórios podem revelar detalhes da infraestrutura. - Classifique as falhas por fonte, resultado da autenticação, alinhamento, volume e responsável de negócio. - Não avance para a aplicação da política até que os fluxos legítimos importantes estejam contabilizados. ## Endureça o DMARC passo a passo sem bloquear e-mails legítimos Passe da observação para quarentena e rejeição somente quando as evidências mostrarem que os e-mails legítimos permanecem alinhados. A aplicação da política é uma decisão de controle de risco, não uma tarefa única de formatação do DNS. - Defina critérios de taxa de aprovação, fonte desconhecida e impacto no negócio para cada estágio. - Corrija as falhas legítimas antes de aumentar o rigor da política. - Use um percentual limitado de aplicação quando houver compatibilidade e isso for útil para reduzir o risco. - Monitore relatórios agregados, erros de entrega, incidentes de suporte e a integridade de fluxos críticos após cada alteração. - Mantenha uma política de reversão documentada e pronta durante toda a transição. - Obtenha aprovação de um responsável antes de aumentar a aplicação ou alterar o modo de alinhamento. - Pare e investigue se e-mails legítimos forem rejeitados, colocados em quarentena ou inesperadamente não autenticados. ## Confira os registros DNS e e-mails de teste reais após cada mudança Confirme tanto a publicação dos registros quanto o comportamento real do e-mail. Um registro de DNS sintaticamente válido não comprova que todos os remetentes o utilizam nem que o alinhamento DMARC é bem-sucedido. - Consulte o DNS autoritativo para SPF, seletores DKIM e DMARC depois da propagação. - Verifique registros duplicados, valores truncados, nomes de host incorretos e políticas herdadas não intencionais. - Envie testes por todos os caminhos representativos de produção para vários ambientes de recebimento. - Inspecione os cabeçalhos das mensagens para verificar SPF, DKIM, DMARC, domínios, seletores e resultados de alinhamento. - Teste mensagens comuns e variações importantes, como e-mails encaminhados ou retransmitidos. - Registre o caminho do teste, a data e o horário, o resultado, as evidências e o revisor. - Repita a validação depois de qualquer alteração de remetente, DNS, roteamento ou assinatura. ## Encontre com evidências a causa de falhas de SPF, DKIM ou DMARC Faça o diagnóstico com base nos resultados da autenticação, nas respostas de DNS, nos cabeçalhos das mensagens e no histórico de alterações. Não continue editando registros até que um teste passe por acaso. - Para erros permanentes de SPF, examine políticas duplicadas, sintaxe, inclusões recursivas e o limite de 10 consultas. - Para falhas de DKIM, examine nomes de seletores, material de chave copiado, estado da assinatura, canonicalização e modificação da mensagem. - Para falhas de DMARC, compare o domínio visível do campo From com as identidades SPF e DKIM. - Para e-mails legítimos bloqueados, identifique a fonte exata antes de flexibilizar a política. - Reverta a menor alteração responsável quando um fluxo de produção for prejudicado. - Teste novamente o caminho com falha e um caminho de controle não afetado após cada correção. - Preserve as evidências da causa e da correção para alterações futuras. ## Acompanhe devoluções e e-mails que caem no spam, não só a autenticação SPF, DKIM e DMARC reduzem o abuso de identidade e atendem a verificações importantes dos destinatários, mas não garantem a chegada à caixa de entrada. A reputação e a reação dos destinatários continuam sendo sinais separados. - Monitore as taxas de aprovação da autenticação junto com rejeições, adiamentos, classificação como spam, reclamações e devoluções. - Mantenha listas de destinatários corretas e remova endereços inválidos ou que falhem persistentemente. - Mantenha o volume e os padrões de envio coerentes com a reputação estabelecida do domínio. - Use uma identidade de remetente honesta, conteúdo relevante e uma forma clara de interromper e-mails não essenciais. - Investigue alterações repentinas por domínio, fluxo, destinatário, conteúdo e evento de implantação. - Não trate a atividade de aquecimento do envio nem uma verificação de autenticação aprovada como prova de reputação saudável. - Interrompa fluxos arriscados quando as evidências mostrarem danos contínuos. ## Revise os remetentes e troque as chaves DKIM em intervalos fixos A autenticação se deteriora quando os serviços mudam, as chaves envelhecem, os responsáveis saem ou novos remetentes ignoram a análise. Mantenha-a como controle recorrente, não como projeto de configuração concluído. - Analise o inventário de remetentes, os registros de DNS, os relatórios DMARC e as responsabilidades em uma frequência definida. - Alterne seletores e chaves DKIM usando um período de sobreposição que preserve assinaturas válidas. - Valide novamente a quantidade de consultas SPF sempre que uma inclusão ou um serviço de envio mudar. - Acompanhe alterações de política, aprovações, valores publicados, evidências de validação e resultados de reversão. - Emita alertas sobre novas fontes, queda nas taxas de aprovação, relatórios ausentes e falhas repentinas de alinhamento. - Remova autorizações obsoletas depois de confirmar que o fluxo relacionado está inativo. - Reavalie os limites dos subdomínios e a aplicação da política conforme mudarem o risco, o volume ou o uso empresarial.