DMARC.

Domain-based Message Authentication, Reporting and Conformance (DMARC), especificado no RFC 7489, complementa o SPF (RFC 7208) e o DKIM (RFC 6376) exigindo o alinhamento de identificadores entre o domínio visível do campo From: e o domínio autenticado por SPF ou DKIM. Isto fecha a lacuna que estes dois protocolos deixam em aberto: o SPF e o DKIM validam, cada um, um domínio, mas nenhum garante que seja aquele que o destinatário realmente vê. O titular do domínio publica um registo TXT em _dmarc.<domain> que contém uma política (p=none, quarantine ou reject), o tratamento de subdomínios (sp=), o modo de alinhamento (aspf/adkim, relaxado ou estrito), uma percentagem de implementação (pct=) e as URIs de relatórios (rua, ruf).

Implementação e aplicação

O caminho seguro de implementação começa com p=none: os relatórios agregados XML (RFC 7489) revelam todos os remetentes legítimos — incluindo plataformas de marketing e de bilhética esquecidas — para que possam ser autenticados antes de apertar para quarantine e depois reject. Saltar este passo faz desaparecer correio legítimo.

O DMARC sustenta o BIMI (que mostra um logótipo de marca verificado apenas em p=quarantine/reject) e tornou-se um requisito prático quando as regras para remetentes em massa da Google e do Yahoo entraram em vigor em February 2024, exigindo que os remetentes de ~5,000 ou mais mensagens/dia para o Gmail passem SPF ou DKIM alinhados, publiquem pelo menos p=none e ofereçam o cancelamento de subscrição num clique (one-click unsubscribe). A revisão DMARCbis publicada em 2026 torna o RFC 7489 obsoleto, mantendo os registos v=DMARC1 a funcionar e substituindo as consultas à Public Suffix List por um "Tree Walk" de DNS para encontrar o domínio organizacional.

flowchart TD
  A[Mensagem recebida] --> B{SPF aprovado?}
  A --> C{DKIM aprovado?}
  B --> D{From alinhado<br/>com dominio SPF?}
  C --> E{From alinhado<br/>com dominio DKIM?}
  D --> F{Alguma verificacao<br/>passa e alinha?}
  E --> F
  F -->|Sim| G[DMARC aprovado - entregar]
  F -->|Nao| H[Aplicar politica p=]
  H --> I[none: monitorizar]
  H --> J[quarantine: pasta de spam]
  H --> K[reject: devolver]
  G & H --> L[Enviar relatorio agregado rua ao titular]