DMARC para empresas: como reduzir fraudes com o domínio de e-mail

O domínio de e-mail é parte da identidade da empresa e precisa de controles próprios

Configurar autenticação de e-mail não é apenas uma tarefa de DNS. É um processo que envolve marketing, financeiro, fornecedores, sistemas de cobrança, plataformas de atendimento e qualquer ferramenta que envie mensagens usando o domínio corporativo. Quando esses envios não são mapeados, uma política rígida pode bloquear e-mails legítimos; quando não há política, golpistas podem tentar se passar pela empresa com mais facilidade. O caminho seguro é descobrir os remetentes reais, publicar registros corretos, acompanhar relatórios e evoluir a proteção de forma controlada.

Riscos que merecem atenção

• Clientes, fornecedores ou colaboradores receberem mensagens fraudulentas que usam o domínio da empresa como remetente aparente.
• Serviços legítimos de cobrança, marketing ou atendimento falharem porque não foram incluídos na autenticação do domínio.
• Manter registros SPF excessivamente amplos, duplicados ou acima do limite de consultas, reduzindo a confiabilidade da validação.
• Publicar DMARC em modo de monitoramento e nunca revisar relatórios, deixando fraudes e falhas de configuração sem tratamento.

Entenda o problema que SPF, DKIM e DMARC resolvem

O endereço que aparece no campo “De” de um e-mail pode ser imitado com relativa facilidade. Sem controles adicionais, um provedor destinatário nem sempre consegue diferenciar uma mensagem realmente enviada pela empresa de uma mensagem entregue por um servidor de terceiros usando o mesmo nome. SPF, DKIM e DMARC fornecem sinais técnicos para essa decisão. O SPF publica no DNS quais origens podem enviar para o domínio. O DKIM inclui uma assinatura que o destinatário consulta no DNS para validar a mensagem. O DMARC avalia se essas verificações estão alinhadas ao domínio que o usuário enxerga no remetente e define uma orientação para casos de falha. Na prática, o conjunto reduz oportunidades de personificação, melhora a entrega de e-mails legítimos quando bem configurado e oferece visibilidade sobre quem está tentando usar o domínio. Ainda assim, uma mensagem pode ser perigosa mesmo passando nos controles; filtros, treinamento e conferência de pagamentos continuam necessários.

Mapeie todos os serviços que enviam em nome da empresa

Antes de alterar registros, faça uma lista completa dos remetentes autorizados. Além do Microsoft 365 ou Google Workspace, considere ERP, sistema financeiro, plataforma de assinatura, CRM, newsletter, ferramenta de chamados, site, scanner multifuncional, monitoramento, fornecedor de hospedagem e aplicações desenvolvidas sob medida. Para cada serviço, registre o domínio ou subdomínio usado, a finalidade, o responsável interno, a documentação de autenticação solicitada pelo fornecedor e se o envio ainda é necessário. Esse inventário evita dois erros recorrentes: autorizar de forma ampla serviços desconhecidos e interromper uma comunicação importante ao endurecer a política. Também vale separar fluxos por subdomínio quando fizer sentido, como comunicados, marketing ou notificações de sistema. Essa organização limita o impacto de uma configuração inadequada e facilita identificar o que deve ser revogado quando uma ferramenta deixa de ser utilizada.

Publique SPF com escopo mínimo e manutenção contínua

O registro SPF deve listar apenas os servidores e provedores que realmente enviam mensagens pelo domínio. Ele é publicado no DNS como um registro TXT e precisa ser único por domínio: criar vários registros SPF não combina permissões, normalmente causa falha de validação. Evite adicionar serviços “por precaução” ou incluir mecanismos muito amplos, pois eles podem autorizar origens que a empresa não controla. Há também um limite técnico de consultas DNS durante a avaliação do SPF; ambientes que acumulam muitos fornecedores devem revisar a estrutura em vez de simplesmente adicionar mais entradas. Quando um sistema deixa de enviar e-mails, remova sua autorização após confirmar que não há dependências. Trate o SPF como uma lista de acesso: documentada, revisada e vinculada a responsáveis. Isso reduz a superfície de abuso e torna investigações futuras mais objetivas.

Ative DKIM para comprovar a integridade das mensagens

O DKIM adiciona uma assinatura criptográfica aos e-mails enviados por uma plataforma autorizada. O servidor destinatário busca a chave pública indicada no DNS e verifica se a assinatura corresponde ao conteúdo recebido. Para a empresa, o ponto importante é habilitar DKIM em cada provedor de envio compatível e acompanhar a rotação de chaves quando o fornecedor oferecer esse recurso. Use seletores identificáveis, mantenha a documentação de qual serviço utiliza cada um e evite apagar uma chave enquanto mensagens antigas ainda possam ser validadas. Alguns fluxos encaminhados ou alterados por intermediários podem afetar a assinatura; por isso, a validação deve considerar o comportamento real das mensagens enviadas. DKIM não é uma senha de e-mail nem impede que alguém crie uma conta parecida com a sua marca. Ele ajuda a provar que uma mensagem legítima saiu de uma origem autorizada e não foi adulterada em elementos relevantes.

Use DMARC primeiro para observar, depois para proteger

DMARC permite publicar uma política para as mensagens que usam o domínio no remetente visível e falham no alinhamento de SPF e DKIM. A implantação responsável começa com uma política de monitoramento, que solicita relatórios sem pedir bloqueio. Esses relatórios mostram fontes que enviam pelo domínio, taxas de aprovação e possíveis tentativas de abuso. Depois de corrigir os fluxos legítimos, a empresa pode aumentar gradualmente a ação solicitada aos destinatários: primeiro quarentena e, quando houver confiança no inventário, rejeição. A mudança não deve ser feita às pressas. Analise relatórios por algumas semanas, confirme com as áreas de negócio cada origem desconhecida e mantenha um processo para novos fornecedores. Defina também um endereço ou serviço seguro para receber os relatórios, pois eles podem conter dados operacionais sobre o tráfego de e-mail. A política deve ser revisada após migrações, aquisições de ferramentas ou alteração do provedor de e-mail.

Combine autenticação do domínio com controles de pessoas e processos

DMARC reduz o uso indevido direto do domínio, mas não elimina golpes com domínios parecidos, contas comprometidas ou mensagens enviadas por parceiros legítimos. Por isso, mantenha MFA obrigatório, principalmente em contas administrativas e financeiras; restrinja regras de encaminhamento externo; monitore logins suspeitos; e crie um processo de confirmação fora do e-mail para mudança de dados bancários, pagamentos e pedidos urgentes. Treinamento prático ajuda colaboradores a reconhecer urgência artificial, links suspeitos e endereços semelhantes. Para clientes e fornecedores, comunique canais oficiais e procedimentos de confirmação quando houver transações sensíveis. A equipe técnica também precisa monitorar a reputação do domínio e investigar rejeições que afetem comunicações reais. Quando segurança, operação e financeiro compartilham esse processo, a autenticação de e-mail deixa de ser uma configuração isolada e passa a proteger a relação de confiança construída pela empresa.

Checklist prático

• Inventariar todos os sistemas, fornecedores e subdomínios autorizados a enviar e-mails em nome da empresa.
• Manter um único registro SPF por domínio, com permissões mínimas, responsáveis definidos e revisão após cada mudança de fornecedor.
• Habilitar DKIM nos provedores compatíveis, documentar seletores e acompanhar a rotação de chaves.
• Publicar DMARC inicialmente em monitoramento, analisar relatórios e corrigir fluxos legítimos antes de aplicar quarentena ou rejeição.
• Combinar autenticação do domínio com MFA, proteção contra phishing e confirmação externa para solicitações financeiras sensíveis.

Sua empresa sabe quais sistemas podem enviar e-mails usando o seu domínio?

A DT Cyber Solutions ajuda empresas a mapear remetentes autorizados, revisar SPF, DKIM e DMARC, proteger contas de e-mail e reduzir riscos de fraude sem interromper comunicações essenciais.