DMARC: passar de p=none para p=quarantine sem perder emails

O que muda

• p=none: os servidores de email não fazem nada de diferente. Só te mandam relatórios.
• p=quarantine: um email que diga ser teu e falhe o DMARC vai para o spam.
• p=reject: esse email é recusado e nem chega a entrar.

Um email passa no DMARC se passar no SPF ou no DKIM com o teu domínio. Basta um dos dois.

Quando é seguro mudar

Quando todos os serviços que enviam email em teu nome passam no DMARC. Faz a lista:

• O teu email (Google Workspace, Microsoft 365 ou outro).
• A loja ou o site: confirmações de encomenda, formulários de contacto.
• Newsletters e marketing (Klaviyo, Mailchimp, Brevo…).
• Faturação, CRM, apoio ao cliente, marcações: tudo o que envie emails com o teu endereço.

Para cada um, confirma que o DKIM está ligado com o teu domínio. É o mais seguro, porque não falha quando um email é reencaminhado. Costuma levar 2 a 4 semanas de p=none até teres a certeza.

DKIM no Google Workspace, passo a passo

DKIM no Microsoft 365, passo a passo

Passo 1: confirmar com os relatórios e com um teste

Os relatórios que chegam ao endereço do rua= dizem, dia a dia, que servidores enviaram email em teu nome e se passaram. Vêm em ficheiros técnicos, mas há ferramentas grátis que os resumem, e cada uma explica que endereço pôr no rua=:

• Postmark DMARC: um resumo semanal por email.
• Cloudflare DMARC Management: se o DNS do teu domínio estiver na Cloudflare.

O que procurar: serviços teus a falhar. Esses têm de ser corrigidos antes da mudança. Servidores que não conheces a falhar são, muitas vezes, exatamente os emails falsos que a mudança vai travar.

Teste rápido: envia um email de cada serviço para uma conta Gmail, abre-o, carrega nos três pontos › Mostrar original (Show original) e confirma que a linha do DMARC diz PASS.

Passo 2: mudar o registo

No painel de DNS, edita o registo TXT _dmarc que já tens (não cries outro: só pode haver um) e troca p=none por p=quarantine:

Tipo

TXT

Nome (anfitrião)

_dmarc

Valor

v=DMARC1; p=quarantine; rua=mailto:dmarc@aminhaempresa.pt

Mantém o rua=: vais precisar dos relatórios para ver o que acontece a seguir.

Passo 3: vigiar as primeiras semanas

Nas 2 a 4 semanas seguintes, vê os resumos dos relatórios e pergunta a quem trabalhar contigo se algum email verdadeiro começou a ir para o spam, por exemplo confirmações de encomenda ou faturas.

Se algo verdadeiro falhar, volta a pôr p=none enquanto corriges esse serviço. A mudança chega em minutos a horas, e voltar atrás não faz perder nada.

Depois da mudança, verifica o domínio: o aviso «A regra contra emails falsos está só a observar» desaparece.

E o p=reject?

p=quarantine já tira os emails falsos da caixa de entrada. p=reject é o passo final, em que nem chegam a entrar: só vale a pena quando os relatórios estiverem limpos há semanas com p=quarantine.

Erros que vemos muitas vezes

• Mudar logo no primeiro dia, sem olhar para os relatórios: as faturas ou as newsletters começam a ir para o spam.
• Criar um segundo registo _dmarc em vez de editar o que existe. Com dois, o DMARC é ignorado.
• Apagar o rua= na mudança: ficas sem forma de ver o que está a falhar.
• Esquecer um serviço que envia raramente, como a faturação mensal: só se dá por ele quando o email falha.

Para não teres de voltar a verificar

Se alguém voltar a pôr p=none ou apagar o registo _dmarc, ninguém dá por isso. O Excubitor pode vigiar o domínio todas as semanas e escrever-te só quando algo muda. Grátis para 1 domínio: faz a verificação e carrega em «Avisa-me».