Qualquer pessoa pode enviar e-mails em seu nome. Entenda por quê

O e-mail foi projetado muito antes de alguém se preocupar com falsificações. Quando uma mensagem chega, a linha "de" é apenas um texto digitado pelo remetente. Nada no desenho original verifica isso.

É assim que alguém consegue enviar aos seus clientes uma fatura que parece ter saído de você.

Os três registros que resolvem isso

O seu domínio pode publicar três pequenas notas no seu DNS, o catálogo público de endereços do seu domínio. Os servidores de e-mail as leem antes de confiar em uma mensagem.

• SPF lista os serviços autorizados a enviar e-mails pelo seu domínio, como o seu provedor de e-mail e a sua ferramenta de newsletter.
• DKIM adiciona uma assinatura a cada mensagem, para que um servidor de e-mail possa saber que ela realmente veio de você e não foi alterada no caminho.
• DMARC diz aos servidores de e-mail o que fazer com uma mensagem que falha nessas verificações, por exemplo mandá-la para o spam ou rejeitá-la, e para onde enviar os relatórios.

Com os três em vigor e o DMARC definido como quarentena ou rejeição, uma mensagem falsa do seu domínio vai para o spam ou é devolvida.

Por que dá errado

A maioria dos domínios tem SPF mas não tem DMARC, ou tem DMARC definido como "none", que apenas observa e nunca bloqueia. Outros listam serviços demais no SPF e estouram o limite de consultas, então o registro deixa de funcionar.

Um domínio que nunca envia e-mails também não está seguro por padrão. Os servidores de e-mail avaliam o domínio que aparece na linha "de", não se ele tem uma caixa de correio, então um domínio parado, sem regras, é fácil de falsificar, e você nunca vê as devoluções. São necessários três registros para fechar a brecha: uma regra DMARC definida como rejeição, um registro SPF que não autoriza nenhum remetente (v=spf1 -all) e um registro vazio de servidor de e-mail (0 .).

Uma verificação lê esses registros do mesmo jeito que um servidor de e-mail faria, então pode dizer exatamente qual deles está faltando ou fraco.