# Qualquer pessoa pode enviar e-mails em seu nome. Entenda por quê

Por que um estranho pode enviar um e-mail que parece ter saído do seu domínio, e os três registros que impedem isso.

O e-mail foi projetado muito antes de alguém se preocupar com falsificações. Quando uma mensagem chega, a linha "de" é apenas um texto digitado pelo remetente. Nada no desenho original verifica isso.

É assim que alguém consegue enviar aos seus clientes uma fatura que parece ter saído de você.

## Os três registros que resolvem isso

O seu domínio pode publicar três pequenas notas no seu DNS, o catálogo público de endereços do seu domínio. Os servidores de e-mail as leem antes de confiar em uma mensagem.

* **SPF** lista os serviços autorizados a enviar e-mails pelo seu domínio, como o seu provedor de e-mail e a sua ferramenta de newsletter.
* **DKIM** adiciona uma assinatura a cada mensagem, para que um servidor de e-mail possa saber que ela realmente veio de você e não foi alterada no caminho.
* **DMARC** diz aos servidores de e-mail o que fazer com uma mensagem que falha nessas verificações, por exemplo mandá-la para o spam ou rejeitá-la, e para onde enviar os relatórios.

Com os três em vigor e o DMARC definido como quarentena ou rejeição, uma mensagem falsa do seu domínio vai para o spam ou é devolvida.

## Por que dá errado

A maioria dos domínios tem SPF mas não tem DMARC, ou tem DMARC definido como "none", que apenas observa e nunca bloqueia. Outros listam serviços demais no SPF e estouram o limite de consultas, então o registro deixa de funcionar.

Um domínio que nunca envia e-mails também não está seguro por padrão. Os servidores de e-mail avaliam o domínio que aparece na linha "de", não se ele tem uma caixa de correio, então um domínio parado, sem regras, é fácil de falsificar, e você nunca vê as devoluções. São necessários três registros para fechar a brecha: uma regra DMARC definida como rejeição, um registro SPF que não autoriza nenhum remetente (`v=spf1 -all`) e um registro vazio de servidor de e-mail (`0 .`).

Uma verificação lê esses registros do mesmo jeito que um servidor de e-mail faria, então pode dizer exatamente qual deles está faltando ou fraco.

> **Try it**
>
> Abra [as suas coisas para corrigir](/app/findings) e procure qualquer item sobre
> e-mail. Cada um traz o registro a adicionar e um prompt para a sua IA.