Leitor de relatórios DMARC

Os relatórios DMARC chegam como anexos XML compactados que nenhum programa de e-mail sabe exibir. Solte-os aqui para obter uma tabela com cada servidor que enviou e-mail em nome do seu domínio, ordenada pelo que você deve fazer a respeito.

Os relatórios são abertos e lidos dentro do seu navegador. Os arquivos não são enviados e nada é guardado.

Uma contagem diária de cada provedor de e-mail

Um registro DMARC é uma linha no DNS do seu domínio. Uma das tags dele, rua=mailto:reports@yourdomain.com, pede a todo provedor que recebe e-mails que dizem vir do seu domínio que mande um resumo para esse endereço. Google, Microsoft, Yahoo e muitos outros fazem isso, geralmente uma vez a cada 24 horas.

Esses relatórios “agregados” não trazem o texto das mensagens nem os nomes dos destinatários, só contagens. Cada linha diz que um endereço IP enviou certo número de mensagens com o seu domínio no campo From, e como essas mensagens se saíram:

<record>
  <row>
    <source_ip>198.51.100.24</source_ip>
    <count>312</count>
    <policy_evaluated>
      <disposition>none</disposition>
      <dkim>pass</dkim>
      <spf>fail</spf>
    </policy_evaluated>
  </row>
  <identifiers><header_from>yourdomain.com</header_from></identifiers>
  <auth_results>…</auth_results>
</record>

Um único domínio com alguns serviços de envio recebe facilmente vários arquivos por dia, cada um com dezenas de linhas. O leitor soma tudo para que você não precise.

Por que um pass ainda pode falhar: o alinhamento

O DMARC fica por cima de duas verificações mais antigas. O SPF pergunta se o servidor de envio tem permissão para enviar pelo domínio do endereço de retorno oculto. O DKIM pergunta se a mensagem tem uma assinatura válida de algum domínio. Nenhum dos dois olha o campo From que uma pessoa lê.

O DMARC faz essa ligação. Uma mensagem passa no DMARC quando o SPF ou o DKIM passa para um domínio que corresponde ao campo From. Essa correspondência se chama alinhamento. Um serviço de newsletter pode passar no SPF para o próprio domínio e assinar cada mensagem com a própria chave DKIM, e ainda assim falhar no DMARC para você, porque nenhum dos resultados menciona o seu domínio.

Num relatório, policy_evaluated contém os resultados alinhados e auth_results contém os resultados brutos com os domínios envolvidos. O leitor usa o primeiro para os rótulos “Alinhado” e mostra o segundo em pequenas notas logo abaixo, para você ver qual domínio passou.

Como o leitor classifica os remetentes

As linhas são reunidas por endereço IP em todos os arquivos que você soltar e depois agrupadas por serviço. Se a opção de identificação estiver ativada, nosso servidor consulta o nome DNS reverso e o dono da rede de cada endereço. Uns trinta serviços comuns, do Google e do Microsoft 365 ao SendGrid, Mailchimp e Amazon SES, são reconhecidos por esses nomes. Cada endereço recebe um de cinco rótulos:

RótuloRegra
Seu, em conformidadeToda mensagem desse endereço teve SPF alinhado ou DKIM alinhado.
Seu, parcialmente em conformidadeAlgumas mensagens alinharam, outras não. Muitas vezes é um mesmo serviço com dois fluxos de e-mail configurados de jeitos diferentes.
Seu, a corrigirNada alinhou, mas o endereço pertence a um serviço reconhecido, passa para outro domínio ou tem um nome reverso dentro do seu próprio domínio. É quase certamente uma ferramenta que você usa e que nunca foi configurada para o seu domínio.
Provável encaminhamentoNada alinhou, mas a mensagem tinha uma assinatura DKIM do seu domínio. Ela foi enviada corretamente e depois alterada ou repassada por uma lista de discussão ou por um encaminhamento automático.
Provável falsificaçãoNada alinhou e nada liga o endereço a você.

O resumo no topo mostra o volume total, a parcela em conformidade (verde a partir de 98%, laranja a partir de 75%), o número de mensagens de remetentes desconhecidos e a política que os relatórios dizem que você publica.

Os dois últimos rótulos são deduções feitas a partir de nomes e assinaturas, então não os tome como fatos. Um pequeno provedor de e-mail regional pode ser desconhecido do leitor e ainda assim ser seu. Antes de tratar uma origem como hostil, veja o volume dela, o nome reverso e os domínios From que ela usou.

Da tabela a uma política aplicada

  1. Corrija cada grupo “a corrigir”. Nas configurações do serviço, procure “autenticação de domínio”, “domínio de envio” ou “DKIM”. Ele vai dar dois ou três registros DNS para publicar, geralmente CNAMEs. Quando estiverem no ar, o serviço assina com o seu domínio e as linhas ficam verdes nos relatórios seguintes.
  2. Deixe o encaminhamento em paz. Você não tem como consertar o que um terceiro repassa. Essas linhas continuam pequenas.
  3. Endureça a política. Quando os seus próprios remetentes estiverem em conformidade por duas a quatro semanas, troque p=none por p=quarantine e, mais tarde, por p=reject. Uma tag pct abaixo de 100 aplica a política só a essa parcela dos e-mails que falham. Remova-a no final.

Para revisar o próprio registro, há a verificação de SPF, DKIM e DMARC. Para escrever um novo, use o gerador de registros.

O formato tem seus limites. Um relatório cobre só os provedores que enviam relatórios e só o período do seu intervalo de datas, e nunca diz a qual pessoa ou campanha uma mensagem pertencia. O leitor aceita até 200 arquivos de cada vez, 50 MB cada, e ignora duplicatas.

Perguntas frequentes

Como abro um relatório DMARC em XML?

Salve o anexo do e-mail do relatório e solte-o nesta página do jeito que está. O leitor descompacta arquivos .zip e .gz sozinho e aceita muitos arquivos de uma vez.

Por que meu relatório mostra SPF pass mas DMARC fail?

O SPF passou para o domínio do return-path, que pertence ao serviço que enviou a mensagem, não para o seu domínio. O DMARC precisa de um pass alinhado com o endereço From. A correção habitual é ativar o DKIM para o seu próprio domínio nesse serviço.

Quem são os endereços IP desconhecidos no meu relatório DMARC?

É uma de três coisas: um serviço que você usa e esqueceu, um encaminhador repassando seus e-mails legítimos ou alguém falsificando o seu domínio. O nome reverso e o dono da rede mostrados sob cada endereço geralmente dizem qual.

Por quanto tempo devo ficar em p=none?

O suficiente para ver cada remetente legítimo aparecer nos relatórios e colocá-lo em conformidade, o que normalmente leva algumas semanas. Não esqueça os envios mensais e trimestrais, como faturas ou newsletters, antes de endurecer.

Meus relatórios DMARC são enviados para o seu servidor?

Não. O seu navegador faz a descompactação e a leitura. Se você deixar a opção de identificação marcada, a lista de endereços IP de envio vai para o nosso servidor para que ele consulte os nomes deles, e nada é guardado.

Qual é a diferença entre os relatórios rua e ruf?

rua pede os relatórios agregados que esta página lê, que são contagens diárias por endereço de envio. ruf pede relatórios forenses sobre mensagens individuais que falharam. Poucos provedores enviam esses, por razões de privacidade, e este leitor não os trata.

Verificações relacionadas