Como ler um relatório DMARC (guia passo a passo para remetentes B2B)

Um relatório agregado DMARC é um resumo enviado pelos fornecedores de caixas de correio que mostra o desempenho dos e-mails que afirmam ser provenientes do seu domínio face a verificações de autenticação, como SPF e DKIM.

Estes relatórios são essenciais para compreender quem está a enviar e-mails em seu nome, o volume de e-mails enviados e se esses e-mails estão a passar na autenticação. Constituem a principal fonte de informação fiável para identificar remetentes legítimos, erros de configuração e potenciais abusos.

No entanto, mesmo os administradores de TI experientes têm frequentemente dificuldade em interpretar os relatórios DMARC. Os dados são densos, altamente técnicos e difíceis de traduzir em medidas claras e exequíveis para melhorar a capacidade de entrega e a segurança do e-mail.

Para as equipas não técnicas, o desafio é ainda maior. Os relatórios são apresentados em formato XML e oferecem poucas orientações sobre o que é realmente importante ou o que deve ser corrigido em primeiro lugar.

Neste guia, analisamos os relatórios agregados do DMARC, dividindo-os em componentes práticos, explicamos em que se deve concentrar e mostramos como transformar os dados em ações significativas para melhorar o desempenho do e-mail.

Tipos de relatórios DMARC

A norma DMARC define dois tipos de relatórios. No entanto, apenas um deles está sempre disponível e é útil para a maioria das equipas B2B responsáveis pela entregabilidade de e-mail.

Relatórios agregados do DMARC (RUA)

Os relatórios agregados do DMARC (RUA) são os principais relatórios com os quais irá trabalhar.

São enviados diariamente pelos fornecedores de serviços de e-mail e apresentam um resumo, ao nível do domínio, de toda a atividade de e-mail observada durante um determinado período de tempo. Cada relatório agrupa as mensagens por origem de envio e apresenta os resultados da autenticação para SPF, DKIM e DMARC.

Os fornecedores de serviços de correio eletrónico, como a Google e a Microsoft, disponibilizam regularmente relatórios agregados. Por conseguinte, constituem a base da monitorização do DMARC e são o foco principal deste guia.

Relatórios forenses DMARC (RUF)

Os relatórios forenses DMARC (RUF) foram concebidos para fornecer detalhes ao nível da mensagem quando a autenticação falha.

Na realidade, raramente estão disponíveis. Muitos fornecedores de serviços de e-mail já não os enviam ou ocultam grande parte dos dados devido a restrições de privacidade. O apoio varia consideravelmente e a maioria dos domínios B2B nunca recebe relatórios forenses, mesmo quando estes são solicitados.

Consequentemente, a maioria das equipas baseia-se quase exclusivamente em relatórios agregados para o acompanhamento contínuo e a tomada de decisões.

O que contém um relatório agregado do DMARC?

Um relatório agregado DMARC é um resumo estruturado da atividade de e-mail associada ao seu domínio durante um período definido. Estes relatórios têm um âmbito intencionalmente limitado. Não mostram mensagens individuais, conteúdos nem destinatários. Em vez disso, centram-se em sinais de autenticação de alto nível que os fornecedores de caixas de correio estão dispostos a partilhar em grande escala.

Uma vez que os relatórios são fornecidos como ficheiros XML, não se destinam a uma análise manual. A maioria das equipas recorre a ferramentas de análise ou a plataformas DMARC para tornar os dados legíveis. Esta limitação é também a razão pela qual os relatórios agregados são preferidos pelos fornecedores de caixas de correio. Estes relatórios equilibram a visibilidade com a privacidade e são consistentemente suportados pelos principais fornecedores.

A nível estrutural, todos os relatórios agregados DMARC contêm os mesmos componentes essenciais.

Organização responsável pelo relatório

Isto identifica o fornecedor de e-mail que gerou o relatório. Entre as organizações que costumam emitir relatórios contam-se a Google e a Microsoft. Cada fornecedor envia o seu próprio relatório com base no tráfego que observou para o seu domínio.

Intervalo de datas

O relatório abrange um intervalo de tempo específico, normalmente um período de 24 horas. Isto permite-lhe acompanhar o comportamento de autenticação dia a dia e identificar alterações ao longo do tempo, em vez de eventos isolados.

Envio de fontes

As fontes de envio são listadas ao nível do endereço IP. Cada fonte representa um servidor que enviou e-mails utilizando o seu domínio durante o período abrangido pelo relatório.

Volume de mensagens por fonte

Para cada fonte de envio, o relatório inclui o número de mensagens registadas, proporcionando uma visão do volume de e-mails enviados por cada endereço IP em nome do seu domínio durante o intervalo de tempo especificado.

Resultados da autenticação

Cada fonte de envio inclui resultados de autenticação baseados em três mecanismos.

o Os resultados do SPF indicam se o servidor remetente estava autorizado a enviar e-mails em nome do domínio.

o Os resultados do DKIM indicam se as mensagens foram assinadas criptograficamente e se o domínio de assinatura corresponde ao domínio visível no campo «De».

o A disposição DMARC indica como o fornecedor do serviço de correio eletrónico tratou as mensagens com base na política DMARC que publicou.

Estrutura passo a passo para ler um relatório DMARC 

Os relatórios agregados do DMARC são fornecidos sob a forma de ficheiros XML. Embora possam parecer técnicos, não é necessário compreender todas as etiquetas para extrair informações significativas dos mesmos.

Eis um exemplo simplificado de um relatório agregado DMARC para o domínio example.com.

<feedback>
  <report_metadata>
    <org_name>google.com</org_name>
    <email>noreply-dmarc-support@google.com</email>
    <date_range>
      <begin>1705968000</begin>
      <end>1706054399</end>
    </date_range>
  </report_metadata>

  <policy_published>
    <domain>example.com</domain>
    <p>none</p>
    <adkim>r</adkim>
    <aspf>r</aspf>
  </policy_published>

  <record>
    <row>
      <source_ip>209.85.220.41</source_ip>
      <count>120</count>
      <policy_evaluated>
        <disposition>none</disposition>
        <dkim>pass</dkim>
        <spf>pass</spf>
      </policy_evaluated>
    </row>
  </record>

  <record>
    <row>
      <source_ip>198.51.100.23</source_ip>
      <count>450</count>
      <policy_evaluated>
        <disposition>none</disposition>
        <dkim>pass</dkim>
        <spf>fail</spf>
      </policy_evaluated>
    </row>
  </record>

  <record>
    <row>
      <source_ip>203.0.113.77</source_ip>
      <count>6</count>
      <policy_evaluated>
        <disposition>none</disposition>
        <dkim>fail</dkim>
        <spf>fail</spf>
      </policy_evaluated>
    </row>
  </record>
</feedback>

Não é necessário ler isto linha a linha. Em vez disso, aplique sempre os seguintes quatro passos.

Passo 1: Quem enviou o e-mail

Look for the <source_ip> field in each record.

Neste exemplo, três endereços IP enviaram e-mails utilizando o domínio example.com. Cada IP representa um sistema remetente detetado pelo fornecedor da caixa de correio. Nesta fase, a sua única tarefa é a identificação. Verifique se o IP pertence a uma fonte conhecida, como o Google Workspace, o Microsoft 365, uma ferramenta de prospeção comercial ou uma plataforma de marketing.

Passo 2: Volume de e-mails enviados

Next, look at the <count> value for each source.

O volume ajuda-o a definir prioridades. As fontes com volume elevado são mais importantes do que as fontes com volume reduzido. Um único endereço IP desconhecido que envie milhares de e-mails merece uma investigação imediata. Algumas mensagens podem indicar simplesmente tentativas de falsificação de endereço em segundo plano.

Passo 3: A autenticação foi bem-sucedida?

Ao analisar um relatório agregado do DMARC, está a responder a três perguntas fundamentais para cada fonte de envio. Cada uma delas corresponde diretamente a uma etiqueta XML específica no relatório.

Now look at the authentication outcomes inside <policy_evaluated>.

Ainda não estás a diagnosticar as causas profundas. Estás simplesmente a observar os resultados:

• O SPF foi aprovado?

SPF results appear in the <policy_evaluated> block under the <spf> tag. If the report shows <spf>fail</spf>, SPF validation failed. The sending IP was not authorized by your domain’s SPF record at the time the message was evaluated.

If it shows <spf>pass</spf>, the sending server was authorized to send email on behalf of the domain.

• O DKIM foi aprovado?

DKIM results appear under the <dkim> tag in the same block. A value of <dkim>pass</dkim> means the message was correctly signed and the signature aligned with the visible From domain.

A value of <dkim>fail</dkim> means the message was not properly signed, the signature was invalid, or domain alignment failed.

• O DMARC considerou-o em conformidade?

DMARC’s final decision appears in the <disposition> tag. A value of <disposition>none</disposition> means no enforcement was applied, which is typical when a domain is in monitoring mode.

Valores como «quarentena» ou «rejeição» indicam que a mensagem não passou na avaliação DMARC e que foram aplicadas medidas de conformidade de acordo com a política publicada.

Estas três etiquetas correspondem à terceira etapa do modelo que viu anteriormente. Depois de saber quem enviou o e-mail e qual a quantidade enviada, o SPF, o DKIM e a disposição indicam se essa atividade foi autenticada e como os fornecedores de caixas de correio a trataram.

Passo 4: Avaliar se o padrão é o esperado

Por fim, combine os resultados relativos à identidade, ao volume e à autenticação.

• É esperado que um endereço IP conhecido do Google Workspace passe nas verificações SPF e DKIM.
• É normal que uma ferramenta conhecida não passe na verificação SPF, mas passe na verificação DKIM.
• É inesperado que um endereço IP desconhecido não passe em ambas as verificações, mesmo com um volume reduzido.

É aqui que o XML em bruto se torna um sinal que pode ser aproveitado.

Como interpretar os sinais de autenticação?

Depois de saber quem enviou o e-mail e o volume enviado, o próximo passo é interpretar os resultados da autenticação. É aqui que os relatórios DMARC se tornam úteis para a tomada de decisões.

Os resultados da autenticação ajudam os fornecedores de caixas de correio a decidir se um e-mail é fiável. A sua função é compreender o que estes sinais significam e como os interpretar.

Fontes de envio e tendências de volume
Cada linha de um relatório DMARC representa um grupo de mensagens provenientes de um IP específico. As tendências de volume são importantes porque os fornecedores de caixas de correio constroem a sua reputação de forma gradual. Picos repentinos indicam frequentemente erros de configuração, novas ferramentas ou abuso.

‍Um volume baixo, mas recorrente, proveniente de endereços IP desconhecidos, costuma indicar tentativas de falsificação de domínio.

Resultados do SPF
O SPF verifica se um endereço IP remetente está autorizado a enviar e-mails em nome do seu domínio.

‍As falhas do SPF são comuns e nem sempre constituem um problema. Ocorrem frequentemente devido ao reencaminhamento, a registos incompletos ou a ferramentas que, em vez disso, recorrem ao DKIM.

Uma falha do SPF torna-se motivo de preocupação quando se repete em grande escala ou quando se combina com falhas do DKIM.

Resultados do DKIM
O DKIM verifica a integridade da mensagem e a correspondência do domínio. É o sinal de autenticação mais forte para a capacidade de entrega B2B, uma vez que resiste ao reencaminhamento e goza de grande confiança por parte da Google e da Microsoft.
Para a maioria dos remetentes B2B, a realização consistente de verificações DKIM e a correspondência entre todas as ferramentas são condições imprescindíveis.

Compreender os resultados da política DMARC

As políticas DMARC definem a forma como os fornecedores de caixas de correio devem tratar os e-mails que não passam nas verificações de autenticação. Estes resultados aparecem nos relatórios agregados como o destino final para cada fonte de envio.

Estas políticas gerem a exposição ao risco, não a colocação na caixa de entrada. Controlam o que acontece aos e-mails não autenticados, não se os e-mails autenticados chegam à caixa de entrada.

As políticas DMARC reduzem a exposição à falsificação de identidade e à utilização não autorizada do seu domínio. Por si só, não melhoram o envolvimento, a reputação do remetente nem a entrega na caixa de entrada.

A autenticação comprova a legitimidade. A capacidade de entrega é determinada pela reputação e pelo comportamento ao longo do tempo.

Identificação de remetentes legítimos vs. abusos

Depois de compreender os resultados da autenticação, o próximo passo é decidir quais as fontes de envio que são fiáveis e quais as que requerem atenção.

Esta conclusão raramente se baseia num único sinal. Endereços IP desconhecidos ou falhas de autenticação isoladas não indicam, por si só, abuso. A certeza é estabelecida através de padrões observados ao longo do tempo, especialmente quando se verificam volume e repetição.

Como classificar cada fonte de envio

Uma boa forma de analisar os relatórios DMARC é classificar cada linha numa de três categorias.

Esta classificação simples mantém a análise do DMARC eficiente e evita alterações desnecessárias que possam perturbar o fluxo legítimo de e-mails.

Padrões comuns de falhas no DMARC

Os relatórios agregados do DMARC tendem a apresentar as mesmas combinações de resultados de autenticação ao longo do tempo. Estas combinações são úteis porque apontam para causas prováveis, e não para causas garantidas.

Os fornecedores de caixas de correio avaliam a autenticação de forma ligeiramente diferente, e os percursos de envio podem variar consoante o reencaminhamento, os gateways e as ferramentas utilizadas. Os padrões abaixo devem ser interpretados como atalhos de diagnóstico, e não como conclusões absolutas.

• SPF aprovado, DKIM reprovado
  Frequentemente, o DKIM está em falta ou mal configurado.
  
  
• DKIM aprovado, SPF reprovado
  É comum em casos de reencaminhamento ou infraestruturas partilhadas. Normalmente é aceitável.
  
  
• Falha no SPF, falha no DKIM
  Padrão de alto risco. Indica falsificação ou configuração incorreta.
  
• 
  Uma verificação, mas falha no DMARC
  Problema de alinhamento entre a autenticação e o domínio «De».

Corrigir o que os relatórios DMARC indicam

Os relatórios DMARC indicam problemas específicos na configuração do e-mail. Resolva primeiro os problemas mais graves e, em seguida, trate dos restantes passo a passo.

• Autorize ferramentas de e-mail legítimas: adicione todas as ferramentas que utiliza (Outlook, plataformas de marketing) à sua lista de remetentes aprovados. Isto evita erros relacionados com «remetentes não autorizados».
• Ative o DKIM para todos os e-mails: o DKIM adiciona uma assinatura digital para comprovar que os e-mails são enviados por si e que não foram alterados. Ative-o em todas as plataformas a partir das quais envia e-mails.
• Simplifique os seus registos SPF: mantenha a lista de remetentes aprovados curta e atualizada. Um número excessivo de entradas confunde os sistemas de e-mail. Elimine ferramentas antigas ou que já não são utilizadas.
• Bloqueie as fontes de e-mail indesejadas: bloqueie remetentes falsos que se fazem passar pela sua empresa. Concentre-se nos endereços IP desconhecidos que enviam muitas mensagens.
• Verifique os resultados após as alterações: acompanhe os relatórios durante 7 a 14 dias. Os problemas resolvidos traduzem-se numa diminuição do volume de erros e num aumento das taxas de aprovação.

Começa pelos grandes problemas

Como estabelecer prioridades nas questões?

Recebemos relatórios DMARC diariamente. Nem todos os problemas exigem uma ação imediata. Acompanhe as tendências ao longo de vários dias para distinguir as alterações normais dos problemas de grande impacto.

Da autenticação à colocação na caixa de entrada

O DMARC comprova a legitimidade. Não conquista a confiança.

Os fornecedores de caixas de correio acabam por premiar comportamentos como o envolvimento positivo dos utilizadores, a consistência e a reputação ao longo do tempo. É aqui que muitas equipas ficam paralisadas. Resolvem os problemas de autenticação, verificam que tudo corre bem e, mesmo assim, continuam a ver as suas mensagens classificadas como spam.

Isso é de esperar.

A autenticação elimina os obstáculos. A reputação determina os resultados.

O MailReach complementa o DMARC ao lidar com a camada sobre a qual o DMARC não tem influência. A « email warmup » gradual gera sinais de envolvimento que ensinam o Google e a Microsoft a confiar no seu comportamento de envio. Os testes de spam revelam riscos relacionados com o conteúdo e a formatação antes que estes prejudiquem a reputação. A monitorização contínua garante que os problemas técnicos não comprometam silenciosamente a capacidade de entrega.

O DMARC abre caminho. O MailReach cria a confiança necessária para que os e-mails sejam lidos e respondidos.

Comece a construir uma reputação de remetente em que as caixas de entrada confiem. Utilize o MailReach para preparar as suas contas de e-mail, testar a entrega nas caixas de entrada e proteger a sua capacidade de entrega.