DMARC

Significa: Domain-based Message Authentication, Reporting, and Conformance

Uma política de e-mail no DNS pela qual a mensagem só passa se um pass de SPF ou DKIM estiver alinhado com o domínio do From visível.

SPF e DKIM autenticam domínios que o leitor nunca vê; o DMARC os liga ao domínio do From que o leitor vê e deixa esse domínio pedir relatórios. Desde maio de 2026 ele é Standards Track: a RFC 9989, com os relatórios agregados e de falha nas RFCs 9990 e 9991, que juntas tornam obsoleta a RFC 7489, informativa.

A política é um registro TXT em _dmarc sob o domínio, como _dmarc.example.com, com p=none, quarantine ou reject (none se ausente), sp e np para subdomínios e para os inexistentes, e rua e ruf para relatórios. Uma mensagem passa quando o domínio do From se alinha com um domínio d= do DKIM ou com um MAIL FROM validado pelo SPF, nunca o HELO: o alinhamento relaxed exige o mesmo Organizational Domain, o strict exige nomes idênticos, e relaxed é o padrão.

Em relação à RFC 7489, a RFC 9989 troca a Public Suffix List por um DNS Tree Walk de no máximo oito consultas, que também absorve a política de public suffix da RFC 9091, agora obsoleta. Ela acrescenta np, psd e t e remove pct, rf e ri: t=y pede ao receptor que aplique um nível abaixo da política declarada, o papel que o pct=0 tinha assumido. Os relatórios agregados, documentos XML, foram para a RFC 9990, e os de falha para a RFC 9991.

Um pass diz só que o uso do domínio foi autorizado, não que a mensagem é segura. O receptor MUST NOT rejeitar só por p=reject e, sem outra análise, trata como quarantine. O encaminhamento quebra o SPF, então um domínio com p=reject MUST assinar com DKIM, e domínios cujos usuários postam em listas de discussão SHOULD NOT publicar p=reject; o caminho indicado é p=none por pelo menos um mês e depois quarantine pelo mesmo tempo.

Também conhecido como: dmarc, identifier alignment, _dmarc, p=none, p=reject, aggregate reports

Fontes

← Todos os verbetes do glossário