Registros DNS de e-mail: MX, SPF, DKIM e DMARC

O e-mail depende de vários registros DNS que desempenham funções diferentes. Os registros MX informam aos sistemas de envio para onde entregar as mensagens recebidas por um domínio. O SPF publica, em dados TXT, uma política sobre quais sistemas de envio estão autorizados. O DKIM usa uma chave pública publicada no DNS para que os destinatários possam verificar uma assinatura criptográfica, e o DMARC diz aos receptores como avaliar as mensagens que falham no alinhamento e para onde os relatórios podem ser enviados. Esses mecanismos se complementam: um único registro MX correto não autentica o e-mail de saída, e um registro SPF válido não configura a entrega de entrada.

O roteamento de entrada começa pelo MX

Um servidor de e-mail remetente consulta os registros MX do domínio do destinatário e recebe um ou mais nomes de host de servidores de e-mail com valores de preferência. Quando há vários destinos disponíveis, os números de preferência menores são priorizados, embora os sistemas de entrega possam aplicar lógicas próprias de nova tentativa e de disponibilidade. Os nomes de host de destino também precisam ser resolvidos para um endereço. Se o domínio não tiver registro MX, o comportamento do e-mail pode recorrer a outras regras de DNS, mas depender de um fallback implícito costuma ser menos claro do que publicar a configuração pretendida. Confira os valores de MX com as instruções de configuração atuais do provedor de e-mail e verifique o domínio raiz exato usado para o correio.

O SPF é publicado como um registro TXT no domínio relevante e é avaliado em relação ao remetente que se conecta. Ele tem limites de consultas e regras de sintaxe, então copiar várias strings SPF independentes para registros TXT separados pode causar um permerror. Os registros DKIM costumam ser publicados em nomes específicos de seletor fornecidos pelo remetente, e a falta de um seletor pode deixar as assinaturas sem verificação possível. O DMARC usa um nome conhecido sob _dmarc e pode começar em modo de monitoramento antes de se considerar uma política mais rígida. Evite inventar valores: obtenha-os de todas as plataformas de e-mail autorizadas a enviar em nome do domínio.

Por que a autenticação de e-mail exige alinhamento

O DMARC verifica se o domínio visível no campo From de uma mensagem está alinhado com um domínio autenticado por SPF ou DKIM, conforme o modo de alinhamento configurado. Isso ajuda os receptores a distinguir o uso autorizado de um domínio de mensagens que apenas afirmam vir dele. Um domínio pode passar no SPF e falhar no DMARC se o remetente do envelope autenticado não estiver alinhado com o domínio visível no From, e uma assinatura DKIM pode falhar se a chave publicada estiver ausente ou incorreta. As plataformas de e-mail costumam usar vários serviços de envio, então todas as fontes legítimas devem ser inventariadas antes de endurecer uma política.

• Liste todos os sistemas que enviam e-mail pelo domínio antes de editar o SPF.
• Publique os seletores DKIM fornecidos pelos provedores e verifique o nome exato do seletor.
• Comece os relatórios do DMARC com uma política compatível com a sua prontidão de monitoramento.
• Confira as prioridades de MX e a resolução de endereço dos destinos após migrações de provedor.
• Revise os relatórios agregados e investigue remetentes desconhecidos antes de alterações que imponham a política.

Verifique os registros após uma migração

Ao trocar de provedor de e-mail, exporte a configuração DNS antiga e depois compare os novos registros MX, SPF, DKIM e DMARC com a lista de verificação de configuração do novo provedor. Alguns provedores exigem um registro TXT de verificação de domínio além dos registros de e-mail. Mantenha os sistemas de envio antigos autorizados apenas enquanto ainda enviarem tráfego legítimo e remova com cuidado as autorizações obsoletas após o monitoramento. O cache por TTL do DNS significa que nem todos os receptores enxergam uma alteração ao mesmo tempo. Confirme as respostas públicas e envie mensagens de teste a sistemas de destinatários representativos, mas lembre-se de que os resultados de entrega também dependem de reputação, conteúdo e filtragem do lado do destinatário.

Uma consulta DNS pode mostrar se os registros estão visíveis publicamente; ela não consegue, por si só, provar que uma mensagem chegará à caixa de entrada. O guia de registros MX e a explicação de SPF, DKIM e DMARC tratam de cada mecanismo individualmente. Use um verificador de DNS para inspecionar nomes e tipos específicos e, depois, valide enviando mensagens de teste controladas e revisando os logs do provedor. Manter roteamento e autenticação separados na sua lista de verificação torna as mudanças de e-mail muito mais seguras.

Monte um inventário antes de alterar o DNS de e-mail

Muitas organizações têm mais de um remetente legítimo: um provedor de caixas de correio, uma plataforma de marketing, um sistema de chamados, um aplicativo de contabilidade e um serviço de monitoramento podem enviar e-mails com o mesmo domínio. Crie um inventário com cada fornecedor, domínio de envio, requisito de SPF, seletor DKIM e responsável. Confirme se cada fornecedor usa o domínio visível no From ou um subdomínio delegado. Esse inventário é a base de uma política DMARC segura, porque os relatórios muitas vezes revelam sistemas que o administrador principal de e-mail não sabia que existiam. Valide os fornecedores com a documentação atual deles e uma mensagem de teste real e só remova remetentes obsoletos depois que a equipe confirmar que o tráfego deles não é mais necessário.