O que é o DMARC? Guia para segurança de e-mail DMARC
por
Tempo de leitura: 9 min
O que é DMARC?
O DMARC (Domain-based Message Authentication, Reporting, and Conformance) é um protocolo de autenticação de correio eletrónico concebido para combater a fraude por correio eletrónico e os ataques de phishing. Ao verificar os remetentes de correio eletrónico e fornecer relatórios detalhados sobre a atividade de correio eletrónico, o DMARC ajuda as organizações a melhorar a segurança do correio eletrónico e a proteger a reputação do seu domínio. Permite que os proprietários de domínios definam políticas específicas sobre a forma como os seus e-mails devem ser autenticados e como lidar com mensagens não autorizadas. Essencialmente, o DMARC permite que as empresas digam:
"Os e-mails do nosso domínio devem atender a esses critérios específicos. Se não corresponderem, devem ser tratados como suspeitos".
O DMARC baseia-se em dois protocolos existentes, SPF (Sender Policy Framework) e DKIM (DomainKeys Identified Mail), para garantir que apenas os remetentes autorizados podem utilizar um domínio. As organizações podem utilizar o DMARC para especificar acções para os emails que falham a autenticação, tais como a rejeição, a colocação em quarentena ou a entrega dos mesmos.
O que é que DMARC significa?
DMARC significa Domain-based Message Authentication, Reporting, and Conformance (Autenticação, comunicação e conformidade de mensagens baseadas no domínio).
Cada parte do acrónimo reflecte um aspeto crítico do funcionamento do DMARC:
Baseado no domínio: O DMARC é executado ao nível do domínio.
Autenticação de mensagens: O DMARC permite que os proprietários de domínios designem os protocolos de autenticação. Estes são utilizados para validar as mensagens de correio eletrónico recebidas. O SPF (Sender Policy Framework) e o DKIM (DomainKeys Identified Mail) são dois desses protocolos.
Relatórios: Pode ativar relatórios de feedback na sua configuração DMARC. Em seguida, os MTAs receptores enviarão relatórios XML para o seu endereço de correio eletrónico definido. Estes relatórios podem conter dados agregados ou forenses DMARC.
Conformidade: Os proprietários de domínios de correio eletrónico podem utilizar o DMARC para descrever as acções dos servidores de correio receptores sob a forma de políticas. Estas acções são implementadas quando um e-mail não passa nas verificações DMARC.
Porque é que o DMARC é importante para a segurança do correio eletrónico?
O DMARC desempenha um papel fundamental no reforço da segurança do correio eletrónico ao
- Impedir a falsificação de correio eletrónico e o phishing: Ao verificar a autenticidade dos e-mails que afirmam ter origem num domínio específico, o DMARC impede eficazmente as tentativas de falsificação em que os atacantes se fazem passar por remetentes legítimos. Isto ajuda a evitar ataques de phishing que têm como objetivo roubar informações sensíveis, como credenciais de início de sessão e dados financeiros.
- Melhorar a capacidade de entrega de correio eletrónico: Ao garantir que apenas os emails legítimos do seu domínio chegam às caixas de entrada, o DMARC reduz as hipóteses de os seus emails legítimos serem assinalados como spam. Isto melhora as suas taxas de entrega de correio eletrónico e garante que as suas mensagens chegam aos destinatários pretendidos.
- Proteção da reputação da sua marca: Ao impedir a utilização não autorizada do seu domínio para actividades maliciosas, o DMARC salvaguarda a reputação da sua marca e cria confiança junto dos seus clientes.
- Fornecimento de informações valiosas: O DMARC gera relatórios abrangentes que fornecem informações valiosas sobre a sua atividade de envio de correio eletrónico. Estes relatórios ajudam-no a identificar e a resolver potenciais problemas, como remetentes não autorizados, tentativas de falsificação e contas comprometidas.
- Cumprir os requisitos de conformidade do sector: O DMARC está a tornar-se cada vez mais importante para a conformidade com as normas do sector, como o PCI-DSS. Os principais fornecedores de correio eletrónico, como o Google e o Yahoo, podem até rejeitar mensagens de correio eletrónico de domínios que não tenham a implementação do DMARC.
Ao implementar e manter uma política DMARC sólida, as empresas podem melhorar significativamente a sua postura de segurança de correio eletrónico, proteger a reputação da sua marca e garantir a entrega eficaz de comunicações de correio eletrónico legítimas.
Simplifique o DMARC com o PowerDMARC!
Como funciona o DMARC
O DMARC reforça a segurança do correio eletrónico, acrescentando uma camada de aplicação de políticas aos métodos de autenticação existentes: SPF (Sender Policy Framework) e DKIM (DomainKeys Identified Mail).
1. Avalie a sua infraestrutura de correio eletrónico:
- Configurar SPF e DKIM: Comece por configurar os registos SPF e DKIM nas suas definições de DNS. Estes registos definem quais os endereços IP e domínios que estão autorizados a enviar e-mails em nome do seu domínio. Pode utilizar os nossos geradores de registos SPF e DKIM para o ajudar neste processo.
2. Criar um registo DMARC:
- Crie um registo DMARC utilizando a nossa ferramenta gratuita ou a interface do seu fornecedor de DNS.
- Os campos obrigatórios no registo DMARC incluem:
- v=DMARC1: Especifica a versão do protocolo DMARC.
- p=nenhum/quarentena/rejeitar: Define a política de tratamento de mensagens de correio eletrónico que falham as verificações de autenticação.
- Também é possível incluir campos opcionais, tais como:
- rua: Especifica o endereço de correio eletrónico para receber relatórios agregados.
- ruf: Especifica o endereço de correio eletrónico para receber relatórios forenses.
3. Selecione uma política DMARC:
A política DMARC indica aos destinatários de correio eletrónico como devem tratar as mensagens que não passam nas verificações DMARC. Pode escolher entre três modos de política - "nenhum", "quarentena" ou "rejeitar".
- p=nenhum: Monitorizar os resultados da autenticação sem tomar qualquer ação. Isto permite-lhe analisar o seu tráfego de correio eletrónico e identificar potenciais problemas.
- p=quarentena: Move os e-mails que falham nas verificações de autenticação para a pasta de spam.
- p=rejeitar: Bloqueia e rejeita os e-mails que falham nas verificações de autenticação.
4. Publique o seu registo DMARC:
- Publique o registo DMARC gerado nas suas definições de DNS. Introduza "_dmarc" no campo Anfitrião e o tipo de recurso como TXT. Pode manter o TTL em 1 hora.
5. Verificar a configuração do DMARC:
- Utilize a nossa ferramenta de verificação DMARC para verificar se o seu registo DMARC está corretamente publicado e a funcionar como esperado.
5. Relatórios:
- Assim que o DMARC estiver configurado, pode ativar a comunicação.
- O DMARC gera relatórios sobre os resultados da autenticação de correio eletrónico, fornecendo informações sobre:
- Tentativas de autenticação bem sucedidas e falhadas
- Fontes de mensagens electrónicas não autenticadas
- Acções tomadas pelos servidores receptores
Fluxo de trabalho DMARC após a sua publicação
Quando um registo DMARC é publicado:
- Envio de correio eletrónico: Quando um e-mail é enviado a partir do seu domínio, é submetido a verificações SPF e DKIM.
- Receção por correio eletrónico: O servidor de receção efectua as seguintes verificações:
- Verificação SPF: Verifica se o endereço IP de envio está autorizado a enviar e-mails em nome do seu domínio.
- Verificação DKIM: Verifica a assinatura digital para garantir que o e-mail não foi adulterado.
- Aplicação da política DMARC: O servidor recetor verifica o registo DMARC e aplica a política especificada:
- Passar: Se o e-mail passar nas verificações SPF e DKIM, é entregue normalmente.
- Falha: Se o correio eletrónico não passar nas verificações SPF ou DKIM, o servidor de receção executa a ação definida na política DMARC (por exemplo, colocar em quarentena, rejeitar).
- Relatórios: O servidor de receção gera relatórios sobre os resultados da autenticação de correio eletrónico e envia-os para os endereços especificados no registo DMARC.
Qual é o aspeto do registo DMARC?
A estrutura de um registo DMARC é definida no DNS (Domain Name System) como um registo TXT associado ao domínio. Contém várias etiquetas, incluindo as que especificam o modo de política e as opções de comunicação. Eis um exemplo do aspeto de um registo DMARC:
_dmarc.example.com. IN TXT v=DMARC1; p=reject; rua=mailto:[email protected]; ruf=mailto:[email protected]; sp=reject;
Neste exemplo:
- "_dmarc.example.com." refere-se ao domínio específico onde o registo DMARC está a ser configurado. Neste caso, é "example.com".
- "IN TXT" indica que o tipo de registo é um registo de texto.
- "v=DMARC1" significa que a versão do protocolo que está a ser utilizada é a versão 1.
- "p=reject" define a política DMARC como "reject" (rejeitar). Isto dá instruções aos servidores de correio eletrónico receptores para rejeitarem ou descartarem as mensagens de correio eletrónico que não cumpram a política DMARC.
- "rua=mailto:" especifica o endereço de correio eletrónico como destino para receber relatórios agregados.
- "ruf=mailto:" designa o endereço de correio eletrónico como o destino para receber relatórios forenses. Estes relatórios fornecem mais informações sobre falhas na entrega de correio eletrónico.
- "sp=reject" define a política de subdomínio como "reject", garantindo que esta política DMARC se aplica a subdomínios.
DMARC, SPF e DKIM - Pilares da segurança do correio eletrónico
A implementação conjunta de DMARC, SPF e DKIM proporciona uma defesa mais robusta contra ataques de falsificação de correio eletrónico e phishing. Vamos explorar as vantagens de utilizar estes métodos de autenticação em combinação:
- Proteção abrangente: A combinação de DMARC, SPF e DKIM fornece uma abordagem em camadas para autenticação de e-mail. Oferece uma proteção abrangente contra falsificação de correio eletrónico, phishing e remetentes não autorizados.
- Maior capacidade de entrega de e-mails: Ao assegurar que os e-mails são devidamente autenticados e alinhados com as políticas do domínio, as hipóteses de e-mails legítimos serem marcados como spam ou rejeitados são significativamente reduzidas.
- Proteção da reputação da marca: A implementação destes métodos de autenticação ajuda a manter a integridade da sua marca. Evitam o abuso e a falsificação de correio eletrónico, salvaguardando a sua reputação entre os destinatários.
- Segurança melhorada: A utilização conjunta de DMARC, SPF e DKIM minimiza o risco de entidades não autorizadas enviarem e-mails maliciosos em nome do seu domínio, reforçando a segurança geral e mitigando potenciais ameaças cibernéticas.
- Relatórios e visibilidade: O DMARC fornece informações valiosas sobre as falhas de autenticação de correio eletrónico, permitindo que os proprietários de domínios identifiquem e resolvam os problemas rapidamente e melhorem a eficácia das suas medidas de segurança de correio eletrónico.
Deve utilizar SPF e DKIM se já tiver DMARC?
Sim, é altamente recomendável utilizar tanto o SPF como o DKIM, mesmo que já tenha implementado o protocolo de validação de correio eletrónico DMARC. O DMARC foi concebido para funcionar em conjunto com o SPF e o DKIM e, juntos, formam uma poderosa estrutura de autenticação de correio eletrónico. No entanto, para que o DMARC funcione, é necessário o SPF ou o DKIM.
Melhores práticas
Para as organizações que pretendem implementar o DMARC, adoptem as seguintes práticas para garantir que obtêm o máximo de benefícios:
- Comece com uma auditoria: Compreenda a sua atual infraestrutura de correio eletrónico, incluindo todos os serviços que enviam correio eletrónico em seu nome.
- Implementar SPF e DKIM: Certifique-se de que estes estão corretamente configurados antes de passar para DMARC.
- Começar com a monitorização: Comece com uma política "p=nenhum" para recolher dados sem afetar a entrega do correio eletrónico.
- Analisador DMARC para relatórios: Analise regularmente os relatórios DMARC para compreender o seu ecossistema de correio eletrónico e identificar potenciais problemas.
- Aumente gradualmente o rigor da política: Passe para "p=quarentena" e eventualmente "p=rejeitar" à medida que ganha confiança na sua configuração.
- Comunicar: Certifique-se de que todos os intervenientes, incluindo TI, marketing e fornecedores terceiros, estão a par dos seus planos de implementação do DMARC.
- Mantenha-se informado: Mantenha-se a par dos desenvolvimentos nas normas e melhores práticas de autenticação de correio eletrónico.
Desafios e considerações
Embora o DMARC seja poderoso, não está isento de desafios:
- Complexidade: A implementação correta do DMARC requer um bom conhecimento da infraestrutura de correio eletrónico e do DNS.
- Remetentes de terceiros: Muitas organizações utilizam serviços de terceiros para enviar emails (por exemplo, plataformas de marketing). Garantir que eles estejam alinhados com o DMARC pode ser complicado.
- Reencaminhamento de correio eletrónico: O reencaminhamento de correio eletrónico pode quebrar a autenticação DMARC. Isto deve-se ao facto de o servidor de reencaminhamento modificar frequentemente o correio eletrónico de forma a invalidar a assinatura DKIM original e as informações do cabeçalho SPF.
- Implementação gradual: A adoção demasiado rápida de uma política rigorosa pode resultar no bloqueio de mensagens de correio eletrónico legítimas. É crucial começar com uma política de controlo e aumentar gradualmente o rigor.
O futuro da autenticação de correio eletrónico
À medida que as ameaças cibernéticas evoluem, também as nossas defesas têm de evoluir. O DMARC é um passo em frente significativo, mas faz parte de um ecossistema mais vasto de medidas de segurança do correio eletrónico. Os desenvolvimentos futuros podem incluir:
- Integração com IA: Utilizar a aprendizagem automática para interpretar melhor os relatórios DMARC e identificar padrões de abuso.
- Interfaces de utilizador melhoradas: Tornar os resultados DMARC mais visíveis para os utilizadores finais, talvez com indicadores visuais da autenticidade do correio eletrónico.
- Adoção mais ampla: À medida que mais organizações implementarem o DMARC, a sua eficácia no combate à fraude por correio eletrónico aumentará.
- Evolução das normas: O panorama da autenticação de correio eletrónico continua a evoluir. Poderemos assistir ao aparecimento de novas normas que se baseiam no DMARC ou o complementam. Estão também a ser desenvolvidas outras tecnologias, como o DANE e o MTA-STS, para aumentar a segurança do correio eletrónico.
Solução DMARC baseada em nuvem do PowerDMARC
Como proprietário de uma empresa que mantém um domínio online, ter o DMARC implementado é uma vantagem em termos de segurança. Embora você possa fazer isso manualmente, há alguns benefícios adicionais em escolher um fornecedor terceirizado como o PowerDMARC. Connosco, obtém uma série de funcionalidades de relatório, gestão e monitorização a um preço muito acessível. Estes não se enquadram no âmbito de uma configuração manual do DMARC e podem realmente fazer a diferença para o seu negócio!
Ao configurar o nosso analisador DMARC, pode:
- Configure facilmente o DMARC alojado e outros protocolos de autenticação de correio eletrónico
- Monitorize os seus resultados de autenticação através de relatórios simplificados e legíveis por humanos
- Receba alertas em tempo real por e-mail, slack, discord e webhooks
- Melhorar a capacidade de entrega do seu correio eletrónico ao longo do tempo
Os nossos clientes beneficiam de apoio dedicado dos nossos especialistas internos em DMARC para configurar as soluções à medida das suas necessidades. Entre em contacto connosco hoje para obter uma avaliação gratuita do DMARC!
"Procurei exaustivamente uma plataforma DMARC de alto valor e encontrei-a!"
Dylan B.
FAQs sobre DMARC
Especialista em cibersegurança, CEO da PowerDMARC
Maitham é um empreendedor tecnológico, especialista em segurança cibernética, CEO e fundador da PowerDMARC com mais de 15 anos de experiência no sector. Maitham possui um MBA Global da Universidade de Manchester e várias certificações profissionais, incluindo CISSP, CISM, CRISC e ISC2 CCSP.
Últimas mensagens de Maitham Al Lawati (ver todas)
- Como corrigir uma falha DKIM - 9 de janeiro de 2025
- O que é a política DMARC? Nenhum, Quarentena e Rejeição - 9 de janeiro de 2025
- Como corrigir a mensagem "Nenhum registo DMARC encontrado" em 5 passos simples - 6 de janeiro de 2025
