E-mail falso com seu domínio: SPF, DKIM e DMARC ajudam?

SPF, DKIM e DMARC ajudam destinatários a verificar mensagens enviadas em nome do domínio, mas precisam de inventário de remetentes e monitoramento.

Por Cleiton Celini e Gledson Alves, sócios e contadores da AUDICONT Contabilidade

SPF, DKIM e DMARC atuam de forma complementar. O primeiro declara remetentes autorizados; o segundo adiciona assinatura criptográfica; o terceiro avalia alinhamento e permite definir política para mensagens que falham nas verificações.

Para 26-10, a prioridade é transformar a configuração em um controle verificável, com responsável e evidência compatíveis com o impacto do processo.

Exemplo: plataforma legítima que fica fora do inventário de remetentes

Exemplo hipotético: a empresa ativa DMARC em modo de rejeição sem mapear o sistema de newsletter. As mensagens legítimas começam a falhar. O problema não está no DMARC, mas na implantação sem inventário prévio.

SPF informa quem pode enviar

O tema também se relaciona a cibersegurança e continuidade empresarial e a resultado de busca e domínios suspeitos. Esses conteúdos aprofundam controles adjacentes sem substituir a análise específica desta pauta.

DKIM assina a mensagem

O maior desafio empresarial é mapear todos os sistemas que enviam em nome do domínio: Microsoft 365 ou Google Workspace, CRM, ERP, marketing, help desk e plataformas de cobrança. Um remetente esquecido pode quebrar quando a política fica mais rígida.

DMARC também gera relatórios que ajudam a identificar fontes desconhecidas e configurações incorretas. A análise deve distinguir serviço legítimo mal configurado de tentativa de falsificação.

DMARC verifica alinhamento e publica política

Relatórios mostram quem está usando o domínio

A autenticação de e-mail começa pelo inventário real de quem envia mensagens em nome do domínio:

• Inventário de serviços que enviam e-mail.
• Revisão de SPF.
• DKIM habilitado e administrado.
• DMARC implantado de forma controlada.
• Monitoramento de relatórios.
• Remoção de remetentes antigos.

Para SPF DKIM DMARC, maturidade significa conseguir repetir a revisão mesmo quando o responsável habitual não está disponível, usando documentação suficiente para que outra pessoa reproduza o procedimento.

Endurecer sem inventário pode bloquear e-mail legítimo

Esses mecanismos reduzem spoofing do próprio domínio, mas não impedem que criminosos registrem domínios visualmente parecidos. Treinamento e validação de processos financeiros continuam necessários.

Antes de alterar a política DMARC, a equipe deve levantar todos os remetentes legítimos e observar relatórios. O avanço de monitoramento para quarentena ou rejeição deve ocorrer somente depois de corrigir alinhamentos conhecidos.

Na avaliação de Cleiton Celini e Gledson Alves, sócios e contadores da AUDICONT Contabilidade, SPF, DKIM e DMARC funcionam melhor como processo contínuo do que como configuração única. Novos fornecedores, campanhas e sistemas alteram o mapa de remetentes e exigem revisão da política.

Implantação de DMARC sem bloquear envio válido

Para SPF DKIM DMARC, a empresa pode registrar em uma única ficha o ativo ou conta envolvida, o responsável, a finalidade, o controle esperado e a última evidência de teste. Esse registro ajuda a distinguir configuração existente de controle efetivamente verificado. A revisão deve ser refeita quando houver mudança de fornecedor, equipe, integração ou incidente, porque o risco pode mudar mesmo que a ferramenta permaneça a mesma.

Antes de endurecer DMARC, compare os relatórios e a lista de sistemas autorizados com os fornecedores usados de fato. Uma origem legítima desconhecida indica que o inventário ainda não está pronto para uma política mais restritiva.

O que precisa ficar comprovado em SPF DKIM DMARC

Para que SPF DKIM DMARC deixe de ser apenas uma configuração e vire controle empresarial, a evidência precisa permitir que outra pessoa entenda o que foi decidido e repita a verificação. Um registro curto pode associar inventário de serviços que enviam e-mail, revisão de spf e dkim habilitado e administrado à data da última revisão, ao responsável e ao resultado encontrado. Se houver exceção, ela deve indicar motivo, prazo e quem autorizou. Essa disciplina é especialmente útil em desligamentos, troca de fornecedor e incidentes, porque reduz a dependência de memória e ajuda a separar falha de tecnologia de falha de processo. O objetivo não é produzir documentação extensa, mas preservar informação suficiente para decidir com rapidez e demonstrar que o controle de SPF DKIM DMARC foi efetivamente testado.