Qualquer pessoa pode colocar qualquer domínio no campo From de um e-mail. Três registros DNS decidem se o servidor receptor acredita nele. Em 10 de outubro de 2026, uma auditoria independente publicada na DEV Community consultou o DNS de e-mail das 1,000 páginas mais visitadas da lista Tranco e registrou o que elas realmente publicam: seus registros SPF, DMARC, BIMI e MTA-STS, além dos servidores por trás de seus registros MX. O resultado é uma fotografia verificável e rara de como os domínios mais reconhecidos do mundo lidam com autenticação, e da distância entre publicar um registro e aplicá-lo de fato.
Os números principais
Entre os 1,000 domínios, 84.5% publicam um registro DMARC, mas só 69.4% o aplicam com quarentena ou rejeição para todo o e-mail, e 47.4% rejeitam diretamente o e-mail falsificado. A divisão de políticas foi de 474 domínios em rejeição, 235 em quarentena e 136 em none. Outros 155 domínios não tinham registro DMARC algum. Poucos foram cautelosos no rollout: apenas 15 dos 845 registros, ou 1.8%, aplicavam a política a menos de 100% do e-mail.
O SPF está quase universal, com 89.6% dos domínios, e desses 53.8% terminam com falha estrita -all enquanto 40.4% usam a falha suave ~all. Nenhum dos 1,000 usava +all, a configuração que permitiria a qualquer servidor enviar como o domínio.
Popularidade se correlaciona com proteção, mas não muito
A posição no ranking importa um pouco. Entre os 100 primeiros domínios, 62% rejeitam e-mail falsificado, contra 45.8% dos domínios entre as posições 101 e 1,000. A aplicação foi de 76.0% no top 100 e de 68.7% no restante. Em outras palavras, mesmo entre as páginas mais visitadas da internet, mais de um em cada quatro domínios não tem política DMARC ou tem apenas um registro de monitoramento que não impede nada.
Alguns nomes muito grandes continuam em p=none, incluindo samsung.com e yandex.ru, junto com os domínios de e-mail de consumo da Microsoft: outlook.com, live.com e msn.com. Para domínios de caixa de correio de consumo, uma política só de monitoramento costuma ser deliberada, porque listas de discussão e encaminhamentos quebram a autenticação e uma política estrita devolveria e-mail real. Um domínio corporativo não tem essa desculpa.
O ponto cego: domínios que não enviam e-mail
O ponto mais fraco encontrado pela auditoria está nos domínios que não aceitam e-mail. Dos 875 domínios com registro MX vai a maior parte da história. Mas 125 dos 1,000 não têm registro MX, ou seja, nunca recebem e-mail, e são os mais fáceis de esquecer. Um domínio que nunca envia e-mail ainda pode ser falsificado, e atacantes gostam deles justamente porque ninguém os vigia.
O bloqueio padrão são dois registros: um SPF v=spf1 -all, que significa que nenhum servidor pode enviar, mais uma política DMARC de rejeição. Apenas 31 dos 125 domínios sem e-mail, ou 24.8%, têm ambos. Enquanto isso, 76 deles, ou 60.8%, não têm registro DMARC ou estão em p=none. Se você administra domínios estacionados ou que não enviam, esta é a correção de segurança mais barata disponível hoje.
BIMI deslanchou, MTA-STS não
A auditoria encontrou 21.3% dos 1,000 domínios publicando um registro BIMI, o padrão que mostra o logotipo na caixa de entrada e que exige uma política DMARC aplicada, contra apenas 4.5% de MTA-STS, o padrão que impõe criptografia no transporte entre servidores. As marcas avançam primeiro rumo ao que os assinantes veem, enquanto a proteção na camada de transporte, invisível para o usuário, fica muito atrás.
Quem hospeda o e-mail e quem aplica
Dos 875 domínios que aceitam e-mail, 37.3% usam Google Workspace e 17.4% Microsoft 365. Domínios hospedados no Google aplicam DMARC com mais frequência que os da Microsoft, com 82.2% contra 72.4%, enquanto os que estão atrás de um gateway de segurança como o Proofpoint, que filtra 9.0% de todo o e-mail de entrada da amostra, são os que mais aplicam, com 86.4%. A própria auditoria observa que é correlação, não causa: uma empresa que compra um gateway e configura p=reject provavelmente já tem um equipe dedicada de segurança de e-mail.
Quem lê os relatórios
Os relatórios agregados de DMARC são onde a aplicação começa, e 91.5% dos registros auditados os solicitam, com 63.6% enviando para um serviço externo de análise. Contando cada domínio uma vez por fornecedor, a Valimail recebe relatórios de 74 domínios, a Proofpoint de 71, a dmarcian de 55, e uma longa lista de outros que inclui Cloudflare, Red Sift e Postmark. Treze domínios enviam seus relatórios para dhs.gov, o ponto de coleta usado pelas agências federais civis dos EUA, e onze deles são agências como nasa.gov e whitehouse.gov.
O que isso significa para o seu domínio
As maiores marcas da internet publicam autenticação em números altos, mas quase um terço ainda não aplica e cerca de uma em cada cinco não tem registro DMARC. É exatamente nessa brecha que vive a falsificação. Se o seu domínio ainda está em p=none, você está na mesma situação de um provedor de caixas de consumo, sem nenhuma das desculpas. Revise seus relatórios agregados, identifique todos os serviços legítimos que enviam em seu nome e mova sua política para quarentena e depois rejeição. E se você mantém domínios que nunca enviam e-mail, feche-os com a solução de dois registros que tão poucos aplicaram segundo a auditoria.
A brecha entre publicar DMARC e aplicá-lo é onde os atacantes trabalham melhor. O Excello Mail transforma seus relatórios de DMARC, SPF e DKIM em uma imagem clara de tudo o que envia em nome dos seus domínios, para que você passe do monitoramento à aplicação com confiança. Cadastre-se gratuitamente no Excello Mail e feche a sua brecha de autenticação.