Em 16 de outubro de 2026, a dmarcian publicou as conclusões de uma sessão realizada com a Certified Senders Alliance. Duas pessoas conduziram a conversa: Matia Boldrini, representante de serviços profissionais da dmarcian, e Steffen Siguda, responsável pela segurança da informação corporativa do grupo ams OSRAM, o fabricante austríaco de sensores e semicondutores. O tema não foi um ataque novo nem um recurso novo do protocolo. Foi a pergunta que decide a maioria dos projetos de DMARC na prática: por que tantas organizações publicam um registro de DMARC e depois nunca chegam à aplicação?
A lacuna de aplicação não é uma lacuna de tecnologia
O ponto de partida compartilhado pelos dois é direto. Muitas empresas europeias publicam registros de DMARC, mas poucas alcançaram a aplicação total. O motivo raramente é a sintaxe do DNS ou o próprio protocolo. Os obstáculos são pessoas e processos: uma lacuna entre as equipes técnicas, de marketing e de liderança, e a dificuldade de mapear a sombra de TI e os remetentes terceiros.
Quem já conduziu um desdobramento de DMARC reconhece o padrão. Os relatórios agregados revelam uma fonte de envio que ninguém em TI conhece, talvez um plugin do CRM, uma ferramenta de suporte ou uma antiga plataforma de newsletters. Localizar o responsável significa bater em portas de departamentos que não têm motivo algum para priorizar sua solicitação de mudança. Multiplique isso por dezenas de fontes e um catálogo grande de domínios, e o projeto empaca em p=none por anos.
Como a ams OSRAM conduziu o desdobramento
A sessão descreveu como um desdobramento estruturado supera esse muro. A equipe começou bloqueando os domínios que nunca enviam e-mail, o que remove ruído dos relatórios e fecha de uma vez a rota de spoofing mais barata. Uma plataforma de DMARC foi usada para monitorar os domínios continuamente, em vez de auditorias pontuais. E, o mais decisivo, um mandato executivo foi obtido para que a cooperação entre departamentos não dependesse de boa vontade.
O conselho do próprio Siguda é começar agora, atacando os domínios que nunca enviam e-mail. O de Boldrini é documentar tudo e nunca publicar DMARC sem um endereço de relatórios. Ambos são disciplinas de processo, não truques de protocolo.
A ordem de passos que recomendam
Com base nas dicas compartilhadas na sessão, a dmarcian apresentou uma sequência prática:
- Bloquear todos os domínios que não enviam e-mail com uma política p=reject.
- Ativar DKIM para todas as fontes de e-mail.
- Publicar DMARC em p=none com um endereço de relatórios que alguém acompanhe.
- Mapear cada remetente para um responsável e um propósito de negócio.
- Garantir um mandato de cooperação antes de enviar a primeira solicitação de mudança.
- Migrar para p=reject e manter um responsável depois.
O último ponto merece destaque. Um projeto de DMARC não termina quando a política chega a reject. Ferramentas novas são conectadas, domínios são adquiridos, fornecedores de marketing se alternam. Sem um responsável permanente lendo os relatórios, a aplicação se degrada silenciosamente conforme fontes não autenticadas reaparecem.
Por que a aplicação se paga sozinha
O retorno descrito na sessão alcança três públicos ao mesmo tempo. Alcançar a aplicação com uma política p=reject melhora a entregabilidade do marketing, porque e-mail autenticado e alinhado é exatamente o que os provedores de caixa postal premiam. Dá clareza à gestão de ativos de TI, porque os dados de DMARC acabam sendo um inventário preciso de tudo o que envia como seus domínios. E reduz significativamente o risco de segurança ao deter o spoofing de domínios.
Há também um efeito coletivo que vale registrar. Quanto mais organizações publicam e aplicam SPF, DKIM e DMARC, mais fácil se torna para os receptores de todo o mundo distinguir e-mail real de e-mail falso. A autenticação é um dos poucos controles de segurança que fica mais forte quanto mais gente o adota.
Sair de um registro publicado para p=reject é sobretudo uma questão de visibilidade e responsabilidade: conhecer cada fonte que envia como seu domínio e ter alguém responsável pelos dados. O Excello Mail dá essa visão ao vivo dos seus sinais de DMARC, SPF e DKIM para mapear, corrigir e aplicar sem adivinhação. Cadastre-se gratuitamente no Excello Mail e transforme a aplicação em um plano, não em um desejo.