Defaults.Exposed › Relatórios

Publicar às Cegas: A Maioria dos Registos DMARC Não Pede Relatórios

Publicado 2026-07-03 · atualizado 2026-07-03

Números referentes a 2026-06-29 · metodologia v7. Dados do censo em todos os domínios que publicam um registo DMARC analisável, desduplicados por domínio. A presença de rua= é medida em todos os registos, pelo que a sua sobreposição exata com qualquer política individual não é derivável — onde este artigo faz afirmações sobre essa sobreposição, indica limites, nunca tabelas cruzadas exatas. Todos os números são agregados — nunca publicamos a classificação de uma empresa individual.

A maioria dos registos DMARC não está a observar

Dos 65 milhões de domínios que publicam um registo DMARC, apenas 23 milhões — 35,7% — incluem a etiqueta rua= que solicita relatórios agregados. Os outros 64,3% publicam às cegas: existe uma política no registo, mas ninguém pediu para ser informado do que se passa ao abrigo dela. São 42 milhões de domínios com um registo DMARC que não lhes consegue mostrar nada.

Um registo DMARC sem relatórios é uma campainha sem ninguém em casa. Os recetores de correio verificam diligentemente cada mensagem em relação a ele — e as suas conclusões, a lista de todos os que enviam em nome do seu domínio, não vão para lado nenhum. O mecanismo funciona; simplesmente, o proprietário não está a ouvir.

O que a rua= faz na realidade

O DMARC tem duas metades. A metade da política (p=none, quarantine ou reject) diz aos recetores o que fazer com o correio que falha a autenticação. A metade dos relatórios — a etiqueta rua=, um endereço de caixa de correio — pede aos recetores que lhe enviem relatórios agregados diários: que servidores enviaram em nome do seu domínio, quanto correio, e se passou o SPF e o DKIM.

Essa segunda metade é todo o ciclo de retorno. Os relatórios são a forma como descobre a plataforma de newsletter que ninguém documentou, a ferramenta de faturação que o marketing ligou, o remetente-fantasma noutra região — antes de aplicar a política e os bloquear. Sem rua=, nada dessa informação lhe chega. Adicioná-la custa uma edição de DNS: acrescente rua=mailto:[email protected] (ou o endereço de um serviço de monitorização) ao registo existente.

O intervalo entre as Fases 2 e 3: publicado e às cegas

Nas seis fases de maturidade do DMARC, a Fase 3 — Observar — começa quando o DMARC está publicado e os relatórios agregados estão a fluir. Um registo sem rua= não qualifica. Fica no intervalo entre as Fases 2 e 3 — publicado e às cegas — um lugar que o modelo deixa deliberadamente sem um número próprio.

Isto importa porque todas as fases seguintes dependem dos relatórios. Não pode identificar os seus remetentes (Fase 4) a partir de relatórios que nunca recebe; não pode aplicar a política com segurança (Fase 5) sem conhecer os seus remetentes. Um registo às cegas não é um passo inicial na jornada — é uma paragem à margem dela. E o censo sugere que a maioria dos detentores de registos está estacionada aí ou por perto: 57,5% de todos os registos DMARC nunca chegam à aplicação da política.

Pior do que inútil, porque parece progresso

Um registo DMARC em falta pelo menos parece o que é: uma lacuna. Um registo às cegas parece um visto. Alguém correu uma lista de verificação de conformidade, ou um guia de entregabilidade, ou uma correção de uma linha de um fornecedor — publicou v=DMARC1; p=none — e o scanner ficou verde. A organização sente agora que está mais avançada do que a organização sem registo nenhum, estando funcionalmente no mesmo sítio: sem visibilidade, sem aplicação da política, sem caminho para nenhuma das duas.

A consequência é silenciosa e cumulativa. Os registos às cegas não falham ruidosamente; simplesmente nunca geram a evidência que justificaria o passo seguinte. Anos depois, o registo continua a dizer p=none, ninguém sabe dizer que remetentes são legítimos, e aplicar a política parece mais arriscado do que nunca — precisamente porque nunca se recolheram relatórios.

O que o censo pode e não pode dizer

Porque a presença de rua= é medida em todos os 65 milhões de registos — e não cruzada por política — o número exato de registos p=none que estão também às cegas não é derivável a partir destas marginais. Os limites continuam, ainda assim, gritantes. 37 milhões de registos (57,4% dos detentores de registos) estão em p=none; apenas 23 milhões de registos em todo o censo pedem relatórios. Portanto, no máximo 23 milhões desses registos p=none podem estar a receber relatórios — e pelo menos 14 milhões deles decididamente não estão, mesmo que todos os endereços de relatório do censo pertencessem a um domínio p=none. Independentemente de como a sobreposição realmente se distribua, milhões de domínios estão em “modo de monitorização” com o monitor desligado.

A correção de uma só edição

Se o seu registo DMARC não tem etiqueta rua=, a correção é uma única alteração de DNS e é segura em qualquer nível de política:

1. Escolha um destino de relatórios — uma caixa de correio que vá realmente processar, ou um serviço de monitorização DMARC gratuito/pago que transforme o XML em algo legível.
2. Acrescente-o ao registo: v=DMARC1; p=none; rua=mailto:[email protected]. Se o destino for um domínio diferente, esse domínio tem de autorizar a receção dos seus relatórios (um pequeno registo DNS adicional do lado dele).
3. Espere alguns dias e depois leia. Os relatórios chegam diariamente dos grandes recetores. O que mostram — todas as fontes que enviam em nome do seu domínio — é o mapa para o resto da jornada.

Então o registo deixa de ser mobília e passa a ser um instrumento. (Corrigir o DMARC →.)

Perguntas frequentes

O que é um relatório rua do DMARC? Um relatório XML agregado que os recetores de correio participantes enviam (tipicamente por dia) para o endereço na etiqueta rua= do seu registo, resumindo que fontes enviaram correio em nome do seu domínio e se passaram o alinhamento de SPF e DKIM. Não contém conteúdo de mensagens — apenas a infraestrutura de envio e contagens de sucesso/falha.

O DMARC sem rua é inútil? Não é inútil — uma política em aplicação continua a bloquear a falsificação sem ele. Mas em p=none, um registo sem rua= não bloqueia nada e não lhe mostra nada — a sua única função restante é assinalar o requisito mínimo dos fornecedores de caixas de correio. E mesmo os domínios em aplicação sem relatórios perdem a deteção de desvios que mantém a aplicação segura à medida que surgem novos remetentes. p=none não é proteção de qualquer forma — sem relatórios, não é sequer preparação.

A rua= pode apontar para qualquer caixa de correio? Sim, incluindo uma noutro domínio — a maioria dos serviços de monitorização funciona exatamente assim. O domínio recetor publica um pequeno registo de verificação a autorizar os seus relatórios. O que importa é que algo processe realmente o XML; uma caixa de correio que ninguém lê é cegueira com passos extra.

Os relatórios agregados expõem dados privados? Não. Os relatórios agregados rua transportam estatísticas da fonte de envio e de autenticação, não corpos de mensagens nem listas de destinatários. (Os relatórios de falha ruf=, separados, podem conter fragmentos de mensagens, razão pela qual muitos recetores já não os enviam — o rua é o que importa.)

Verifique se o seu registo está a observar

Um registo DMARC que não pede relatórios é uma das descobertas mais fáceis de corrigir em toda a jornada — uma edição de DNS transforma “às cegas” em Observar. Pode verificar de forma privada e gratuita, e ver quais das 34 verificações passa e como corrigir as que não passa.

Verifique o seu domínio → · As 6 fases de maturidade do DMARC → · O pilar DMARC → · Apenas dados agregados. Dados armazenados e processados na UE.