Guia de implantação de DMARC no Microsoft 365: de nenhum a reject sem quebrar o envio de e-mails

By Mirko Peters · 2026-10-21

Saiba como implantar o DMARC no Microsoft 365 com segurança, do monitoramento até a rejeição rigorosa, sem interromper a entrega legítima de e-mails da sua organização.

Automatically translated with AI from the original post. Read the English original

Implantar protocolos de autenticação de e-mail em um locatário do Microsoft 365 pode parecer desarmar uma bomba se for feito fora de ordem. Este guia passo a passo de implantação do DMARC no Microsoft 365 orienta os administradores de TI na transição segura do monitoramento inicial para uma política de rejeição rigorosa, sem enviar, por acidente, faturas, campanhas de marketing ou alertas automatizados legítimos para o vazio.

Principais conclusões

• Sempre implante a autenticação de e-mail na ordem correta: primeiro o SPF, depois o DKIM e, por último, o DMARC.
• Comece sua política DMARC com p=none para monitorar o tráfego e mapear todos os serviços de envio legítimos e não autorizados.
• Evite atingir o limite de 10 consultas do SPF auditando cuidadosamente serviços de terceiros, como plataformas de marketing e help desks.
• Faça a transição gradual por quarentena e percentuais de aplicação antes de chegar a uma política de rejeição rigorosa.
• Configure os relatórios agregados para serem enviados a uma caixa de correio compartilhada, e não à caixa de entrada de um usuário individual, para garantir visibilidade contínua.

A regra de ouro da ordem de implantação

Se você se lembrar de apenas um princípio durante o projeto de reforço de segurança, que seja a ordem de implantação. As organizações frequentemente têm problemas porque implementam os padrões na ordem errada. Como o sistema de e-mail depende de protocolos legados, como o SMTP, criados com base em confiança e não em verificação, colocar uma política de imposição rigorosa antes de mapear sua infraestrutura fará com que e-mails legítimos falhem.

A sequência correta cria uma rede de segurança em cada fase. Primeiro, você precisa definir sua lista de convidados, aplicar seus selos à prova de adulteração e só então introduzir o árbitro que amarra tudo. Pular etapas deixa você adivinhando sobre os próprios fluxos de e-mail, e adivinhar é a forma mais rápida de ter os e-mails da sua empresa bloqueados por destinatários externos.

Primeiro passo: estabelecer o SPF e os perigos dos limites de consulta

Sua primeira ação é publicar um registro Sender Policy Framework (SPF) na raiz do seu domínio. Pense nisso como a lista de convidados na porta de um clube exclusivo. Ele informa explicitamente quais servidores têm permissão para transmitir e-mails com o nome do seu domínio.

Ao escrever seu registro SPF inicial do Microsoft 365, finalize-o com um soft fail (~all) em vez de um hard fail (-all). Isso instrui os servidores receptores a tratar e-mails não autorizados com desconfiança, em vez de rejeitá-los imediatamente. Esse período de tolerância dá espaço para identificar serviços que você possa ter esquecido.

Evitando a armadilha das dez consultas

Um grande problema no gerenciamento do SPF é o limite rígido de 10 consultas. Sempre que um servidor receptor processa seu registro SPF e encontra um mecanismo que exige uma consulta DNS separada, como uma plataforma terceirizada de automação de marketing, um help desk de atendimento ao cliente ou um processador de folha de pagamento, ele consome uma consulta do seu limite.

Se sua organização incluir serviços externos demais, o total de consultas ultrapassará dez, fazendo com que toda a avaliação do SPF falhe. Análises de milhões de domínios revelam que uma porcentagem surpreendente de empresas compromete, sem perceber, a própria segurança de e-mail dessa forma. Audite seus serviços regularmente para manter sua presença SPF enxuta.

Segundo passo: ativar o DKIM no Microsoft 365

Depois que sua lista de convidados estiver publicada, você precisa de uma forma de garantir que as mensagens não sejam adulteradas durante o trânsito. O DomainKeys Identified Mail (DKIM) funciona como um selo de cera digital aplicado a cada mensagem enviada. Ele inclui uma assinatura criptográfica que cobre o assunto, o corpo e o endereço De visível.

No Microsoft 365, os e-mails enviados do seu domínio padrão onmicrosoft.com são assinados automaticamente. No entanto, o seu domínio corporativo personalizado permanece sem assinatura até que você configure explicitamente o DKIM no centro de administração. Para fazer isso corretamente, você deve criar os dois apontadores de seletor (selector1 e selector2) no seu DNS público. Essa configuração com dois apontadores permite que a Microsoft faça a rotação das chaves de assinatura posteriormente, sem causar indisponibilidade.

O Google e outros grandes provedores recomendam deixar o SPF e o DKIM funcionarem sem interrupções por pelo menos 48 horas antes de mexer no DMARC. Esse período de estabilização garante que suas verificações básicas estejam sólidas antes que o árbitro entre em campo.

Etapa três: implantando o DMARC no modo de monitoramento

O Domain-Based Message Authentication, Reporting, and Conformance (DMARC) atua como o árbitro. Ele não executa um teste próprio sobre o conteúdo da mensagem; em vez disso, analisa os resultados das suas verificações de SPF e DKIM e confirma se eles estão alinhados com o nome de domínio visível na linha De.

Quando você publicar pela primeira vez o seu registro TXT do DMARC em _dmarc.yourdomain.com, o parâmetro de política deve ser definido estritamente como modo de monitoramento: p=none. Lido da esquerda para a direita, esse registro diz aos servidores receptores: "Este é um registro DMARC; por enquanto, não tome nenhuma ação de aplicação caso as verificações falhem, e envie os relatórios agregados para este endereço de e-mail."

Nunca pule esta fase de monitoramento. Os relatórios agregados diários (RUA), entregues como arquivos XML, revelarão cada serviço, legítimo ou malicioso, que envia e-mails em nome do seu domínio. Direcione esses relatórios para uma caixa de correio compartilhada monitorada, e não para a caixa de entrada de um funcionário específico, para que eles não se percam durante as férias.

Etapa quatro: avançando de quarentena para rejeição

Assim que as suas revisões semanais mostrarem que todos os fluxos de e-mail legítimos estão passando no alinhamento sem problemas, é hora de apertar os parafusos. O parâmetro de política do DMARC passa por três posturas operacionais distintas:

• Nenhuma (p=none): A torre de vigia. Puramente observacional, usada para auditoria e coleta de dados dos relatórios agregados.
• Quarentena (p=quarantine): A etiqueta de aviso. Orienta os servidores receptores a sinalizar e-mails suspeitos ou que falharam, normalmente encaminhando-os diretamente para a pasta de lixo eletrônico ou spam do destinatário.
• Rejeição (p=reject): A porta trancada. Orienta os receptores a descartar por completo as mensagens não autenticadas ou falsificadas antes que elas cheguem a qualquer caixa de entrada.

Para que essa transição seja a mais suave possível, use os controles percentuais do DMARC (pct=). Você pode aplicar quarentena ou rejeição a uma pequena fração do e-mail que falha, como 10%, depois 25% e depois 50%, antes de se comprometer totalmente. Essa ampliação gradual evita interrupções repentinas nos negócios caso uma ferramenta de newsletter não autorizada tenha escapado da sua atenção.

Conclusão

Proteger a infraestrutura de e-mail da sua organização contra o Business Email Compromise (BEC) e a falsificação de domínio exige paciência e uma estratégia de implantação metódica. Ao estabelecer o SPF, ativar o DKIM e aumentar cuidadosamente a sua política do DMARC, passando da observação à rejeição rigorosa, você protege o nome da sua empresa e garante que suas comunicações autênticas sempre cheguem ao destino.

Para se aprofundar na mecânica dos protocolos de autenticação de e-mail, ouça o episódio completo para obter insights de especialistas, estratégias práticas de arquitetura e orientações práticas para o seu locatário do Microsoft 365.

Perguntas frequentes

Por quanto tempo devo manter a política do DMARC como none no Microsoft 365?

O Google e especialistas em segurança de e-mail recomendam manter a política do DMARC como p=none por pelo menos uma semana. Esse período garante que você capture relatórios agregados abrangentes, cobrindo os fluxos de e-mail semanais e cíclicos do negócio.

Por que preciso ativar o DKIM antes de ligar o DMARC?

O DKIM assina a mensagem criptograficamente e viaja junto com ela, sobrevivendo a cenários de encaminhamento de e-mail que frequentemente quebram o SPF. Ter o SPF e o DKIM configurados corretamente garante que o alinhamento do DMARC passe de forma confiável.

O Microsoft 365 envia relatórios forenses do DMARC?

Não. Embora o Microsoft 365 envie relatórios agregados (RUA) para o endereço de relatórios que você designar, ele não gera nem envia relatórios forenses (RUF), mesmo que estejam solicitados no seu registro DMARC.

O que acontece se eu publicar dois registros DMARC para o meu domínio personalizado?

Publicar vários registros DMARC faz com que os servidores de e-mail receptores fiquem confusos e não apliquem política alguma, anulando completamente seus esforços de segurança. Sempre certifique-se de que o seu domínio tenha exatamente um registro DMARC do tipo TXT.