Verificador de registos DMARC

Funcionamento do Verificador de Registos DMARC

O Verificador de registos DMARC analisa o valor de um registo TXT de DMARC fornecido para examinar as suas políticas, definições de alinhamento, endereços de relatórios e valores de percentagem legados. Esta ferramenta identifica etiquetas inválidas e apresenta notas detalhadas sobre a sintaxe e as escolhas de política, permitindo compreender de forma clara como o registo é estruturado e interpretado pelos servidores de correio recetores.

O processamento do registo ocorre inteiramente no navegador do utilizador. O valor introduzido não é carregado para servidores externos, não é guardado, não é escrito no armazenamento do navegador e não são efetuadas quaisquer consultas externas relacionadas com o registo.

---

Estrutura e Componentes de um Registo DMARC

Um registo DMARC é composto por vários termos (etiquetas) separados por pontos e vírgulas, cada um com uma função específica na definição de como o correio eletrónico do domínio deve ser tratado.

A Importância de v=DMARC1

O registo tem obrigatoriamente de começar com o valor sensível à diferença entre maiúsculas e minúsculas v=DMARC1. Esta tem de ser a primeira etiqueta presente no registo. Se este requisito não for cumprido, o registo é considerado inválido pelos sistemas recetores.

Políticas de Domínio e Subdomínio (p, sp, np)

As políticas determinam a ação que o servidor recetor deve tomar quando uma mensagem falha a autenticação DMARC:

• Política de domínio (p): Define a regra para o domínio principal. Se nenhuma etiqueta p estiver presente, a política do domínio reverte para none. Uma política p=none serve apenas para monitorizar falhas e não solicita aos recetores que coloquem em quarentena ou rejeitem as mensagens que falhem a autenticação.
• Política de subdomínio (sp): Aplica-se aos subdomínios do domínio principal.
• Política para subdomínios inexistentes (np): Define o comportamento para subdomínios que não existem no DNS.

Na ausência de etiquetas mais específicas, as políticas de subdomínio seguem uma hierarquia de reversão: o valor de np reverte para sp, que por sua vez reverte para p.

Alinhamento de Identificadores

O DMARC verifica o alinhamento dos identificadores das tecnologias SPF (Sender Policy Framework) e DKIM (DomainKeys Identified Mail). O alinhamento determina se o domínio no cabeçalho "From" corresponde aos domínios validados pelo SPF e DKIM.

Configuração de Relatórios (rua e ruf)

Os relatórios permitem aos administradores monitorizar quem está a enviar mensagens em nome do seu domínio:

• Relatórios agregados (rua): Especifica os endereços para onde devem ser enviados os relatórios diários agregados. Se não estiver presente um endereço rua válido, os relatórios agregados não são solicitados.
• Relatórios de falha (ruf): Especifica os endereços para relatórios detalhados de falhas forenses.
• Opções de falha (fo): Esta etiqueta é ignorada se não existir um endereço de relatórios de falha ruf válido.

---

Regras de Validação e Casos Especiais

Durante a análise de um registo DMARC, existem regras estritas e comportamentos históricos que afetam a interpretação dos dados pelos servidores de correio:

• Modo de teste (t=y): A presença de t=y reduz temporariamente o nível de aplicação da política durante a fase de testes. Sob esta condição, uma política de reject é despromovida para quarantine, e uma política de quarantine é despromovida para none.
• Percentagem legada (pct): Os valores de pct são considerados históricos e limitam a cobertura da política apenas para servidores recetores que ainda sigam especificações DMARC antigas.
• Sufixo de tamanho (!size): O sufixo !size num URI de relatório é obsoleto e deve ser ignorado pelos servidores recetores atuais.
• Etiquetas históricas: A ferramenta identifica etiquetas que pertencem a normas anteriores e que os sistemas recetores que seguem o padrão atual podem ignorar.

---

Utilização da Interface e Introdução de Dados

Para analisar um registo, o utilizador deve introduzir o valor no campo Valor TXT do DMARC. O limite máximo para a análise é de 20 000 carateres. Caso o registo DNS copiado contenha segmentos entre aspas, a ferramenta aceita e une automaticamente esses blocos antes de iniciar a validação.

Após clicar em Verificar registo DMARC, a ferramenta apresenta os resultados estruturados em várias secções:

1. Análise DMARC: A secção principal com o resultado global da validação.
2. Resumo do DMARC: Exibe de forma direta as definições essenciais, incluindo a política de domínio (p), política de subdomínio (sp), política para subdomínios inexistentes (np), alinhamento de identificadores, contagem de endereços de relatórios e a percentagem legada (pct).
3. Destinos de relatórios: Detalha os endereços configurados para relatórios agregados (rua) e relatórios de falha (ruf).
4. Termos analisados: Uma tabela que lista cada etiqueta encontrada, o seu valor ou qualificador, e o respetivo tipo, classificado como:
   • RFC 9989 (Ativo)
   • RFC 7489 (Histórico)
   • Desconhecido
   • ✕ DMARC (Inválido)
5. Notas de sintaxe e de política: Lista os problemas, avisos ou observações detetados no registo. Se o registo estiver correto, exibe a mensagem: "Não foi encontrado qualquer risco de sintaxe ou de política no registo colado."

---

Mensagens de Erro e Alertas de Sintaxe

A ferramenta valida a sintaxe rigorosamente e pode apresentar as seguintes mensagens de erro ou notas de política com base no conteúdo analisado:

• Erros de entrada:
  • Introduza um registo DMARC suportado.
  • Cole primeiro um registo DMARC.
  • Esse registo é invulgarmente grande. Mantenha-o abaixo de 20 000 carateres.
• Erros de estrutura e etiquetas:
  • O registo tem de começar por v=DMARC1.
  • Termo ‹position›: v=DMARC1 tem de ser o primeiro termo.
  • ×2: ‹tag› (‹position›) (quando uma etiqueta aparece duplicada)
  • name=value ✕ (‹position›) (quando o termo está malformado e não usa a separação correta por ponto e vírgula)
  • ‹tag›=∅ (‹position›) (quando uma etiqueta não tem valor associado)
  • ‹tag›=‹detail› ✕ (‹position›) (quando o valor de uma etiqueta é inválido)
  • URI ✕: ‹tag› (‹position›) (quando o URI de relatório é inválido)
  • Desconhecido: ‹tag› (‹position›) (quando a etiqueta não está registada e será ignorada pelos recetores)
  • RFC 7489 → RFC 9989: ‹tag› (‹position›) (quando a etiqueta é histórica na norma atual)
• Notas de política e comportamento:
  • p → none (indica que a etiqueta p está ausente e a política reverte para none)
  • p=none (alerta que a política apenas monitoriza e não solicita quarentena ou rejeição)
  • t=y: reject → quarantine; quarantine → none (indica que o modo de teste está ativo e reduz a severidade das políticas)
  • rua=∅ (indica que não há um endereço rua válido e os relatórios agregados não serão enviados)
  • fo → ∅ (ruf=∅) (indica que a etiqueta fo será ignorada por falta de um endereço ruf válido)
  • pct=‹detail›% (RFC 7489) (alerta para o uso de uma percentagem de cobertura histórica)
  • Os segmentos TXT de DNS entre aspas foram unidos antes da análise.
  • !size → ∅ (RFC 9989) (alerta que o sufixo de tamanho no URI é obsoleto e deve ser ignorado)

---

Perguntas Frequentes (FAQ)

Notas de sintaxe e de política: p / sp / np?

A etiqueta p define a política para o domínio principal. Se não for declarada, reverte para p=none, o que significa que o domínio está apenas em modo de monitorização e não solicita ações de bloqueio aos servidores recetores. O modo de teste t=y reduz temporariamente a aplicação das políticas (reject passa a quarantine e quarantine passa a none). Caso as etiquetas de subdomínio sp ou de subdomínios inexistentes np não estejam explicitamente configuradas, o comportamento segue a cadeia de reversão lógica: np herda de sp, que por sua vez herda de p.

RFC 9989: pct / rf / ri?

Não. Esta página verifica apenas o texto que colar. Não consulta o DNS, não expande registos de fornecedores, não testa um IP remetente nem confirma o que um servidor de correio recetor devolverá. De acordo com a evolução das normas para a RFC 9989, parâmetros como pct, rf e ri são classificados como históricos (RFC 7489), enquanto etiquetas como np, psd e t são consideradas ativas (RFC 9989).

Um resultado sem problemas prova que a minha configuração DMARC funciona?

Não. Esta página verifica apenas o texto que colar. Não consulta o DNS, não expande registos de fornecedores, não testa um IP remetente nem confirma o que um servidor de correio recetor devolverá. A ausência de erros de sintaxe ou de política no analisador indica apenas que a estrutura do texto fornecido está correta e em conformidade com as regras de formatação do protocolo DMARC.