O domínio da sua empresa tem DKIM? Como qualquer pessoa pode descobrir em dois minutos
Antes de oferecer diagnóstico de segurança para qualquer empresa, eu rodei o processo no meu próprio domínio. Achei uma falha.
O grcseguranca.com.br estava sem DKIM. Na prática, duas consequências: qualquer pessoa conseguiria enviar e-mail se passando por mim, com chance razoável de entrega; e as minhas próprias mensagens tinham mais chance de cair em spam, porque não havia nada assinando elas.
Domínio novo, criado por alguém que trabalha com segurança há mais de seis anos. Mesmo assim, faltava.
Isso não é incompetência minha nem azar. É exatamente como acontece: ninguém publica um domínio pensando “vou deixar isso vulnerável”. A exposição aparece pelo que não foi configurado — e só é encontrada por quem vai olhar de propósito.
Por que isso importa mais numa empresa pequena
O golpe que explora a falta de autenticação de e-mail não precisa invadir nada. Ele apenas envia uma mensagem que parece vir do seu domínio.
A versão que mais aparece em empresa de 10 a 200 funcionários é sempre a mesma: um e-mail chega ao financeiro, aparentemente do diretor ou de um fornecedor conhecido, pedindo que um pagamento seja feito numa conta diferente. Nada foi hackeado. Nenhum antivírus apita, porque não há arquivo malicioso. O que houve foi um remetente forjado que o servidor de destino não teve como contestar.
Quando o domínio tem SPF, DKIM e DMARC bem configurados, essa mensagem forjada é barrada antes de chegar à caixa de entrada — ou pelo menos marcada como suspeita. Sem eles, a decisão fica por conta da atenção de quem está lendo, num dia corrido.
Os três registros, sem jargão
Os três vivem no DNS do seu domínio — a mesma configuração que diz onde fica o seu site. Não se instala nada, não há software envolvido, e mexer neles não derruba sistema nenhum.
SPF — quem tem permissão de enviar
É uma lista pública dos servidores autorizados a enviar e-mail em nome do seu domínio. O servidor que recebe a mensagem consulta essa lista e confere se o remetente estava nela.
O detalhe que quase sempre está errado: o final da regra. Terminar em ~all significa “se não estava na lista, aceite mesmo assim e marque”. Terminar em -all significa “se não estava na lista, rejeite”. A maioria dos domínios fica no primeiro por anos, sem que ninguém perceba que a trava está solta.
DKIM — a assinatura que prova que a mensagem não foi alterada
Cada mensagem que sai do seu provedor recebe uma assinatura criptográfica. Quem recebe confere essa assinatura contra uma chave pública publicada no seu DNS. Se bater, duas coisas ficam provadas: a mensagem saiu mesmo de onde diz que saiu, e ninguém alterou o conteúdo no caminho.
Era exatamente isto que faltava no meu domínio. O provedor oferecia, estava desligado, e nada no painel chamava atenção para isso.
DMARC — o que fazer quando algo falha, e quem fica sabendo
O DMARC amarra os dois anteriores e responde a duas perguntas: o que o servidor de destino deve fazer com uma mensagem que falhou na verificação, e para onde mandar o relatório do que aconteceu.
Ele tem três políticas, e a ordem importa:
- p=none — não faça nada, só me avise. É por onde se começa, para enxergar o tráfego real antes de bloquear.
- p=quarantine — mande para a caixa de spam.
- p=reject — rejeite a mensagem.
Pular direto para reject é o erro clássico. Se algum sistema legítimo envia e-mail em nome do seu domínio — a ferramenta de notas fiscais, o sistema de RH, a plataforma de e-mail marketing — e ninguém se lembrou dele, essas mensagens simplesmente param de chegar. Por isso se começa em none, lê-se os relatórios por algumas semanas, e só então se aperta.
O relatório do DMARC vem em XML e é ilegível de propósito. Chega por e-mail, compactado, enviado pelos grandes provedores. Vale abrir mesmo assim: é a única forma de descobrir que existe um sistema esquecido enviando e-mail em nome da sua empresa há anos.
Como conferir o seu domínio agora, de graça
Dois caminhos. O primeiro leva dois minutos e não exige conhecimento técnico nenhum.
- Abra o mail-tester.com. Ele gera um endereço aleatório na tela.
- Envie um e-mail para esse endereço a partir da sua conta corporativa — a de verdade, do domínio da empresa. Escreva um texto normal, com algumas linhas e uma assinatura. Mensagem vazia ou com a palavra “teste” no assunto é penalizada por conteúdo e confunde o resultado.
- Volte à página e peça a nota. Procure, no detalhamento, as três linhas de SPF, DKIM e DMARC. O que interessa não é a nota geral: é se cada uma das três aparece como aprovada.
O segundo caminho é consultar o DNS diretamente, se você tem alguém de TI por perto. No terminal:
dig TXT grcseguranca.com.br dig TXT _dmarc.grcseguranca.com.br
Troque pelo seu domínio. A primeira consulta mostra o SPF, a segunda mostra o DMARC. O DKIM é o mais chato de conferir assim, porque fica num nome que depende do provedor — no Zoho, por exemplo, é zmail._domainkey; no Google Workspace costuma ser google._domainkey. Por isso o mail-tester é o caminho mais honesto: ele testa uma mensagem real, do jeito que o mundo recebe.
O que fazer com o resultado
Se as três passarem, ótimo — vale repetir o teste de tempos em tempos, principalmente depois de trocar de provedor de e-mail ou de contratar qualquer ferramenta que envie mensagem em nome da empresa.
Se alguma falhar, a correção é de configuração de DNS, não de compra. Quem administra o seu domínio consegue fazer. No meu caso levou dois dias: DKIM publicado e verificado, SPF em política restritiva, DMARC monitorando. Hoje o domínio passa nos testes com nota cheia.
E guarde a sequência, que é o que mais se erra: publique o DKIM primeiro, feche o SPF depois, e só então aperte o DMARC — nunca o contrário.
Por que eu conto isso
Esse episódio é o serviço inteiro em um parágrafo. Olhar de fora para dentro, encontrar o que ninguém configurou, e entregar um plano de correção em ordem de prioridade. Portas e serviços expostos, aplicações web, TLS, certificados, postura de e-mail e DNS.
Sem instalar nada no ambiente do cliente, sem parar sistema e sem janela de manutenção.
A autenticação de e-mail é só um dos itens da lista — mas é o que mais vezes está faltando, o mais barato de corrigir e o que evita o golpe mais comum contra empresa do seu porte.
Quer saber o que a sua empresa expõe hoje?
Se você rodou o teste e ficou com dúvida sobre o resultado, me mande — eu leio e te digo o que significa, sem custo.
Próximo artigo: “Está na nuvem, então está seguro” — a lacuna de backup do 365 e do Workspace →