Analisador de relatórios DMARC

Largue os ficheiros de relatórios agregados que os recetores lhe enviam —.xml, .xml.gz ou um .zip com vários— e recupere o que o XML esconde: que origens enviam como o seu domínio, quanto disso passa no alinhamento SPF e DKIM, o que falhou em ambos e o que corrigir primeiro, em linguagem simples. Tudo é descomprimido e analisado no seu navegador; os ficheiros nunca saem do seu navegador, porque um relatório DMARC é um mapa de quem envia o seu correio —e de quem finge fazê-lo—.

Ou largue os ficheiros em qualquer ponto desta caixa. Relatórios de recetores diferentes e de dias diferentes fundem-se numa só tabela, agrupados por origem.

O exemplo é fabricado: um remetente saudável, um reencaminhador, uma plataforma de marketing desalinhada e uma origem desconhecida que falha tudo.

O que um relatório agregado realmente é

O DMARC tem duas metades. A primeira é o registo que publica —política, modos de alinhamento, endereço de relatórios— e é a metade que qualquer verificador consegue ler, incluindo a verificação de entregabilidade de correio deste site. A segunda metade é o ciclo de retorno: cada grande recetor que vê correio a afirmar ser do seu domínio resume o que viu e envia o resumo para o seu endereço rua, normalmente uma vez por dia, em XML. Esse ficheiro é a única prova de quem mais envia como você. Campanhas de falsificação, uma plataforma de marketing que um colega ligou há dois anos, o serviço de monitorização que ainda usa um servidor desativado —tudo isso aparece nos relatórios agregados semanas antes de aparecer em qualquer outro lugar, se é que alguém os lê—. Quase ninguém os lê, porque o XML bruto com elementos policy_evaluated aninhados é quase ilegível e os ficheiros acumulam-se comprimidos numa caixa de correio. É essa a lacuna que este analisador preenche: o mesmo ficheiro, transformado numa tabela de origens e vereditos, com cada falha traduzida na correção de que precisa. O guia complementar, como ler os seus relatórios DMARC, explica o vocabulário do formato —disposição, alinhamento, a diferença entre um resultado de autenticação e um resultado alinhado— com um exemplo completo resolvido.

Dois hábitos fazem os relatórios valerem mais. Primeiro, leia-os antes de impor a política: uma política p=none com relatórios é um sistema de vigilância, e as semanas em que funciona são a forma de conhecer cada remetente legítimo, para que a passagem para quarentena e rejeição não quebre nada de real. Segundo, trate cada origem desconhecida como um ticket, não como uma curiosidade —identifique-a, alinhe-a ou veja a imposição eliminá-la—, mas nunca deixe um fluxo não reconhecido no monte do «provavelmente está bem», porque é exatamente nesse monte que a falsificação se esconde. Repare no que os relatórios agregados deliberadamente não contêm: sem corpos de mensagem, sem linhas de assunto, sem endereços de destinatários. São contagens e vereditos por origem, e é por isso que podem ser partilhados com a equipa de suporte de um fornecedor —como um ficheiro que entrega deliberadamente, e não como um envio para uma ferramenta—. Esta página mantém essa propriedade: a análise acontece onde o ficheiro já está, na sua máquina.

Perguntas frequentes

O que é um relatório agregado DMARC?

É o ficheiro de retorno diário que os recetores (Google, Microsoft, Yahoo e os restantes) enviam para o endereço da etiqueta rua do seu registo DMARC. Para cada origem que enviou correio a afirmar ser o seu domínio, o relatório lista o IP de origem, o número de mensagens, a disposição que o recetor aplicou e se o SPF e o DKIM se alinharam com o seu domínio From. É o único lugar onde a falsificação do seu domínio se torna visível como dados, e não como uma queixa de um cliente confuso. O guia como ler os seus relatórios DMARC percorre um relatório real linha a linha.

Como recebo estes relatórios para o meu próprio domínio?

Publique um registo DMARC com um endereço de relatórios —v=DMARC1; p=none; rua=mailto:[email protected]— e os recetores começam a enviar dentro de cerca de um dia. Se ainda não tem registo, ou quer verificar o que tem, execute primeiro a verificação de entregabilidade de correio: ela lê o registo, a política e se existe um endereço de relatórios publicado. Os relatórios chegam como pequenos ficheiros XML, normalmente comprimidos com gzip ou agrupados num zip, que é exatamente o que este analisador abre.

É seguro abrir um relatório aqui? Para onde vai o ficheiro?

Para lado nenhum. O ficheiro é descomprimido e analisado no seu navegador, nesta página; nada é enviado, transmitido ou armazenado. É um desenho deliberado, porque os relatórios agregados são um mapa da sua infraestrutura de correio —cada serviço de envio que utiliza, cada IP e qualquer falsificação dirigida a si—. Enviar esse mapa para o servidor de um estranho, ou colá-lo numa conversa de IA que guarda registos, entrega o mapa a pessoas a quem ele nunca se destinou.

Uma origem que não reconheço falha tanto no SPF como no DKIM. É falsificação?

É falsificação ou um remetente de que ninguém lhe falou —e o relatório, por si só, não consegue separar as duas coisas, razão pela qual o analisador o formula como uma questão a investigar, e não como um veredito—. Trabalhe por ordem: o IP pertence a um fornecedor a quem a sua organização paga (um CRM, um serviço de apoio, uma velha ferramenta de marketing, um serviço de monitorização esquecido)? O volume é estável e pequeno (um sistema interno mal configurado) ou em picos e grande (uma campanha)? Enquanto a sua política for p=none, esse correio é entregue de qualquer forma; quando cada origem legítima estiver alinhada e impuser quarentena ou rejeição, o fluxo não reconhecido será recusado seja ele qual das duas coisas for.

O meu próprio correio legítimo está a falhar. O que corrijo primeiro?

O alinhamento, quase sempre no fornecedor. O SPF não se alinha quando o fornecedor envia a partir do seu próprio domínio de devolução —corrija-o com um subdomínio personalizado de caminho de retorno, para que o domínio do envelope seja o seu—. O DKIM não se alinha quando o fornecedor assina com o seu próprio domínio ou nem sequer assina —corrija-o ativando a assinatura DKIM com o seu domínio nas definições do fornecedor—. Basta um mecanismo alinhado para passar no DMARC, mas o DKIM é o mais robusto dos dois porque sobrevive ao reencaminhamento. Corrija os remetentes por ordem de volume, veja os relatórios seguintes saírem limpos e só então endureça a política.