Um cliente recebe uma factura vossa. O logótipo está certo, o texto está certo, o endereço de quem envia parece o vosso. Só o IBAN é que é diferente.
Paga. E quando descobre, a conversa é convosco.
Vemos isto com frequência. E na maioria dos casos podia ter sido evitado com três configurações que não custam nada e que ninguém fez.
O que estas três coisas fazem
Não protegem a vossa caixa de correio. Protegem o vosso nome — a capacidade de provar que uma mensagem saiu mesmo da vossa empresa.
SPF
A lista de quem pode enviar em nome do vosso domínio. Diz aos servidores do mundo: só estes é que estão autorizados. Tudo o resto é falso.
DKIM
Uma assinatura digital. Prova que a mensagem saiu de quem diz ter saído e que ninguém lhe mexeu pelo caminho.
DMARC
A instrução do que fazer quando as duas anteriores falham — rejeitar, mandar para spam, ou deixar passar. E, importante, envia relatórios: fica a saber quem anda a tentar enviar mensagens em vosso nome.
Sem DMARC, nem sabem que estão a ser imitados.
Porque é que isto é mais comum do que se pensa
Em mais de metade dos domínios que analisamos, pelo menos um destes registos não existe ou está mal configurado.
Não é negligência. É que estas configurações vivem no DNS do domínio, não no email nem no site. Quem trata do email muitas vezes não trata do DNS. Quem registou o domínio já não trabalha lá. E como nada avisa que falta, ninguém repara.
O domínio funciona. As mensagens chegam. Aparentemente está tudo bem.
O que se passa quando falta
Qualquer pessoa pode escrever em vosso nome. Não é preciso invadir nada nem descobrir palavras-passe. Basta configurar um servidor a dizer que é vocês. Sem SPF nem DMARC, ninguém o desmente.
Facilita ataques dirigidos aos vossos clientes. É exactamente assim que se monta a fraude do IBAN trocado, e é assim que se enviam mensagens de phishing aos vossos contactos usando a vossa credibilidade.
E o vosso domínio começa a ser tratado como spam. Quando um domínio é usado repetidamente para enviar lixo, os grandes fornecedores de correio começam a desconfiar dele — e as vossas mensagens legítimas passam a cair na pasta errada.
O prejuízo deixa de ser hipotético. É o orçamento que o cliente diz nunca ter recebido.
Como saber se o vosso domínio está protegido
Não precisa de ferramentas nem de conhecimentos técnicos. Precisa de fazer uma pergunta a quem lhe trata do email ou do domínio:
O nosso domínio tem SPF, DKIM e DMARC configurados? E o DMARC está em modo de rejeição, ou apenas a observar?
A segunda parte é importante. É comum encontrar o DMARC configurado em modo de não fazer nada: recolhe relatórios, mas deixa passar tudo. É um bom ponto de partida, mas não é protecção — é observação.
Se a resposta for hesitante, ou se ninguém souber quem trata do DNS do domínio, já tem informação suficiente.
O que é preciso fazer
A configuração em si é rápida — três registos no DNS. O trabalho está no que vem antes e depois.
Antes: levantar tudo o que envia email em nome da empresa. O servidor de correio, o site, o software de gestão que envia facturas, a plataforma de newsletters, o sistema de facturação. Se algum ficar de fora do SPF, as mensagens dele deixam de chegar.
Depois: começar o DMARC em observação, ler os relatórios durante algumas semanas, confirmar que só passam remetentes legítimos, e só então apertar para rejeição.
Apertar sem observar primeiro é a forma mais rápida de bloquear os vossos próprios emails.
Se quiser saber como está o vosso domínio, diga-nos. Verificamos e explicamos o que encontrámos — gerimos domínios e correio electrónico, e esta é das primeiras coisas que corrigimos em clientes novos.