Registro DMARC na GoDaddy: passo a passo

Onde adicionar o registro DMARC de um domínio da GoDaddy?

O registro DMARC vai onde o DNS do seu domínio está de fato hospedado, e esse nem sempre é o lugar onde você comprou o domínio. Se o domínio usa os nameservers da GoDaddy, você adiciona o registro na página de DNS da GoDaddy. Se os nameservers apontam para outro lugar, como a Cloudflare ou a sua hospedagem, a página de DNS da GoDaddy não tem efeito nenhum e o registro precisa ser criado nesse outro provedor. As configurações do domínio na GoDaddy mostram quais nameservers estão ativos. Você também pode rodar dig NS seudominio.com no terminal e ler a resposta.

Pela especificação do DMARC publicada pelo IETF, o servidor que recebe a mensagem consulta um único registro TXT em _dmarc.seudominio.com, onde seudominio.com é o domínio que aparece no endereço From visível. Nada além disso conta. Um registro no domínio raiz, ou em mail.seudominio.com, não é lido para e-mails enviados com From seudominio.com. A central de ajuda da GoDaddy tem artigos de DMARC separados para o Professional Email dela e para as caixas do Microsoft 365, mas o registro em si é o mesmo TXT, seja qual for o provedor de caixa de e-mail que envia as suas mensagens.

Configuração de DMARC: como criar o registro DMARC na GoDaddy passo a passo

A configuração de DMARC segue uma ordem fixa: primeiro SPF e DKIM para todo serviço que envia com From do seu domínio, depois um registro DMARC de monitoramento, em seguida a leitura dos relatórios e só então a aplicação da política. Os passos abaixo tratam do registro em si e seguem o fluxo que a central de ajuda da GoDaddy descreve para adicionar um registro TXT. A GoDaddy muda os nomes dos menus de vez em quando; se algum botão estiver com outro nome, procure a página de DNS ou de registros DNS do domínio.

1. 1 Entre na GoDaddy e abra o seu Portfólio de domínios (Domain Portfolio).
2. 2 Selecione o domínio e abra a página de DNS, que lista os registros existentes.
3. 3 Procure um registro TXT com o nome _dmarc. Se já existir, edite esse registro em vez de criar um segundo.
4. 4 Escolha Adicionar novo registro (Add New Record) e defina o tipo como TXT.
5. 5 No campo Nome (Host), digite apenas _dmarc. A GoDaddy completa com o seu domínio sozinha.
6. 6 No campo Valor, cole a sua política, por exemplo v=DMARC1; p=none; rua=mailto:dmarc@seudominio.com.
7. 7 Deixe o TTL no padrão, a menos que tenha um motivo para mudar, e salve.
8. 8 Confira de fora da GoDaddy com dig TXT _dmarc.seudominio.com +short ou com uma ferramenta pública de consulta DNS. A resposta deve ser uma única string que começa com v=DMARC1.

O DMARC só passa quando o SPF ou o DKIM passa e está alinhado com o domínio do From. Por isso, um registro publicado antes desses dois estarem no lugar gera basicamente linhas de falha nos relatórios. O nosso verificador de SPF, DKIM e DMARC lê os três registros de um domínio em uma única consulta.

Exemplo de registro DMARC para um domínio da GoDaddy

Um exemplo de registro DMARC fica mais fácil de entender como três etapas de uma mesma implantação. O Nome continua _dmarc o tempo todo; só o Valor muda. O significado das tags vem da especificação do DMARC.

Etapa	Valor do registro TXT _dmarc	O que os servidores de destino fazem
Monitorar	v=DMARC1; p=none; rua=mailto:dmarc@seudominio.com	Entregam normalmente, mas enviam relatórios agregados para o endereço rua
Quarentena	v=DMARC1; p=quarantine; rua=mailto:dmarc@seudominio.com	Tratam o e-mail reprovado como suspeito, o que normalmente significa a pasta de spam. A tag opcional pct limita isso a uma parcela dos e-mails reprovados
Rejeitar	v=DMARC1; p=reject; rua=mailto:dmarc@seudominio.com	Pedem que os servidores recusem o e-mail reprovado no DMARC

O p=none não bloqueia nada, então não impede que alguém falsifique o seu domínio. A função dele é gerar relatórios. Se você ficar em p=none para sempre, terá visibilidade, mas nenhuma proteção efetiva.

Quais tags DMARC importam no registro?

A especificação do DMARC define uma lista curta de tags. Só v e p são obrigatórias, e v precisa vir primeiro. Qualquer tag que você omitir assume o valor padrão que a especificação define para ela.

Tag	O que define	Padrão se omitida
v	Versão do protocolo, sempre DMARC1	Obrigatória
p	Política do domínio: none, quarantine ou reject	Obrigatória
sp	Política para subdomínios	Igual a p
rua	Endereço(s) para relatórios agregados em XML	Sem relatórios agregados
ruf	Endereço(s) para relatórios de falha por mensagem	Sem relatórios de falha
pct	Parcela dos e-mails reprovados à qual a política se aplica	Todos os e-mails reprovados
adkim	Alinhamento DKIM: r (relaxed) ou s (strict)	r
aspf	Alinhamento SPF: r (relaxed) ou s (strict)	r
fo	Quando os relatórios de falha são gerados	Só quando nenhuma verificação alinha
ri	Intervalo solicitado dos relatórios agregados, em segundos	Um dia

Alinhamento relaxed significa que um subdomínio como mail.seudominio.com ainda se alinha com seudominio.com. Alinhamento strict exige correspondência exata. Muitos grandes provedores ignoram o ruf por questões de privacidade, então não conte com a chegada dos relatórios de falha. O nosso guia de configuração de DMARC detalha cada tag, inclusive como o sp se comporta em subdomínios.

O que dá errado no registro DMARC da GoDaddy?

• Domínio completo no campo Nome: digitar _dmarc.seudominio.com pode publicar o registro em _dmarc.seudominio.com.seudominio.com, onde nenhum servidor vai procurar. Digite só _dmarc.
• Dois registros DMARC: pela especificação do DMARC, se a consulta retornar mais de um registro DMARC, o servidor de destino ignora o DMARC por completo. Junte tudo em um só.
• Nameservers errados: o registro está na página de DNS da GoDaddy, mas o domínio resolve por outro provedor, então a consulta pública não retorna nada.
• Endereço de relatório em outro domínio: se o rua aponta para uma caixa em outro domínio, esse domínio precisa publicar um registro TXT de autorização em seudominio.com._report._dmarc.outrodominio.com. Sem ele, os servidores podem não enviar relatórios para lá.
• Erros de digitação no valor: um ponto e vírgula faltando, um espaço dentro do mailto: ou DMARC em vez de DMARC1 deixam o registro inválido.
• Ir para reject cedo demais: um remetente esquecido, como um CRM, um sistema de emissão de faturas ou uma plataforma de newsletter, começa a falhar e os e-mails dele são recusados.

Como ler os relatórios DMARC?

Os relatórios agregados chegam no endereço rua como anexos XML compactados, normalmente um por provedor por dia. Cada relatório tem um cabeçalho com o nome do provedor que o gerou e o período coberto, depois a política que ele encontrou no seu registro e, por fim, uma linha para cada IP de envio.

• source_ip: o servidor que enviou o e-mail. Pesquise o IP para saber se é Google, Microsoft, Brevo ou algo que você não reconhece.
• count: quantas mensagens saíram daquele IP no período.
• disposition: o que o servidor de destino fez com elas (none, quarantine, reject).
• dkim e spf dentro de policy_evaluated: se cada um passou e se alinhou com o domínio do From. Esse é o veredito do DMARC.
• auth_results: os resultados brutos de SPF e DKIM, incluindo qual domínio assinou. Um DKIM aprovado para um domínio que não é o seu explica por que o DKIM alinhado ainda pode aparecer como fail.

As linhas em que nem o SPF nem o DKIM estão alinhados mostram o que você precisa corrigir antes de endurecer o p. O nosso artigo sobre como ler relatórios DMARC percorre um arquivo XML de exemplo campo a campo.

Google Workspace em domínio da GoDaddy: SPF e DMARC

Qual é o registro SPF do Google?

A ajuda para administradores do Google Workspace indica o registro SPF como um TXT no domínio raiz com o valor v=spf1 include:_spf.google.com ~all. Na GoDaddy, o Nome é @. Um domínio só pode ter um registro SPF. Se você também envia pela Brevo ou por outro serviço, adicione o include deles nesse mesmo registro em vez de criar uma segunda entrada v=spf1, porque dois registros SPF geram permerror. O SPF também limita o número de consultas DNS que uma avaliação pode disparar, então uma cadeia longa de includes pode quebrar o SPF mesmo com cada include correto. O nosso artigo sobre os registros DNS do Google Workspace trata de MX, SPF e DKIM juntos.

Como funciona o DMARC no Google Workspace?

O Google Workspace não publica o DMARC por você. Você adiciona o mesmo registro TXT _dmarc na GoDaddy. Para que os e-mails do Workspace passem no DMARC via DKIM, ative a assinatura DKIM no Google Admin console e publique o registro TXT google._domainkey que ele gera. Sem a sua própria chave DKIM, os e-mails do Workspace só passam no DMARC pelo alinhamento do SPF. As diretrizes para remetentes do Google exigem que quem envia em massa para o Gmail publique DMARC. O nosso guia de implantação de DMARC no Google Workspace também cobre domínios que enviam pela Brevo.

DMARC quando o EmailFlow OS envia pela sua própria conta Brevo

O EmailFlow OS foi construído em torno do domínio que já é seu. Você grava um único vídeo e faz o upload no EmailFlow OS, conecta a sua conta Brevo e o seu domínio de envio e importa a sua lista de prospects para dentro do EmailFlow OS. A partir daí, o EmailFlow OS cria uma versão personalizada dessa única gravação para cada destinatário, e não para cada empresa, e envia cada versão a partir da sua própria caixa de entrada, pela sua própria conta Brevo e pelo seu próprio domínio de envio. Nada sai por um remetente compartilhado da plataforma.

Por isso, o registro DMARC que você publica na GoDaddy é exatamente o que os servidores de destino verificam nesses e-mails, já que o domínio do From é seu. Para que esses e-mails se alinhem via DKIM, a Brevo precisa assiná-los com o seu domínio, o que significa que os registros DKIM da Brevo também têm de estar na GoDaddy. O nosso guia de configuração de DKIM na GoDaddy para a Brevo mostra esses registros. Depois disso, os relatórios agregados exibem os IPs da Brevo ao lado das linhas do Workspace ou do Microsoft 365, e você pode confirmar que essas linhas estão alinhadas antes de passar para quarantine. Se a mensagem chega ou não à caixa de entrada continua sendo decisão do servidor de destino. Veja mais sobre como o EmailFlow OS envia e-mails com vídeo personalizado na página inicial.

Perguntas frequentes

? Quanto tempo o registro DMARC da GoDaddy leva para funcionar?

Assim que você salva, o registro fica ativo nos nameservers da GoDaddy. Resolvers que guardaram em cache uma resposta anterior para _dmarc mantêm essa resposta até o TTL dela expirar. Rode dig TXT _dmarc.seudominio.com contra um resolver público para ver o que os servidores de destino enxergam. Os primeiros relatórios agregados costumam chegar depois de um período completo de relatório, que pela especificação do DMARC é de um dia por padrão.

? O registro SPF do G Suite é diferente do registro SPF do Google Workspace?

Não. G Suite é o nome antigo do Google Workspace, e o registro SPF é o mesmo: v=spf1 include:_spf.google.com ~all como um único registro TXT no domínio raiz, segundo a ajuda para administradores do Google. Se o seu domínio ainda tem uma entrada SPF antiga do G Suite, mantenha só um registro v=spf1 e junte nele os includes dos outros remetentes.

? Posso ter dois registros DMARC no mesmo domínio da GoDaddy?

Não. A especificação do DMARC diz que, se uma consulta DMARC retornar mais de um registro, o servidor de destino simplesmente não aplica DMARC ao domínio. Isso costuma acontecer quando o assistente de configuração de um provedor de e-mail adiciona um registro ao lado de outro que você mesmo criou. Apague um deles e junte as tags de que precisa no outro.

? Um domínio de cold email deve começar em p=reject?

Normalmente não. O p=reject pede que os servidores recusem tudo o que for reprovado, inclusive e-mails legítimos de um remetente que você ainda não alinhou. Começar em p=none gera relatórios agregados que listam todos os IPs de envio. Quando todas as linhas legítimas mostrarem SPF ou DKIM alinhado, você pode avançar para quarantine e depois para reject.