Resumo de IA
A ver “dmarc=fail” numa mensagem de devolução ou num cabeçalho de e-mail? Isso é uma falha DMARC: os fornecedores de caixa de entrada não conseguiram confirmar que o seu domínio enviou o e-mail. Assim, podem colocá-lo no lixo ou rejeitá-lo completamente.
O WordPress pode enviar e-mails de imediato, mas não os pode enviar assinados com o seu domínio. Assim, os seus registos podem parecer corretos, mas a falha deve-se ao alinhamento.
Neste guia, irei guiá-lo através da descoberta da causa e da sua correção com o WP Mail SMTP.
- O que significa uma falha no DMARC
- Erros de Rejeição DMARC por Fornecedor
- Como Encontrar a Causa nos Cabeçalhos do seu E-mail
- Causas Comuns de Falha no DMARC (e a Correção para Cada Uma)
- Como Corrigir Falha no DMARC no WordPress Com WP Mail SMTP
- Resolução de Problemas de Falhas no DMARC Após Configuração
- Como manter os seus e-mails a passar no DMARC
- Perguntas Frequentes
O que significa uma falha no DMARC
Uma falha DMARC significa que nem SPF nem DKIM passaram para o seu domínio From.
Passar não é suficiente por si só. Pelo menos uma verificação tem de passar e alinhar-se com o domínio From.
É por isso que uma mensagem pode mostrar spf=pass e dkim=pass, mas ainda assim falhar o DMARC. Ambas as verificações passaram, apenas para o domínio de outra pessoa. Para mais detalhes, consulte o nosso guia SPF, DKIM e DMARC.
A Regra de Alinhamento Numa Tabela
Cada e-mail carrega 3 domínios que o DMARC compara. Eis onde cada um vive:
| Domínio | Onde vive | Para que serve |
|---|---|---|
| Domínio From | O cabeçalho From: que o seu destinatário vê | O domínio que o DMARC protege |
| Domínio SPF | O return-path (smtp.mailfrom) | Para onde vão as devoluções |
| Domínio DKIM | A etiqueta d= na assinatura DKIM | Quem assinou a mensagem |
O DMARC passa quando o domínio SPF ou o domínio DKIM corresponde ao domínio From. Eis como os resultados se combinam:
| SPF passa e alinha-se? | DKIM passa e alinha-se? | Resultado DMARC |
|---|---|---|
| Sim | Sim | Passar |
| Sim | Não | Passar |
| Não | Sim | Passar |
| Não | Não | Falha |
Por defeito, o DMARC utiliza o alinhamento relaxado. Isto significa que um subdomínio como mail.example.com ainda se alinha com example.com.
O que Acontece a um E-mail que Falha no DMARC
O que acontece a seguir depende da política no registo DMARC do remetente. Existem 3 opções:
- p=none: O destinatário entrega o e-mail normalmente e envia-lhe um relatório.
- p=quarantine: O destinatário move o e-mail para spam ou lixo.
- p=reject: O destinatário recusa o e-mail e o remetente recebe um bounce.
Mesmo com p=none, uma verificação falhada ainda prejudica a sua reputação de remetente. E desde fevereiro de 2024, Gmail e Yahoo exigem que os remetentes em massa passem no alinhamento DMARC.
Erros de Rejeição DMARC por Fornecedor
Cada provedor de caixa de correio expressa uma falha DMARC de forma diferente. Se recebeu um bounce, compare-o com esta tabela:
| Fornecedor | Erro que verá | O que significa |
|---|---|---|
| Gmail | 550 5.7.26 E-mail não autenticado de example.com não é aceite devido à política DMARC do domínio | Falha DMARC, e a sua política é reject |
| Gmail | 421 4.7.32 (limite de taxa) ou 421 5.7.32 (bloqueado) “o cabeçalho From: … não está alinhado com o domínio organizacional SPF ou DKIM autenticado” | SPF ou DKIM passaram, mas não para o seu domínio From |
| Gmail | 451 4.7.26 “falhas temporárias de DNS impedem a autenticação” | O Gmail não conseguiu consultar os seus registos. Tentará novamente |
| Microsoft 365 / Outlook | 550 5.7.509 Acesso negado, o domínio remetente example.com não passa na verificação DMARC e tem uma política DMARC de rejeição | Falha DMARC sob uma política de reject |
| Yahoo / AOL | 554 5.7.9 Mensagem não aceite por razões de política | Uma rejeição de política. Uma falha DMARC é uma causa comum |
| Mimecast | Autenticação DNS: Falha DMARC | O Mimecast reteve ou rejeitou a mensagem por falha DMARC |
| Qualquer cabeçalho | dmarc=fail em Authentication-Results | O destinatário executou a verificação e falhou |
Se apenas os destinatários de uma empresa estão a receber bounces, peça ao administrador deles o cabeçalho Authentication-Results da mensagem devolvida. Mostra se SPF, DKIM ou alinhamento falharam do lado deles.
Como Encontrar a Causa nos Cabeçalhos do seu E-mail
Uma forma rápida de encontrar a causa é ler o cabeçalho de autenticação do e-mail. Diz-lhe qual a verificação que falhou e qual o domínio que cada verificação utilizou.
Passo 1: Abrir os Cabeçalhos do E-mail
Primeiro, envie um e-mail do seu site para o seu endereço Gmail. Pode fazer isto em WP Mail SMTP » Ferramentas » Teste de E-mail.
Abra o e-mail no Gmail. Em seguida, clique no ícone ⋮ (Mais) e escolha Mostrar original.
O Gmail mostra uma tabela de resumo na parte superior com os resultados SPF, DKIM e DMARC. Abaixo dela estão os cabeçalhos brutos.
Passo 2: Ler a Linha de Resultados de Autenticação
Percorra a linha que começa com Authentication-Results. Eis um exemplo típico de falha:
Authentication-Results: mx.google.com;
dkim=pass [email protected] header.s=s1;
spf=pass [email protected];
dmarc=fail (p=REJECT sp=REJECT dis=REJECT) header.from=example.com
Compare os 3 domínios nessa linha:
- header.from:
example.comé o domínio From. - smtp.mailfrom:
em.mailservice.neté o domínio SPF. Não corresponde. - header.i ou header.d:
em.mailservice.neté o domínio DKIM. Também não corresponde.
Portanto, ambas as verificações passaram, mas nenhuma delas se alinhou. Essa é uma falha DMARC clássica.
Passo 3: Corresponder o Resultado a uma Causa
Agora, associe o padrão que encontrou a uma causa. Cada um tem a sua correção na secção seguinte.
| O que o cabeçalho mostra | Causa mais provável |
|---|---|
spf=pass e dkim=pass, mas domínios diferentes | O seu remetente não está a assinar com o seu domínio |
dkim=none e o domínio SPF é o servidor do seu host | O WordPress está a enviar através do PHP mail |
header.from é um endereço do Gmail ou Yahoo | O seu formulário usa o e-mail do visitante como remetente |
spf=fail ou spf=softfail para um único serviço | Outro serviço não está no SPF |
spf=permerror | O seu registo SPF está incorreto |
| Passou para si, falhou para um destinatário | O e-mail foi encaminhado |
Corrija os Seus Emails do WordPress Agora
Causas Comuns de Falha no DMARC (e a Correção para Cada Uma)
A maioria das falhas DMARC em sites WordPress provêm de 7 causas. As 2 primeiras são específicas do WordPress, por isso começarei por aí.
O WordPress Está a Enviar Através do PHP Mail
Por defeito, o WordPress envia e-mails com a função mail() do PHP no seu servidor web. Esse servidor geralmente não tem uma chave DKIM para o seu domínio.
O return-path é frequentemente o nome do servidor do seu host, como [email protected]. Assim, o SPF pode passar para o host, mas nunca se alinha com o seu domínio.
Correção: Envie através de um serviço de e-mail dedicado com o WP Mail SMTP. Abordo isso na secção de correção abaixo.
O seu formulário usa o endereço de e-mail do visitante como remetente
Alguns plugins de formulário permitem definir o E-mail do Remetente para um campo do formulário. Por exemplo, no WPForms, pode definir o endereço de e-mail do remetente. Se o definir para o endereço de e-mail do visitante, faz com que o seu servidor envie e-mails alegando ser de [email protected].
O Yahoo e o AOL publicam p=reject. Verifiquei quando escrevi esta publicação; ambos ainda o fazem.
Portanto, o Yahoo e o AOL rejeitam essas notificações antes que cheguem até si.
_dmarc.yahoo.com "v=DMARC1; p=reject; pct=100; ..."
_dmarc.aol.com "v=DMARC1; p=reject; pct=100; ..."
Correção: Defina o Email de Remetente para um endereço no seu próprio domínio. Coloque o email do visitante no campo Responder a em vez disso.
Ainda pode responder com um clique.
O seu serviço de email não está a assinar com o seu domínio
Conectou um serviço de email, mas não verificou o seu domínio dentro dele. Assim, o serviço assina DKIM com o seu próprio domínio, como sendlayer.net. Também usa o seu próprio caminho de retorno.
Ambas as verificações são bem-sucedidas, mas nenhuma se alinha. Este é o padrão de cabeçalho do exemplo de Authentication-Results acima.
Correção: Conclua a autenticação de domínio no painel do seu serviço de email. Ele fornece registos DKIM (geralmente CNAMEs) para adicionar ao seu DNS.
Assim que verificarem, a etiqueta d= torna-se o seu domínio.
Outro serviço envia emails e não está no SPF
O seu site provavelmente não é a única coisa que envia em nome do seu domínio. Outras ferramentas podem enviar também:
- Google Workspace
- Uma ferramenta de newsletter
- Um help desk
- Uma plataforma de loja
Diga que um deles não está no seu registo SPF e não assina DKIM como o seu domínio. Então, o email dele falha no DMARC.
Correção: Liste todos os serviços que enviam em nome do seu domínio. Em seguida, adicione o include SPF de cada um e configure o seu DKIM.
Os seus relatórios agregados DMARC mostram todas as fontes, o que facilita a criação desta lista. Para saber como adicionar mais de um registo SPF, consulte o nosso guia sobre adicionar múltiplos registos SPF.
O Seu Registo SPF Está Quebrado ou Acima do Limite de Pesquisa
Um registo SPF quebrado falha para todos os remetentes de uma vez. Os 2 problemas mais comuns são registos SPF duplicados e exceder 10 consultas DNS.
Aqui está uma configuração quebrada com 2 registos:
example.com TXT "v=spf1 include:_spf.google.com ~all"
example.com TXT "v=spf1 include:spf.mailservice.net ~all"
E aqui está a versão corrigida, mesclada em 1 registo:
example.com TXT "v=spf1 include:_spf.google.com include:spf.mailservice.net ~all"
Correção: Mescle-os num único registo e remova os includes de serviços que já não utiliza.
Como Corrigir Falha no DMARC no WordPress Com WP Mail SMTP
Para corrigir uma falha DMARC no WordPress, use um serviço de email que assine com o seu domínio. Em seguida, force um Email de Remetente nesse domínio e adicione os registos DNS do serviço de email.
O WP Mail SMTP gere as configurações do serviço de email e do Email de Remetente. Aqui estão os passos.
Passo 1: Ligar um Remetente que Assine Com o Seu Domínio
Vá para WP Mail SMTP » Definições e clique em Iniciar Assistente de Configuração. Em seguida, escolha um serviço de email, como SendLayer, Brevo, Mailgun ou Amazon SES.
O assistente guia-o através da conexão da conta.
O guia de configuração de cada serviço de email também abrange a verificação do seu domínio. Essa é a parte que corrige o alinhamento DKIM.
| Mailers disponíveis em todas as versões | Mailers no WP Mail SMTP Pro |
|---|---|
| SendLayer | Amazon SES |
| SMTP.com | Microsoft 365 / Outlook.com |
| Brevo | Zoho Mail |
| Google Workspace / Gmail | |
| Mailjet | |
| Mailgun | |
| Postmark | |
| SendGrid | |
| SMTP2GO | |
| SparkPost | |
| Elastic Email | |
| Outro SMTP |
Passo 2: Definir e Forçar o E-mail De
Depois de configurar o seu serviço de email, vá para WP Mail SMTP » Definições » Geral. No campo Email de Remetente, insira um endereço no domínio que autenticou.
Em seguida, marque a caixa Forçar de E-mail. Isto faz com que todos os plugins utilizem essa morada, incluindo os plugins de formulário configurados para o e-mail do visitante.
Eis como as definições se apresentam no meu site de teste:
From Email: [email protected]
Force From Email: On
From Name: Example Store
Force From Name: Off
Passo 3: Adicionar os Registos SPF e DKIM do Remetente
Agora adicione os registos DNS que o seu remetente lhe forneceu. A maioria fornece CNAMEs DKIM e um include SPF.
Eis como um conjunto completo pode parecer:
example.com TXT "v=spf1 /include:spf.mailservice.net ~all"
s1._domainkey.example.com CNAME s1.domainkey.mailservice.net
_dmarc.example.com TXT "v=DMARC1; p=none; rua=mailto:[email protected]"
Os nomes de anfitrião do seu remetente serão diferentes, por isso copie-os do painel de controlo.
As alterações de DNS podem demorar alguns minutos a algumas horas a aparecer.
Passo 4: Testar a Correção Com o Email Detective
Assim que os seus registos estiverem ativos, envie um novo teste. Recomendo verificar duas vezes: uma com o Teste de E-mail, depois com o Email Detective. Felizmente, o WP Mail SMTP inclui ambas as opções de teste.
Para enviar um e-mail de teste, vá a WP Mail SMTP » Ferramentas » Teste de E-mail e envie um e-mail de teste. Se detetar um problema de SPF, DKIM ou DMARC, verá Resultados da Verificação de Domínio com a correção.
Em seguida, clique no separador Email Detective na mesma página. É um verificador de entregabilidade gratuito da SendLayer, integrado no WP Mail SMTP.
Introduza o seu endereço de e-mail e clique em Executar um Teste de Entregabilidade. O seu site envia um teste através da sua ligação principal, e o Email Detective envia-lhe um link para o relatório por e-mail.
Abra o relatório e veja Autenticação. SPF, DKIM e DMARC devem todos passar.
Se um falhar, a lista O que corrigir indica o problema. Eis um exemplo de relatório onde o DKIM está em falta:
Corresponda esse problema à tabela de causas em Como Encontrar a Causa nos Cabeçalhos do seu E-mail, depois corrija e re-teste. Para a lista de verificação completa de testes, consulte o nosso guia sobre Como Testar a Entregabilidade de E-mail.
Resolução de Problemas de Falhas no DMARC Após Configuração
Ainda a falhar após os 4 passos? Aqui estão os 3 sintomas que eu verificaria primeiro.
DKIM Ainda Mostra o Domínio do Remetente
O seu domínio ainda não foi verificado no remetente. Verifique a página do domínio no painel de controlo do seu remetente e confirme que todos os registos DKIM aparecem como verificados.
Se acabou de adicionar os registos, dê algumas horas ao DNS. Depois envie um novo teste.
SPF mostra Permerror
Provavelmente tem 2 registos SPF, ou passou 10 consultas DNS. Junte os seus registos num só, como mostrado na causa de SPF quebrado acima.
DMARC passa em testes, mas falha para um destinatário
Isto aponta para encaminhamento ou um gateway no lado do destinatário. Peça ao administrador desse destinatário os cabeçalhos Authentication-Results da cópia devolvida.
Como manter os seus e-mails a passar no DMARC
A maioria das falhas de DMARC ocorrem quando alguém adiciona um novo serviço de envio. Alguns hábitos que pode adotar para os detetar cedo:
- Mantenha os relatórios
ruaativos: Os relatórios agregados listam todos os servidores que enviam em nome do seu domínio. Isso inclui os que se esqueceu. - Verifique as novas ferramentas antes de as enviar: Configure SPF e DKIM para um novo serviço antes de o ativar.
- Ative os registos de e-mail: O WP Mail SMTP Pro regista todos os e-mails que o seu site envia. Identificará falhas rapidamente.
- Avance para a aplicação gradualmente: Mantenha
p=noneaté que os relatórios estejam limpos. Depois, avance paraquarantine.
Tenha em atenção que o WP Mail SMTP controla apenas os e-mails enviados pelo seu site WordPress. O correio do Google Workspace ou da sua ferramenta de newsletter ainda necessita da sua própria configuração.
Perguntas Frequentes
Aqui estão as respostas às perguntas que vejo com mais frequência sobre falhas no DMARC.
O DMARC pode falhar mesmo que o SPF e o DKIM passem?
Sim. O DMARC necessita que SPF ou DKIM passem para o mesmo domínio do seu endereço De.
Se o seu remetente assinar com o seu próprio domínio, ambas as verificações passam, mas o DMARC ainda falha. Verificar o seu domínio no remetente corrige isto.
Os e-mails reencaminhados podem causar uma falha no DMARC?
Sim. O reencaminhamento quebra o SPF porque o servidor de reencaminhamento não está no seu registo SPF.
O DKIM alinhado geralmente sobrevive ao reencaminhamento. Assim, um e-mail reencaminhado ainda pode passar no DMARC.
Por que é que os e-mails do meu formulário de contacto WordPress estão a falhar no DMARC?
O seu formulário provavelmente está a enviar "de" o endereço de e-mail do visitante. Domínios como yahoo.com rejeitam isso porque não autorizaram o seu servidor.
Defina o E-mail De para o seu próprio domínio e coloque o visitante em Responder A. Depois, ative Forçar E-mail De no WP Mail SMTP.
Quanto tempo demora para uma correção do DMARC funcionar?
A correção aplica-se assim que as suas alterações de DNS entrarem em vigor, o que geralmente acontece em cerca de uma hora. Alguns fornecedores de DNS levam até 48 horas.
Envie um novo teste após a alteração, porque os e-mails antigos mantêm os seus resultados originais.
Uma falha no DMARC significa que o meu domínio foi falsificado?
Nem sempre. A maioria das falhas no DMARC provêm dos seus próprios serviços que não configurou totalmente.
No entanto, fontes desconhecidas nos seus relatórios podem significar que alguém está a falsificar a sua identidade. Mover para p=reject impede-os.
Em seguida, mova a sua política DMARC para aplicação
Assim que os seus e-mails passarem no DMARC, o próximo passo é ativar a proteção. O meu guia para corrigir o aviso "Política DMARC Não Ativada" cobre isso.
Mostra como passar de p=none para reject em segurança. Esse é o passo que diz aos fornecedores de caixa de entrada para rejeitar e-mails falsificados do seu domínio.
Corrija os Seus Emails do WordPress Agora
Pronto para corrigir os seus emails? Comece hoje mesmo com o melhor plugin SMTP para WordPress. Se não tem tempo para corrigir os seus emails, pode obter assistência completa de Configuração White Glove como compra adicional, e existe uma garantia de reembolso de 14 dias para todos os planos pagos.
Se este artigo o ajudou, por favor siga-nos no Facebook e Twitter para mais dicas e tutoriais do WordPress.
