O p=none passa no teste e não barra ninguém

Google e Yahoo passaram a exigir DMARC no domínio de envio, e o registro em p=none cumpre a exigência sem impedir uma mensagem forjada.

A linha do DNS que autoriza ou barra

Existe uma linha de texto guardada no DNS do seu domínio que decide se alguém pode escrever um email em seu nome e ele chegar na caixa de entrada dos seus leitores como se você tivesse mandado.

Essa linha se chama DMARC. Ela é curta, cabe numa caixa de formulário, e a maior parte das casas de newsletter colou uma versão dela em fevereiro de 2024 porque Google e Yahoo passaram a exigir o registro de quem manda volume.

A exigência tem data e tem motivo. Os dois provedores anunciaram que remetente em massa sem DMARC publicado passaria a ser tratado com desconfiança, e quem operava newsletter correu pra cumprir a linha antes do prazo.

Cumprir a exigência e ficar protegido, porém, são duas coisas separadas por uma palavra dentro do registro.

O DMARC tem um campo de política, escrito como p. Ele aceita três valores, e cada um responde de um jeito completamente diferente à mesma pergunta: o que fazer quando chega uma mensagem que diz vir do seu domínio e não bate com o que você autorizou.

Com p=none, o provedor entrega assim mesmo e só manda um relatório pro dono do domínio. Com p=quarantine, a mensagem que falha vai pra caixa de spam. Com p=reject, ela nem é aceita.

O detalhe que quase ninguém percebeu na correria de fevereiro é que a exigência dos provedores olha se o registro existe, não qual valor está no campo de política.

Ou seja: p=none passa no teste. A casa cumpre a régua, o painel de configuração mostra tudo verde, o email sai autenticado e a caixa de entrada segue aberta pra qualquer mensagem forjada que use o nome do domínio.

O alinhamento é a segunda metade da história. DMARC não checa só se a mensagem foi assinada, ele checa se o domínio que aparece pro leitor no campo de remetente é o mesmo domínio que assinou a mensagem.

E se a política estiver em p=none, falhar no DMARC não custa nada a quem forjou. A mensagem entra, o leitor abre e a casa fica sabendo semanas depois, quando alguém enfim abre o relatório.

Foi exatamente esse caminho que uma mensagem cobrando pagamento percorreu até a caixa de entrada de uma lista inteira, com o nome de uma newsletter no remetente.

Continue lendo ↓

I  O Bastidor

A cobrança falsa passou por uma linha em p=none

A denúncia chegou pelo canal de resposta da própria newsletter. Uma leitora encaminhou um email que dizia vir da casa, com o nome da publicação no remetente, pedindo a regularização de uma assinatura que nunca existiu.

O visual era grosseiro, o link apontava pra um domínio estranho e a leitora desconfiou. Mas o email tinha entrado na caixa de entrada dela, não na aba de spam.

A bancada foi conferir a autenticação achando que encontraria um domínio parecido, dessas trocas de letra que enganam de relance. Não era.

O campo de remetente que aparece na tela do leitor trazia o domínio real da newsletter, escrito certo, sem nenhuma alteração.

Nos cabeçalhos técnicos da mensagem estava a outra metade. A assinatura criptográfica era válida, só que emitida por um domínio de terceiro, comprado no dia anterior pra disparar a campanha.

Assinatura válida de um domínio, nome de outro domínio na frente do leitor. É a definição de falha de alinhamento, e o DMARC existe justamente pra pegar esse desencontro.

O DMARC pegou. O relatório agregado do dia seguinte registrou a falha com o volume exato de mensagens forjadas que tinham circulado.

Registrar não é barrar. O registro do domínio estava publicado com p=none desde o dia em que a casa correu pra cumprir a exigência, e p=none instrui o provedor a entregar mesmo assim.

O provedor obedeceu à instrução da própria casa. Ele viu a falha, consultou a política publicada, leu que não deveria fazer nada, e colocou a cobrança falsa na caixa de entrada de quem confiava naquele nome.

A conta chegou depois. Descadastro em alta por três dias, uma dezena de respostas irritadas e um punhado de reclamações de spam apontando pro domínio da casa.

II  O Que a Gente Fazia

A gente tratava o DMARC como uma caixa marcada em fevereiro

A régua foi cumprida com pressa. Quando a exigência de fevereiro de 2024 apareceu, a bancada colou o registro mínimo que a documentação sugeria e voltou pro trabalho de sempre.

O registro mínimo é justamente o que começa com p=none. Ele foi desenhado pra ser um modo de observação inicial, não um destino, e virou destino em milhares de domínios.

Ninguém sabia dizer o valor da política do próprio domínio. A pergunta "o seu DMARC está em none, quarantine ou reject" era respondida com um "está configurado".

Estar configurado responde à pergunta do provedor, não à pergunta do golpista. São perguntas diferentes e a casa só tinha resposta pra primeira.

Autenticação e alinhamento eram tratados como a mesma coisa. A bancada via o selo de domínio verificado no painel de envio e concluía que estava protegida.

O selo prova que a plataforma pode assinar em nome do domínio. Ele não diz nada sobre o que acontece quando um terceiro assina com o domínio dele e escreve o seu nome no campo que o leitor lê.

Os relatórios agregados nunca eram lidos. O registro tinha um endereço de destino configurado, os arquivos chegavam todo dia e ficavam empilhados numa caixa que ninguém abria.

Relatório de DMARC é a única evidência de quem está mandando email em seu nome. Deixar de ler é abrir mão do único benefício que o p=none oferece em troca de não barrar nada.

A escala de três valores não era conhecida. A conversa interna tratava DMARC como ligado ou desligado, e a diferença entre observar, mandar pro spam e recusar não existia no vocabulário da casa.

Sem a escala, não existe plano de migração. Quem não sabe que há três degraus não planeja subir nenhum.

Ninguém tinha mapeado quem manda email pelo domínio. Plataforma de envio, sistema de nota fiscal, disparo de suporte, formulários do site: cada um assinava de um jeito e nunca foram listados juntos.

Sem a lista, subir a política vira risco. É por medo de derrubar o email legítimo de um sistema esquecido que a bancada adiava a decisão e mantinha o none por mais um trimestre.

Quem banca a edição de hoje

O clique de apoio mantém a edição gratuita

III  O Que Mudou

Uma política que barra, uma lista de remetentes e o relatório na segunda

O registro subiu para p=quarantine. A mensagem que falha no alinhamento passou a ser entregue na caixa de spam do destinatário, e a caixa de entrada deixou de aceitar quem se passa pela casa.

Quarantine é o degrau que muda o resultado prático sem o risco máximo. Se um sistema legítimo tropeçar, o email do cliente ainda existe na pasta de spam e pode ser recuperado, o que não acontece com reject.

A subida foi feita por porcentagem. O DMARC aceita aplicar a política a uma fatia do tráfego, então a casa ligou o quarantine em uma parte pequena das mensagens e foi ampliando a cada semana limpa.

Subir de uma vez é o que assusta a bancada e faz a política voltar pro none no primeiro susto. Subir por fatia transforma a migração numa sequência de semanas verificáveis.

Todo remetente do domínio virou linha de uma lista. Plataforma da newsletter, emissor de nota, sistema de suporte e formulário do site entraram numa tabela com o domínio que cada um usa pra assinar.

A tabela é o pré-requisito da migração. Enquanto existir um remetente desconhecido, qualquer aperto de política é uma aposta às cegas sobre o email que vai parar de chegar.

O alinhamento passou a ser conferido no domínio visível. A checagem que importa é comparar o domínio que aparece no campo de remetente com o domínio que assinou a mensagem, e os dois precisam bater.

Assinatura válida não basta. O golpe de fevereiro que a casa levou tinha assinatura perfeitamente válida, só que de um domínio que não era o dela.

O relatório agregado ganhou dono e horário. Toda segunda-feira alguém abre os arquivos da semana e olha três coisas: quantas mensagens falharam, de que endereço de servidor vieram e se algum remetente legítimo aparece na lista de falhas.

Quinze minutos por semana. O relatório é o que separa um sistema interno mal configurado de uma campanha de golpe usando o nome da casa, e os dois aparecem no mesmo arquivo.

O subdomínio ganhou política própria. O registro aceita uma instrução separada pra subdomínios, e a casa fixou o mesmo aperto lá pra ninguém contornar a régua criando um nome novo na frente do domínio.

Subdomínio sem política herda a do domínio principal, mas deixar a herança implícita significa depender de configuração que ninguém revisa. Escrever a linha custa um minuto e fecha a porta lateral.

Pra ir além do bastidor de hoje

🎓 Mentoria Viver de News

O acompanhamento do HC pra quem quer construir e viver de uma newsletter. Do zero à monetização, com o método que gerou a Alquimia.

🤝 Agência News Makers

A agência que constrói e opera a newsletter da sua empresa ponta a ponta. Estratégia, conteúdo e crescimento, tudo feito pra você.

As newsletters de quem escreve aqui

Alquimia da Mente

A newsletter diária do HC sobre mente, hábitos e performance. Mais de 15 mil leitores todo dia às 18:18. Leitura de 5 minutos que muda como você pensa o seu dia.

Copyletter

A newsletter do Lucão sobre copywriting que vende. As técnicas por trás de mais de R$ 200 milhões em campanhas, direto do teclado de quem escreveu.

Até amanhã, 07:07. HC & Lucão

Fecha HOJE às 23h59

A newsletter de quem vive de newsletter

Newsletter é negócio