Alinhamento, e porque importa

Um domínio pode ter SPF válido, DKIM válido, e mesmo assim falhar DMARC. A palavra que explica isso é alinhamento.

Há dois remetentes em cada mensagem

Uma mensagem de email tem dois endereços de origem, e não são o mesmo.

• O From:, que é o que a pessoa vê na caixa de correio.
• O envelope, também chamado Return-Path ou MAIL FROM, que é para onde a devolução volta se a entrega falhar. Ninguém o vê.

O SPF autentica o envelope. O DKIM assina o corpo e alguns cabeçalhos, e o domínio da assinatura é o d= dentro dela.

O que o DMARC exige

O DMARC pergunta uma coisa simples: o domínio que foi autenticado é o mesmo que aparece no From:?

• Alinhamento SPF: o domínio do envelope coincide com o do From:.
• Alinhamento DKIM: o d= da assinatura coincide com o do From:.

Basta um dos dois alinhar para a mensagem passar DMARC.

Onde isso te afecta

No C-Connect, o DKIM alinha sempre: assinamos com uma chave publicada no teu domínio, e o d= é o teu domínio. Por isso o DMARC passa mesmo sem fazeres mais nada.

O SPF é que não alinha por omissão. O envelope é {identificador}@bounce.c-connect.pt, que é nosso, por isso o SPF autentica o nosso domínio e não o teu.

From:         recibos@mail.empresa.pt
Return-Path:  01JB2X...@bounce.c-connect.pt     ← autentica c-connect.pt
DKIM d=       mail.empresa.pt              ← alinha

Com o CNAME de devolução publicado:

From:         recibos@mail.empresa.pt
Return-Path:  01JB2X...@bounces.mail.empresa.pt   ← alinha também
DKIM d=       mail.empresa.pt

Vale a pena publicar?

Sim, por duas razões.

A primeira é que alguns filtros dão mais peso a uma mensagem com os dois alinhados do que com um. Não recusam a outra, mas contam.

A segunda é o reencaminhamento. Quando alguém tem o correio a saltar de uma caixa para outra, o SPF parte quase sempre pelo caminho, porque o servidor que reencaminha não está no teu SPF. Nessa altura o DKIM é a única coisa a segurar o DMARC, e uma mensagem cujo DKIM também esteja a falhar por qualquer motivo fica sem rede.

Como publicar

É um CNAME.

Nome:  bounces.mail.empresa.pt
Tipo:  CNAME
Valor: bounce.c-connect.pt

Depois de resolver, o painel marca o registo como verificado e o envelope passa a usá-lo automaticamente na mensagem seguinte. Não é preciso mudar nada no teu código.

Ler isto nos relatórios

O cartão Quem envia como este domínio mostra, por origem, quantas mensagens alinharam. Uma origem com 100% alinhado és tu. Uma com 0% costuma ser um reencaminhamento, um fornecedor antigo, ou alguém a usar o teu nome. As três merecem uma olhada, e só a terceira é motivo de alarme.