SPF, DKIM e DMARC
SPF, DKIM e DMARC resolvem três perguntas diferentes sobre um e-mail, e nenhum dos três sozinho prova que a mensagem é legítima: SPF pergunta se o servidor que enviou tem permissão para falar pelo domínio, DKIM pergunta se o conteúdo foi assinado com uma chave que só o dono do domínio tem, e DMARC amarra as duas respostas a uma política que diz o que o destinatário deve fazer quando elas falham.
Cada include conta como uma consulta separada dentro do limite de 10 da RFC 7208; este registro está longe do teto, mas termina em ~all, então mensagens não autorizadas ainda passam, só marcadas.
Uma chave RSA de 2048 bits real, codificada em base64 dentro do registro, ocupa 392 caracteres nesse formato; abaixo de 1024 bits a chave é considerada fraca.
p=reject é o nível de proteção máximo do DMARC; sem a tag rua, o domínio continuaria sem visibilidade nenhuma sobre quem está tentando forjar mensagens em seu nome.
SPF autoriza endereços IP/servidores a enviar pelo domínio. DKIM assina cada mensagem com uma chave criptográfica, garantindo que ela não foi alterada e veio do domínio. DMARC define o que fazer quando SPF ou DKIM falham (none, quarantine ou reject) e gera relatórios. Os três se complementam: SPF e DKIM autenticam, DMARC aplica a política e dá visibilidade.
No máximo 10, um limite duro definido pela RFC 7208; mecanismos como include, a, mx, ptr, exists e redirect contam cada um como uma consulta, e ultrapassar o limite causa um PermError que faz o SPF inteiro ser ignorado.
Porque o SPF valida o IP do servidor que entregou a mensagem por último, e quando ela passa por um encaminhamento esse IP deixa de ser o do remetente original; o DKIM não tem esse problema porque a assinatura viaja dentro da própria mensagem.
p=none só monitora e não bloqueia nada, útil para coletar relatórios antes de endurecer a política; p=quarantine manda mensagens suspeitas para o spam; p=reject rejeita de vez qualquer mensagem que falhe no alinhamento, a proteção máxima.
Sim, para proteção completa: o DMARC depende de alinhamento com SPF ou DKIM para funcionar, e sem um registro DMARC ninguém aplica o que SPF e DKIM já validaram; desde 2024, Google e Yahoo exigem ao menos um DMARC, mesmo p=none, de remetentes em volume.
A ferramenta consulta os registros TXT de SPF (no domínio), DMARC (em _dmarc) e, se você informar o seletor, DKIM. Cada registro é validado e recebe um diagnóstico com riscos e correções.
Por segurança, o navegador consulta os registros TXT diretamente em um resolver público (Cloudflare) via DNS-over-HTTPS, passando só o nome, o servidor do J-Kit nunca é intermediário, evitando SSRF. Toda a análise dos registros roda localmente.