Implementando Segurança de E-mail DMARC, DKIM e SPF

Visão Geral

SPF, DKIM e DMARC formam os três pilares da autenticação de e-mail. Juntos, eles previnem a falsificação de domínio, validam a integridade da mensagem e definem políticas para lidar com e-mails não autenticados. A implementação correta reduz drasticamente ataques de phishing que se passam pelo domínio da sua organização.

Quando Usar

• Ao implantar ou configurar recursos de segurança de e-mail dmarc dkim spf em seu ambiente
• Ao estabelecer controles de segurança alinhados aos requisitos de conformidade
• Ao construir ou melhorar a arquitetura de segurança para este domínio
• Ao realizar avaliações de segurança que exigem esta implementação

Pré-requisitos

• Acesso de gerenciamento de DNS para seu domínio
• Acesso à configuração do servidor de e-mail/MTA (Postfix, Exchange, Google Workspace, Microsoft 365)
• Compreensão básica de registros TXT de DNS
• Python 3.8+ para scripts de validação

Conceitos Chave

SPF (Sender Policy Framework)

Publica um registro TXT de DNS listando os endereços IP e servidores de e-mail autorizados que podem enviar e-mails em nome do seu domínio. Servidores receptores verificam o IP do remetente do envelope contra esta lista.

DKIM (DomainKeys Identified Mail)

Adiciona uma assinatura criptográfica a e-mails de saída usando uma chave privada. A chave pública correspondente é publicada no DNS. Os receptores verificam a assinatura para garantir que a mensagem não foi alterada durante o trânsito.

DMARC (Domain-based Message Authentication, Reporting and Conformance)

Baseia-se em SPF e DKIM, especificando uma política (none/quarantine/reject) para mensagens que falham na autenticação e fornece um mecanismo de relatório para monitorar tentativas de falsificação.

Fluxo de Trabalho

Etapa 1: Auditoria do Estado Atual

# Check existing SPF record
dig TXT example.com | grep spf

# Check existing DKIM selector
dig TXT selector1._domainkey.example.com

# Check existing DMARC record
dig TXT _dmarc.example.com

Etapa 2: Implementar SPF

# DNS TXT record for example.com
v=spf1 ip4:203.0.113.0/24 include:_spf.google.com include:spf.protection.outlook.com -all

Mecanismos chave do SPF:

• ip4: / ip6: - Autoriza faixas de IP específicas
• include: - Inclui o registro SPF de outro domínio
• a - Autoriza IPs do registro A do domínio
• mx - Autoriza IPs do registro MX do domínio
• -all - Falha rígida em todos os outros (recomendado)
• ~all - Falha suave (fase de monitoramento)

Etapa 3: Implementar DKIM

# Generate DKIM key pair (2048-bit RSA)
openssl genrsa -out dkim_private.pem 2048
openssl rsa -in dkim_private.pem -pubout -out dkim_public.pem

# Format public key for DNS (remove headers, join lines)
grep -v "PUBLIC KEY" dkim_public.pem | tr -d '\n'

Registro TXT de DNS em selector1._domainkey.example.com:

v=DKIM1; k=rsa; p=MIIBIjANBgkqhki...

Etapa 4: Implementar DMARC

# DNS TXT record at _dmarc.example.com
# Phase 1 (Monitor):
v=DMARC1; p=none; rua=mailto:dmarc-aggregate@example.com; ruf=mailto:dmarc-forensic@example.com; pct=100

# Phase 2 (Quarantine):
v=DMARC1; p=quarantine; rua=mailto:dmarc-aggregate@example.com; pct=25

# Phase 3 (Reject):
v=DMARC1; p=reject; rua=mailto:dmarc-aggregate@example.com; pct=100

Etapa 5: Monitorar e Analisar Relatórios DMARC

Use o scripts/process.py para analisar relatórios XML agregados do DMARC e identificar falhas de autenticação, remetentes não autorizados e tentativas de falsificação.

Ferramentas e Recursos

• MXToolbox: https://mxtoolbox.com/SuperTool.aspx
• DMARC Analyzer (dmarcian): https://dmarcian.com/
• Google Postmaster Tools: https://postmaster.google.com/
• Valimail DMARC Monitor: https://www.valimail.com/
• DMARC Report Analyzer: https://dmarc.postmarkapp.com/

Validação

• O registro SPF passa na validação em mxtoolbox.com
• A assinatura DKIM é verificada em e-mails de teste
• O registro DMARC está formatado corretamente e o relatório está ativado
• E-mails de teste passam em todas as três verificações no cabeçalho Authentication-Results do destinatário