Uma distribuidora pagou um boleto de R$ 45.840,05 recebido por e-mail. O beneficiário era uma pessoa física sem relação com a indústria que vendeu o equipamento, e a mensagem saiu de um endereço com domínio gratuito. A 2ª Turma Recursal do Tribunal de Justiça do Amazonas decidiu que o prejuízo era da compradora — culpa exclusiva da vítima, afastando banco e fornecedora. O sinal de alerta que o tribunal cobrou não foi o valor nem a conta: foi o que vinha depois do @. O domínio de e-mail virou credencial comercial da pequena e média empresa — e quase ninguém sabe quem está autorizado a usar o seu.

O domínio da sua empresa é um ativo que ninguém auditou

Pergunte ao responsável pela TI quantos sistemas enviam e-mail em nome da empresa hoje. A resposta honesta quase sempre é “não sei” — e a lista real é maior do que a imaginada: o servidor corporativo, o ERP, o emissor de nota fiscal, a plataforma de marketing, a contabilidade e aquele servidor antigo que ainda manda relatório de madrugada. Todos usam o domínio da empresa no campo “De:”, e a internet não exige prova de que quem escreveu aquele endereço tem direito de usá-lo.

SPF, DKIM e DMARC explicados sem jargão

Pense na portaria de um prédio comercial:

• SPF (RFC 7208) é a lista de autorizados: quais servidores podem entregar correspondência em nome da empresa.
• DKIM (RFC 6376) é o lacre do envelope: assinatura criptográfica que prova a origem e que nada foi alterado no caminho.
• DMARC (RFC 7489) é a ordem dada ao porteiro: o que fazer com quem não está na lista e não tem lacre. É o único dos três que devolve relatório para a empresa.

O prejuízo chega pelos dois lados ao mesmo tempo

Do lado de dentro, o e-mail legítimo não chega: a proposta cai no spam do cliente, a cobrança não é vista, o vendedor acha que está sendo ignorado. Ninguém abre chamado para isso — a equipe aprende a ligar depois de mandar e-mail e a empresa absorve o custo sem medi-lo.

Do lado de fora, a fraude sai do próprio domínio da empresa. O criminoso não invade caixa nenhuma: manda ao seu cliente um e-mail com o seu endereço no remetente pedindo atualização de dados bancários. A conferência de domínio que o TJ-AM cobrou da distribuidora teria passado — o domínio é mesmo o seu.

Publicar DMARC não é o mesmo que estar protegido

A política DMARC tem três níveis: p=none (só monitora), p=quarantine (manda para o spam) e p=reject (recusa a entrega). Levantamentos de mercado de 2026 convergem num ponto incômodo: pouco mais da metade dos domínios analisados publica DMARC, mas só cerca de um quinto chega a uma política de bloqueio. E p=none não impede nada — é câmera sem vigilante, que registra a falsificação e entrega a mensagem do mesmo jeito. Muita empresa publica o registro, vê o relatório chegar e conclui que resolveu.

Gmail e Microsoft já cobram isso — e não é lei

Vale dizer com clareza: não existe obrigação legal brasileira de implantar DMARC. O que existe são as regras dos provedores — e elas já valem.

O Google exige, desde 1º de fevereiro de 2024, que todo remetente para contas do Gmail tenha SPF ou DKIM, PTR válido e conexão TLS. Acima de 5 mil mensagens por dia, sobe para SPF, DKIM e DMARC, com o domínio do “De:” alinhado ao do SPF ou do DKIM. Mensagem não autenticada pode cair no spam ou ser rejeitada com erro 5.7.26.

A Microsoft seguiu o mesmo caminho: desde 5 de maio de 2025, quem envia mais de 5 mil mensagens por dia para outlook.com, hotmail.com e live.com precisa passar em SPF, DKIM e DMARC. Quem não passa cai no lixo eletrônico e pode acabar rejeitado — e a lista de remetentes seguros não anula a exigência.

Como fechar o domínio da sua empresa

1. Inventarie quem envia no seu nome

Antes de tocar no DNS, levante os sistemas e fornecedores que disparam e-mail com o domínio da empresa. Publicar bloqueio sem esse inventário derruba e-mail legítimo — é a causa número um de implantação revertida às pressas.

2. Publique DMARC em p=none com relatório

Comece medindo. O registro em p=none com endereço de relatório revela, em poucos dias, os remetentes reais do domínio — inclusive os esquecidos. É a única etapa em que ele serve para algo.

3. Corrija SPF e DKIM de cada remetente legítimo

Inclua no SPF os serviços autorizados e ative DKIM em cada um. Cuidado com o limite de dez consultas DNS do SPF: registro inflado por fornecedores acumulados falha. Garanta o alinhamento — o domínio do “De:” tem de bater com o do SPF ou do DKIM.

4. Suba para quarantine e depois para reject

Com os relatórios limpos, avance para p=quarantine, observe algumas semanas e só então vá a p=reject. É esse passo que impede alguém de mandar e-mail no seu nome. Sem ele, o trabalho anterior foi diagnóstico.

5. Trate o relatório como rotina, não como projeto

Fornecedor novo entra, ferramenta de disparo é contratada sem avisar a TI, e o domínio se reabre. A revisão dos relatórios DMARC precisa de dono e periodicidade — mensal resolve para a maioria das PMEs.

Fechar o domínio protege a empresa e os clientes dela, custa quase nada em licença e se resolve com configuração bem feita. A decisão do TJ-AM mostrou o outro lado: o domínio do remetente entrou na lista de sinais que o pagador deveria conferir. Quem deixa o próprio domínio aberto entrega ao criminoso o ativo mais confiável que tem no mercado.

🔐 Você sabe quantos sistemas estão autorizados a enviar e-mail em nome da sua empresa hoje? Fale com os especialistas da Trinity TI e descubra, com relatório na mão, quem usa o seu domínio — antes que o seu cliente receba um boleto que você não emitiu.