Quão expostos estão os domínios mais movimentados do mundo a email spoofing?
Resposta curta: Analisamos os 1.000 domínios mais movimentados da internet, resolvemos 994 deles e lemos seus registros DNS públicos de autenticação de e-mail. 41.5% não publicam uma política DMARC de aplicação obrigatória, o que significa que e-mails que forjam seu domínio no cabeçalho From não são rejeitados nem colocados em quarentena por esse motivo e podem chegar à caixa de entrada. Pouco menos de 30% (29.6%) não publicam registro DMARC algum, e outros 11.9% publicam um configurado apenas para monitoramento (p=none), que observa o spoofing sem interrompê-lo. Os controles mais profundos são ainda mais raros: 13.6% usam DNSSEC e 3.2% anunciam MTA-STS. Cada número aqui vem de consultas DNS públicas e passivas que executamos contra uma lista pública de sites principais. Nenhum host foi contatado, nada foi escaneado. Aqui está exatamente como medimos e o que isso provou ou não.
A descoberta em um gráfico
Para cada domínio, fizemos quatro perguntas públicas. Ele publica um registro SPF? Publica um registro DMARC, e a política é realmente de aplicação obrigatória? A zona está assinada com DNSSEC? Anuncia MTA-STS? As respostas diminuem rapidamente à medida que os controles ficam mais rigorosos:
O único número que importa: DMARC de aplicação obrigatória
O e-mail possui três registros de autenticação bem conhecidos, e é fácil confundir ter alguns deles com estar protegido. O SPF (RFC 7208) lista quais servidores podem enviar e-mails para um domínio. O DKIM (RFC 6376) assina uma mensagem para que o destinatário possa verificar se ela não foi alterada. Nenhum dos dois, por si só, protege o endereço que um humano realmente lê.
Aqui está a brecha que um atacante explora. O SPF valida o remetente do envelope, o Return-Path oculto usado na entrega, e não o endereço From exibido no cliente de e-mail. Uma mensagem pode passar no SPF para algum domínio descartável sob controle do atacante, enquanto exibe o seu domínio no cabeçalho From. O DKIM só ajuda se algo verificar se a assinatura corresponde ao domínio visível e rejeitar o e-mail quando isso não acontecer. O registro que vincula a autenticação ao endereço From visível, e instrui os destinatários sobre o que fazer em caso de falha, é o DMARC (RFC 7489).
O DMARC tem três configurações de política, e a diferença entre elas muda todo o jogo:
- p=reject instrui os destinatários a recusar e-mails que falhem. Esta é a configuração que realmente impede a falsificação de domínio.
- p=quarantine instrui os destinatários a tratar e-mails que falhem como suspeitos, geralmente direcionando-os para o spam. É de aplicação obrigatória, embora mais fraca que reject.
- p=none instrui os destinatários a não fazer nada, exceto enviar relatórios ao proprietário do domínio. E-mails forjados ainda entregam. É monitoramento, não defesa.
Portanto, a pergunta honesta não é "este domínio possui DMARC", mas sim "o DMARC dele é realmente de aplicação obrigatória". Quando contamos apenas quarantine e reject como aplicação obrigatória, 58.5% dos domínios que resolvemos se qualificam. Os outros 41.5% são a população exposta: nenhum registro, ou um registro que apenas observa.
| Postura | Domínios | Proporção | Bloqueia e-mail forjado do domínio From? |
|---|---|---|---|
| Aplicação obrigatória: p=reject | 425 | 42.8% | Sim, o e-mail é recusado |
| Aplicação obrigatória: p=quarantine | 156 | 15.7% | Na maioria das vezes, o e-mail vai para o spam |
| Apenas monitoramento: p=none | 118 | 11.9% | Não, o e-mail é entregue |
| Sem registro DMARC | 294 | 29.6% | Não, nada para executar ação |
| Registro sem política utilizável | 1 | 0.1% | Não, tratado como sem política |
Leia as três últimas linhas juntas. Essa é a parcela de 41.5%: e-mails forjados com o domínio deles não são bloqueados pelo DMARC. Vale dizer claramente que a adoção do SPF é maior, em 73.7%, justamente porque o SPF é o registro que as pessoas configuram primeiro e pensam que está "pronto". Não é o registro que impede alguém de se passar por elas para um cliente ou uma equipe financeira, que é o ataque que descrevemos em nosso guia sobre o que os atacantes podem ver sobre sua empresa.
As camadas mais profundas mal existem
Dois outros controles reforçam o e-mail e o DNS além do trio SPF-DKIM-DMARC, e ambos são raros até mesmo entre os domínios mais movimentados.
DNSSEC (RFC 4033 e seus complementos) assina criptograficamente as respostas DNS para que um resolvedor possa detectar uma resposta forjada. Consideramos um domínio como assinado quando sua zona pai publicou um registro DS. Apenas 13.6% o fizeram. O DNSSEC sustenta esquemas de e-mail mais fortes, como o DANE, portanto sua escassez limita o alcance da segurança de e-mail para a maioria desses domínios.
MTA-STS (RFC 8461) permite que um domínio instrua os servidores remetentes a exigir TLS ao entregar e-mails para ele, protegendo contra downgrade e interceptação entre servidores de e-mail. Apenas 3.2% o anunciaram. Verificamos apenas o anúncio DNS (o _mta-sts registro TXT) e deliberadamente não buscamos o arquivo de política via HTTPS, pois isso significaria conectar ao host do domínio, o que é uma linha que não cruzamos em nossas pesquisas.
Como medimos isso
Um cético deve ser capaz de reconstruir isso do zero, então aqui está todo o método sem nada oculto.
- A população. Usamos a Tranco list (lista 64YYX, gerada em 19 de julho de 2026), um ranking de sites voltado para pesquisa que calcula a média de vários provedores ao longo de 30 dias para resistir a manipulações diárias. É pública, versionada e permanentemente citável, o que importa mais para a reprodutibilidade do que a lista de um único fornecedor. Veja tranco-list.eu e o artigo científico subjacente da NDSS 2019.
- A amostra. Os 1.000 principais domínios dessa lista. 994 resolveram para servidores DNS ativos; 6 não resolveram e foram descartados, portanto o denominador é 994.
- As consultas. Para cada domínio, quatro consultas DNS passivas via
digcontra resolvedores recursivos públicos: TXT no domínio para SPF, TXT em_dmarc.<domain>para DMARC (analisando a tagp=), DS no domínio para DNSSEC e TXT em_mta-sts.<domain>para o anúncio de MTA-STS. - O que não fizemos. Nunca enviamos um e-mail, abrimos uma conexão com um servidor de e-mail, buscamos um arquivo de política ou escaneamos qualquer coisa. Ler um registro DNS público é uma consulta, não um probe. Essa é a mesma linha entre uma verificação e um crime que rege cada projeto que executamos.
- O que mantivemos. Apenas contagens agregadas e porcentagens. Os resultados por domínio permaneceram na memória durante a execução e nunca foram gravados em disco. Nenhum domínio é nomeado. Nenhum dado pessoal foi coletado; domínios e seus registros DNS não são dados pessoais, e não coletamos nenhum endereço de e-mail.
O que isso não prova
Limites honestos, porque um número sem suas ressalvas é apenas marketing.
- É um retrato do momento. O DNS muda diariamente. Estes números descrevem o dia 20 de julho de 2026, não uma tendência. Um domínio em p=none hoje pode estar no meio da implantação e aplicando a regra no próximo mês.
- É focado apenas em DNS. Lemos políticas publicadas, não e-mails entregues. Um grande operador de e-mail pode sobrepor defesas que o DNS não revela. O DMARC é simplesmente o sinal público padronizado sobre o qual os destinatários realmente agem, razão pela qual é a coisa certa a ser medida em escala.
- O topo da lista não contém apenas domínios de envio de e-mail. Uma parcela dos domínios mais movimentados é composta por CDNs, endpoints de API e infraestrutura que nunca enviam e-mails interativos. Para esses, a ausência de DMARC representa um risco menor no mundo real, porque ninguém espera uma mensagem vinda deles. Ainda assim, é uma brecha: a postura recomendada para um domínio que não envia e-mails é um MX nulo acompanhado de DMARC reject, e um atacante ainda pode forjar e-mails como qualquer domínio que não imponha a política.
- p=none é comum por uma razão. A implantação do DMARC começa com o monitoramento para que uma organização possa identificar seus remetentes legítimos antes de começar a rejeitar. Consideramos p=none como sem aplicação obrigatória porque, operacionalmente, e-mails forjados não são bloqueados enquanto o domínio permanece nessa configuração. Isso é uma constatação sobre o estado, não um julgamento sobre o proprietário.
- DMARC no nível organizacional. A lista Tranco é filtrada para domínios registrados (de nível pago), portanto verificamos a política onde ela pertence, no domínio organizacional. Subdomínios individuais podem variar.
Por que um atacante se importa, e por que você deveria se importar
A falsificação de domínio não é algo exótico. Um e-mail que parece vir do endereço de faturamento de uma empresa, enviado para o setor financeiro dessa mesma empresa ou para um cliente, solicitando a alteração de dados bancários, é um dos vetores de intrusão mais confiáveis que existem. Nenhum sistema é invadido; uma identidade é emprestada porque um registro DNS nunca foi configurado para reject. Quando 41.5% dos domínios mais trafegados da internet deixam esse registro sem aplicação obrigatória, a técnica continua funcionando porque a defesa é opcional e frequentemente ignorada.
A solução não tem glamour e é em grande parte gratuita. Publique SPF e DKIM, depois implante o DMARC e evolua de p=none para p=quarantine até chegar a p=reject à medida que seus relatórios confirmarem seus remetentes reais. A parte difícil nunca é a edição do DNS; é saber quais das suas fontes de envio seriam afetadas pela aplicação obrigatória e ter certeza de ter encontrado todas elas. Isso exige discernimento, e é o mesmo discernimento necessário para saber quais das suas superfícies expostas realmente importam e quais são apenas ruído.
Exposição a email spoofing: respostas rápidas
Qual proporção dos principais domínios pode sofrer email spoofing?
Em nossa verificação de julho de 2026 dos 1.000 domínios mais movimentados (994 resolvidos), 41.5% não publicavam política DMARC de aplicação obrigatória, portanto e-mails que forjam o domínio no cabeçalho From visível não são rejeitados nem colocados em quarentena por esse motivo. Cerca de 29.6% não tinham registro DMARC e outros 11.9% publicavam uma política p=none apenas de monitoramento.
Possuir um registro SPF impede o email spoofing?
Não, por si só não. O SPF autoriza servidores para o remetente do envelope, não para o endereço From que uma pessoa vê. Apenas o DMARC configurado como quarantine ou reject vincula a autenticação ao domínio From visível e instrui os destinatários a agir em caso de falhas.
O DMARC p=none é suficiente?
Não, não para bloquear spoofing. O p=none é apenas para monitoramento: os destinatários relatam, mas não tomam nenhuma ação, portanto os e-mails forjados continuam chegando. É uma boa fase inicial, mas até que a política mude para quarantine ou reject, ela não impede a falsificação de identidade.
Como posso verificar a autenticação de e-mail do meu próprio domínio?
Leia seu próprio DNS público: dig TXT seudominio.com para SPF, dig TXT _dmarc.seudominio.com para DMARC e sua política p=, dig DS seudominio.com para DNSSEC e dig TXT _mta-sts.seudominio.com para MTA-STS. Estas são consultas passivas de registros que você publica, portanto é seguro e gratuito.
Leituras relacionadas
- Quantos dos principais domínios restringem quem pode emitir seus certificados? O mesmo método de DNS passivo aplicado a registros CAA.
- O que os atacantes realmente podem ver sobre sua empresa?
- Verificação, scan ou pentest completo?
- Quanto custa um teste de penetração?
Veja sua própria exposição, da maneira correta.
Nossa verificação de $100 analisa sua superfície externa como um atacante faz, dentro do escopo que você confirmou possuir e autorizou por escrito, com um operador sênior na apresentação dos resultados. A autenticação de e-mail é uma das primeiras coisas que analisamos.
Agende uma verificação por $100