Um novo relatório técnico publicado a 8 de abril de 2026 pela empresa de segurança blockchain TrustNFT.io, sediada em Miami, argumenta que DMARC (Domain-based Message Authentication, Reporting and Conformance) deixa três falhas críticas na segurança de email corporativo que nenhuma configuração consegue colmatar. O relatório, intitulado "The Authentication Gap: Why DMARC Alone Is Not Enough", é dirigido a líderes de segurança IT corporativa, CISO, e gestão de risco, e defende a verificação de domínio ancorada em blockchain como a camada de confiança visível ao consumidor que a pilha de autenticação existente não consegue fornecer. Para profissionais de email marketing e equipas de crescimento que dependem do email como canal de receita, as conclusões têm implicações diretas na entregabilidade, confiança da marca, e ROI das campanhas.
As Três Falhas que DMARC Não Consegue Colmatar
A primeira falha são os ataques de domínios falsificados. DMARC protege apenas o domínio registado exato e oferece zero proteção contra emails enviados a partir de endereços falsificados que criminosos registam para se fazerem passar por grandes marcas. Investigadores de segurança confirmaram isto independentemente, notando que mesmo com autenticação e aplicação adequadas, DMARC é eficaz apenas contra falsificação de domínio direto e não consegue prevenir domínios falsificados ou similares.
Num único período de monitorização de 30 dias, utilizadores de TrustNFT Guardian reportaram phishing proveniente de quatro domínios falsificados distintos visando uma grande empresa de serviços, todos os quais passaram a autenticação DMARC pelos seus próprios domínios fraudulentos. Este detalhe é importante: a verificação DMARC passou porque o domínio fraudulento tinha os seus próprios registos válidos. O protocolo funcionou exatamente como foi concebido, mas o ataque de phishing teve sucesso mesmo assim.
A segunda falha é a ausência de qualquer sinal de confiança visível ao consumidor. DMARC funciona inteiramente em segundo plano. Mesmo quando uma empresa tem aplicação perfeita de DMARC, os consumidores não veem qualquer insígnia, indicador, ou confirmação visível de que um email é genuíno, deixando-os sem forma de distinguir um email conforme a DMARC de uma sofisticada falsificação de identidade.
A terceira falha envolve números brutos de adoção. De acordo com Newswire, o relatório alega que menos de 50% das empresas Fortune 500 publicaram qualquer registo DMARC, e menos de 30% têm o padrão configurado no seu nível de aplicação mais protetor.
O Que os Dados Mais Amplos Mostram
O panorama de adoção é mais nuançado do que o relatório sugere, e outras pesquisas recentes valem a pena compreender em conjunto com ele.
De acordo com o Relatório de Adoção e Aplicação de DMARC 2026 da EasyDMARC, a adoção Fortune 500 atingiu 475 de 500 empresas, com mais de 80% em políticas de nível de aplicação. Isto contrasta com o número da TrustNFT, embora a discrepância provavelmente reflita quando cada conjunto de dados foi capturado e como "registo DMARC válido" é definido.
Onde ambas as fontes concordam é na falha de aplicação abaixo da Fortune 500. Apenas 15,2% das empresas Inc. 5000 atingiram o nível de aplicação p=reject, e mais de metade situa-se numa política de monitorização apenas p=none que fornece visibilidade mas as deixa expostas a ataques de phishing. Os dados de nível de domínio mais amplo são ainda mais preocupantes: a partir de dezembro de 2025, apenas 14,9% de domínios de uma amostra de 73,3 milhões implementaram qualquer política DMARC, e apenas 2,5% aplicam a definição mais rigorosa p=reject, com 83,9% de todos os domínios mostrando nenhum registo DMARC visível, de acordo com o rastreador global de adoção de DMARC da Red Sift.
Como a EasyDMARC nota no seu relatório de 2026, a adoção de DMARC tornou-se generalizada, mas a adoção isolada não garante proteção. Muitas organizações implementaram registos DMARC para satisfazer requisitos técnicos mas não progrediram para políticas que bloqueiem ativamente email falsificado.
Para profissionais de email marketing, a consequência prática é real. Pesquisa de segurança de domínios CSC mostra que 80% dos domínios semelhantes a marcas Global 2000 são propriedade de terceiros, e 42% desses estão configurados para enviar email. Quando criminosos enviam emails falsificados convincentes que passam as suas próprias verificações DMARC, os destinatários que sofrem prejuízo frequentemente deixam de se envolver completamente com a marca real.
A Proposta de Blockchain
O relatório técnico da TrustNFT inclui um roteiro de implementação de quatro camadas cobrindo SPF, DKIM, DMARC, e verificação de blockchain, juntamente com uma comparação técnica do que cada camada protege e que vulnerabilidades permanecem sem resolução sem a pilha completa.
A pesquisa da empresa indica que implementar a pilha de autenticação completa combinada com verificação de domínio ancorada em blockchain reduz ataques de falsificação bem-sucedida em até 67% quando totalmente implementado. TrustNFT Verify permite que empresas registem os seus domínios de envio em blockchain através de um processo que requer apenas uma adição de registo DNS, com verificação completa normalmente concluída num prazo de 48 horas.
Vale a pena notar que a TrustNFT é um fornecedor com um produto comercial para vender. O número de 67% vem da pesquisa própria da empresa, e o relatório serve tanto como um argumento técnico como um argumento de venda de produto. A verificação independente dessa afirmação ainda não está disponível.
O Que Profissionais de Email Marketing Devem Reter
DMARC permanece uma fundação inegociável. O custo médio de uma violação relacionada com phishing foi aproximadamente 4,88 milhões de dólares em 2025, e organizações dos EUA que aplicaram DMARC ao nível de política reduziram a entrega bem-sucedida de phishing de 69% para 14%, de acordo com o Relatório de Adoção de DMARC 2025 da EasyDMARC. Isso por si só justifica chegar a p=reject.
Mas o relatório da TrustNFT destaca algo que profissionais de marketing frequentemente negligenciam: autenticação é invisível aos clientes. Quando a sua marca é falsificada via um domínio falsificado, os seus subscritores não conseguem fazer a diferença, e o dano reputacional cai sobre si independentemente de quão limpos os seus próprios registos DNS são.
As prioridades imediatas para qualquer equipa de marketing ou crescimento são claras:
- Mova a sua política DMARC de
p=noneparap=quarantineoup=reject - Configure relatórios agregados
RUApara que possa ver quem está a enviar em seu nome - Monitore registos de domínios falsificados visando a sua marca
- Garanta que cada plataforma de envio de terceiros (ESP, CRM, email transacional) está adequadamente incluída no seu registo
SPFe assinando comDKIM
Se a verificação de blockchain se torna uma camada convencional da pilha de confiança de email permanece a ser visto. O que já é claro é que DMARC isolado nunca foi concebido para resolver o problema da falsificação de marca ao nível do ecossistema de domínio, e tratá-lo como uma solução completa deixa tanto os seus clientes como a sua reputação de remetente expostos.
