Resumo

  • A RFC 9990 define o relato agregado de um receptor: resultados de autenticação, alinhamento, disposição avaliada, motivos de exceção, origens e quantidades em uma janela.
  • O agregado não é um histórico por mensagem. Uma janela pode misturar políticas, sobreposições parciais podem ser indivisíveis e a própria RFC alerta que os dados podem ser falsificados.
  • Daniel Kade propõe um recibo mínimo de uso do agregado, ligando identidade do gerador, período, época da política, digest do arquivo, decisão sobre duplicidade e ação tomada sem guardar conteúdo ou endereços pessoais.

O universo do painel é o conjunto de relatórios recebidos

Os relatórios agregados resolvem uma assimetria importante. O dono do domínio sabe quais serviços autorizou a enviar, mas só os receptores veem como essas mensagens chegam e como os testes de SPF, DKIM e alinhamento se comportam. O retorno permite encontrar um seletor quebrado, um provedor esquecido ou um caminho indireto que altera a autenticação.

Ainda assim, o painel não enxerga diretamente todo o correio. Ele enxerga observações dos receptores que geraram e entregaram arquivos. Um receptor pode não participar, atrasar a emissão, reter dados para nova tentativa ou descartá-los quando a entrega não funciona. Ausência de relatório não é volume zero.

A agregação é uma boa escolha de escala e privacidade. O erro aparece quando a interface elimina o conjunto de informantes e apresenta a soma como denominador universal.

A estrutura padroniza uma afirmação operacional

Publicada em maio de 2026 no Standards Track do IETF, a RFC 9990 trata do relatório agregado DMARC e substitui, com os documentos companheiros, a parte correspondente da RFC 7489. O Domain Owner indica destinos; o Mail Receiver avalia mensagens, produz XML e tenta enviá-lo aos endereços válidos.

O relatório informa organização, Report-ID e intervalo UTC. Registra a configuração de política observada. Cada linha agrega IP de origem, quantidade, disposição avaliada, alinhamento e identificadores. Resultados de DKIM e SPF permanecem separados. Quando a ação solicitada não é aplicada, o receptor pode apontar política local, lista de discussão, teste, encaminhador confiável ou outra razão.

As contagens abrangem mensagens recebidas mesmo se outro filtro vier a bloqueá-las. Portanto, a disposição DMARC não prova entrega, pasta de destino nem leitura. Ela descreve um ponto do processamento local.

A economia da linha agregada custa vínculos individuais

Uma linha consegue representar milhares de mensagens com atributos comuns. É justamente isso que permite detectar padrões sem distribuir correspondência. Porém, ela não contém milhares de identidades de evento. O consumidor não reconstrói a sequência completa nem associa cada unidade ao filtro posterior.

Quando uma automação encontra aumento súbito, existem hipóteses concorrentes: novo emissor não autorizado, novo receptor reportando, arquivo atrasado, regra de agrupamento alterada ou janela duplicada. O número merece investigação; não entrega sozinho a causa.

O objeto probatório é o resumo produzido por aquele receptor. O fluxo de e-mail é maior que esse objeto. Confundir os dois concede ao gerador uma autoridade que o formato não prometeu.

Uma configuração final pode aparecer sobre um período misto

Se a política DMARC muda durante o intervalo, receptores diferentes percebem a alteração em momentos diferentes. A RFC permite relatórios separados por configuração ou um único relatório com disposições calculadas sob a política antiga, a nova ou ambas, embora haja apenas um policy_published.

Vigiar continuamente todas as mudanças imporia alto custo em escala da Internet. O documento atribui a consumidores e proprietários a responsabilidade de esperar mistura durante a propagação. A flexibilidade é prática, mas limita a inferência.

Se o domínio sai de monitoramento para uma ação mais rígida ao meio-dia, o arquivo diário pode exibir a configuração final e incluir avaliações da manhã. Não é correto projetar a política nova sobre toda a contagem. Sem outro vínculo temporal, a época deve ser marcada como mista ou desconhecida.

A identidade do e-mail de relatório não autentica cada observação

O fluxo que leva o relatório precisa obter um passe DMARC alinhado. Transporte seguro é recomendado. Um destino externo deve autorizar por DNS o recebimento para o domínio solicitante; se a relação não for confirmada, o URI é ignorado.

São controles concretos contra falsificação do remetente e inundação de terceiros. Mas o alinhamento do domínio, o consentimento do destino, a integridade do arquivo e a veracidade das linhas são afirmações distintas.

A RFC 9990 avisa que dados de relatórios podem ser forjados e enviados em volume para influenciar decisões de política ou arquitetura. Isso não torna inútil o relato de um receptor conhecido. Exige registrar por que ele é aceito, quais anomalias foram verificadas e que consequência pode decorrer de uma única fonte.

Report-ID apoia idempotência, não prova ausência de interseção

O Report-ID deve ser único entre os relatórios enviados ao mesmo domínio. Uma retransmissão mantém o nome do arquivo, facilitando o reconhecimento do segundo recebimento. O consumidor ganha boas chaves operacionais.

Quando dois relatórios carregam informações duplicadas, a RFC deixa a decisão ao destinatário: rejeitar, descartar, inspecionar ou aceitar. Em sobreposição parcial, não existe forma clara de separar o efeito; talvez seja necessário aceitar ou rejeitar o conjunto inteiro.

Somar todo ID diferente como população nova é, portanto, uma escolha de evidência. O tratamento de duplicidade precisa acompanhar a métrica quando a métrica sustenta uma decisão relevante.

Consentimento externo não certifica o método do fornecedor

Processadores especializados permitem que organizações recebam e interpretem grande volume de relatórios. O registro de autorização externa demonstra vontade de receber dados para outro domínio e pode ser retirado, embora o cache DNS atrase a mudança.

Essa autorização não valida normalização, atribuição, retenção nem recomendação do serviço. O proprietário ainda precisa saber quais arquivos entraram, quais linhas saíram, como períodos foram conciliados e quem aprovou a ação sugerida.

É possível terceirizar o processamento. Não é possível terceirizar silenciosamente o significado da prova.

Melhor auditoria não significa guardar mensagens

Os agregados omitem corpos, endereços individuais e características pessoais. Padrões de tráfego ainda podem ser sensíveis, especialmente diante de intermediários e relatórios ligados a Public Suffix. O controle adicional deve preservar a minimização.

Um digest do arquivo, identidade do gerador, período, política, conjunto normalizado e decisão bastam para demonstrar a cadeia sem reconstruir correspondência. O acesso a IPs de origem pode ser restrito e ter retenção própria.

O processador também deve tratar GZIP e XML como entrada hostil. Bombas de compressão e expansão podem consumir recursos. Sucesso sintático e aceitação probatória merecem estados separados.

O recibo de uso do agregado

Daniel Kade propõe um registro pequeno criado quando o agregado se torna fundamento de uma ação. Ele não é exigido pela RFC 9990.

O primeiro bloco vincula Report-ID, nome original, digest, tamanho, horário, resultado de autenticação e base de identidade do gerador. O segundo preserva domínio de política, início e fim UTC, versão do esquema e estado completo, tardio ou parcial da janela.

Depois vem a época de política: valor de policy_published e classificação única, mista ou desconhecida. O bloco de duplicidade relaciona arquivos e intervalos, registrando substituição, fusão, rejeição, aceitação ou quarentena, regra e responsável.

A transformação ganha versão do parser, hash das linhas aceitas, número de rejeições, extensões ignoradas e verificações de anomalia. Por fim, o recibo informa a dependência: investigar, contatar remetente, rotacionar chave, mudar política, manter, reverter ou substituir, com autoridade e caminho de correção.

O relatório continua agregado. O que se torna verificável é a maneira como a organização decidiu confiar nele.

Limites da evidência

As fontes comprovam campos, política mista, ambiguidade de duplicidade, autorização externa, limites de privacidade e alerta de falsificação. Não medem adoção, frequência de sobreposição, erro de qualquer receptor nomeado ou qualidade de um fornecedor.

Este Artigo não chama o agregado de mera opinião, não diminui o valor de DMARC e não recomenda guardar cada mensagem. A conclusão é mais específica: trata-se de evidência atribuída a um observador. Consequências altas exigem a ligação entre afirmação, época, transformação, duplicidade e decisão.

Fontes