DMARC gerenciado para empresa brasileira que precisa autenticação fechada sem quebrar o que já funciona

Porque publicar DMARC em p=none é grátis e qualquer time técnico faz em 30 minutos, mas migrar de p=none para p=reject sem quebrar email legítimo exige descoberta detalhada das fontes de envio (geralmente 4 a 15 sistemas distintos), correção de autenticação em cada uma (que envolve coordenar com fornecedor de terceiros), e migração gradual com monitoramento ativo. Time interno costuma travar na fase de coordenação com fornecedor (HubSpot suporte, Salesforce admin, Locaweb, RD Station, Mailchimp), porque cada fornecedor tem processo próprio e timeline própria. A gente faz essa coordenação em paralelo para múltiplos clientes e tem relacionamento operacional com a maioria dos fornecedores comuns.

Depende do número de fontes de envio que o domínio tem e da responsividade dos fornecedores. Domínio típico com 4 a 8 fontes (SaaS de porte médio) leva 6 a 8 semanas. Domínio com 8 a 15 fontes (empresa de porte grande com operação multi-departamento) leva 8 a 10 semanas. Domínio com mais de 15 fontes ou com fornecedor enterprise lento leva 10 a 14 semanas. O painel mostra a fase em que cada fonte está, e o cliente acompanha o progresso em tempo real.

Parcialmente. Esses fornecedores oferecem produto SaaS de DMARC focado em parsing de relatório agregado e dashboard. A diferença é que a gente entrega serviço gerenciado: o trabalho operacional de coordenar com fornecedor, corrigir alinhamento, migrar política gradualmente, é feito pela nossa equipe. EasyDMARC e Postmark vendem ferramenta; a gente vende ferramenta mais o trabalho operacional em cima. Para empresa com time interno técnico que quer fazer o trabalho sozinha usando ferramenta SaaS, EasyDMARC é alternativa econômica. Para empresa que quer terceirizar o trabalho operacional, a gente é a opção.

Sim, no tier Premium com termos contratuais customizados. O contrato inclui cláusula compatível com a Resolução BCB 4.658/2018 sobre segurança cibernética e contratação de serviços relevantes em nuvem, com descrição clara de obrigações de operadora, retenção de log forense, notificação de incidente em 24h e direito de auditoria pelo banco. A negociação dos termos leva 2 a 4 semanas e envolve o jurídico do banco coordenando com o nosso jurídico austríaco mais escritório parceiro brasileiro. Para banco regulado, o tier Premium é o ponto de partida porque o ciclo regulatório de auditoria recorrente é anual e justifica o compromisso mínimo de 12 meses.

Não diretamente. A LGPD não menciona DMARC especificamente. O que a LGPD exige é "medidas de segurança técnicas e administrativas" (Art. 46) para proteger dado pessoal de tratamento não autorizado. Para empresa que processa dado pessoal sensível (banco, fintech, healthtech, setor público), DMARC enforcement faz parte do conjunto de medidas técnicas razoáveis para prevenir uso indevido do domínio em phishing dirigido a cliente. Em fiscalização da ANPD, DMARC enforcement aparece como controle reconhecido. A gente fornece a documentação técnica que o DPO da empresa precisa para listar DMARC enforcement como medida de segurança aplicada, mas o trabalho de classificação jurídica cabe ao DPO.

BIMI é suportado nativamente pelo Gmail (que tem participação dominante em conta pessoal e corporativa no Brasil) e pelo Apple Mail no iOS. Outlook 365 suporta limitado. Os receivers brasileiros tradicionais (UOL Mail, Terra Mail, BOL, R7, iG, Globo Mail) não implementam BIMI no momento. Para empresa brasileira focada em audiência consumer, o impacto principal do BIMI é no Gmail (maioria do volume) e no Apple Mail (usuários iPhone), que cobre algo na faixa de 70% a 85% da base consumer brasileira dependendo do perfil de cliente. Para audiência corporativa, depende fortemente do mix Gmail Workspace versus Outlook 365 da base. A gente discute o impacto esperado para o seu caso específico na ligação.

Depende do volume e do reconhecimento de marca. Para banco brasileiro (Itaú, Bradesco, Santander, Caixa, Nubank, Inter, C6), fintech grande (Stone, PagBank, Cielo), varejo digital (Magalu, Mercado Livre, Lojas Americanas, Casas Bahia) e marcas consumer com alta exposição a phishing dirigido, o VMC paga rapidamente em redução de tentativas de fraude bem-sucedidas e em reforço de marca na inbox. Para empresa B2B de porte médio sem exposição direta a fraude consumer, o VMC é gasto com retorno marginal e a gente costuma recomendar parar no enforcement sem BIMI. A análise de retorno é caso a caso.

Locaweb e RD Station entram como duas fontes de envio que precisam ser alinhadas. Para Locaweb, o caminho típico é publicar registro CNAME no DNS do domínio apontando para o servidor de email da Locaweb, e adicionar o include do SPF do Locaweb Email Marketing no SPF do domínio. Para RD Station, é processo similar com o sistema de assinatura DKIM próprio que o RD Station expõe. A gente coordena com os times de suporte dos dois fornecedores diretamente, e a maioria das configurações é resolvida em 1 a 2 semanas. RD Station tem documentação clara sobre alinhamento DMARC e o suporte costuma ser responsivo. Locaweb varia conforme a equipe que atender o ticket.

A gente identifica, documenta, e oferece três caminhos. Caminho A: trabalho técnico interno do cliente para corrigir (publicar DKIM, ajustar configuração de envio). Caminho B: substituição da fonte por alternativa que tenha autenticação fácil (trocar plataforma de RH que não suporta DKIM por uma que suporte). Caminho C: aceitar o risco e configurar política de exceção via subdomínio (mover essa fonte específica para subdomínio com política diferenciada). A escolha cabe ao cliente. Vários clientes brasileiros descobrem na fase 1 que têm fonte legacy (sistema interno antigo, processo manual de envio em massa) que não vale o esforço de corrigir, e optam pela substituição como parte do projeto.

Em receivers que tratam DMARC enforcement como sinal positivo (Gmail, Outlook 365, Yahoo Mail, Apple iCloud), o ganho de placement varia entre 2 e 8 pontos percentuais para conta com reputação prévia razoável. Em conta com reputação fraca, o ganho pode ser maior (até 15 pontos) porque DMARC enforcement compensa parcialmente sinais negativos de reputação. Em conta com reputação já excelente, o ganho é menor (1 a 3 pontos) porque o teto de placement já estava perto. Em receivers que ainda não tratam DMARC como sinal positivo (vários receivers regionais e legacy), o impacto em placement é zero, mas o impacto em proteção contra spoofing é igual em todos.

Suporte em horário comercial de Viena cobre 9h às 18h horário de Brasília, com engenheiros falando português brasileiro nativo. Para clientes Premium, suporte estendido 8h às 20h horário de Brasília, e PagerDuty integration para incidente fora do horário comercial. Documentação técnica entregue em inglês, mas relatório executivo mensal entregue em português brasileiro para diretoria do cliente. Slack Connect compartilhado disponível no tier Enforcement, dedicado no tier Premium.

Sim, no tier Enforcement e Premium. Eventos de relatório forense (tentativa de spoofing detectada, fonte legítima nova aparecendo, mudança de padrão de envio) são entregues via webhook em tempo real para endpoint configurado pelo cliente. O formato é JSON estruturado compatível com ingestion em Splunk, Sumo Logic, Datadog Security, ou SIEM brasileiro como Mvision e CrowdStrike. Para clientes com necessidade de integração específica (SOC interno do banco, MDR de fornecedor brasileiro), oferecemos custom webhook com formato negociado. A integração não tem custo adicional dentro do tier Enforcement.

Depende do retorno que o cliente está medindo. Para redução de phishing dirigido (medido por queixas no suporte, identificação por sistema anti-fraude, relatório forense detectando tentativas), o sinal aparece nos primeiros 7 a 14 dias depois de chegar em p=reject. Para melhoria de placement em receivers críticos (Gmail, Outlook 365), o ganho aparece gradualmente nos 30 a 60 dias seguintes conforme os receivers re-avaliam reputação do domínio com o novo sinal de DMARC enforcement. Para fechamento de auditoria, o sinal é imediato no relatório seguinte. Para fechamento de contrato com cliente europeu, o sinal é imediato no questionário de procurement reaberto. A gente compartilha a métrica relevante para o caso específico do cliente no relatório executivo mensal.