Pesquisa Spoofhound · 2026-11-09
Estado do DMARC 2026 — Brasil
Três em cada quatro domínios brasileiros podem ser falsificados por e-mail.
O Spoofhound analisou a web brasileira: 24 186 domínios que recebem e-mail, dos sites populares do país e de empresas e órgãos públicos mapeados em todos os estados, verificados com o mesmo motor da nossa verificação de domínio gratuita.
Verifique seu domínio — grátisO número-chave
Três em cada quatro domínios brasileiros que recebem e-mail podem ser falsificados. Dos 24 186 domínios verificados, 18 058 (74,7%) não têm uma política DMARC aplicada: nenhum registro, apenas monitoramento ou um registro com erro. Os sistemas de e-mail que recebem as mensagens nunca são instruídos a bloquear as falsificações enviadas em seu nome.
Três números contam a história:
- •25,3% aplicam DMARC. O Brasil está no mesmo nível da Espanha (25,2%) e da Índia (24,9%), atrás da Austrália (29,3%) e à frente do Reino Unido (24,5%). Contando só empresas, o Brasil fica em 24,2%. Veja como se comparam todos os países que medimos.
- •A maior parte da proteção para na quarentena. Dos 6 128 domínios brasileiros que aplicam DMARC, dois em cada três (3 946) usam p=quarantine, que manda as falsificações para a pasta de spam. Só 2 182, 9,0% de todos os domínios, usam p=reject, que as bloqueia de vez.
- •A distância das pequenas empresas: 18,6% contra 51,0%. Empresas brasileiras com um a três endereços aplicam DMARC em 18,6% dos casos. Os sites .br do top 100 000 chegam a 51,0%.
O domínio brasileiro médio tem nota 35,2 de 100 na verificação completa de segurança de e-mail, e 81,0% têm pelo menos um problema que vale corrigir.
O DMARC na web brasileira
75% dos domínios brasileiros que recebem e-mail estão expostos à falsificação
18 058 dos 24 186 domínios verificados não têm uma política DMARC aplicada.
Sem registro DMARC
Apenas monitoramento (p=none)
Registro com erro ou duplicado
p=quarantine
p=reject
Vermelho: os destinatários nunca são instruídos a bloquear falsificações · Verde: o e-mail de impostores vai para a quarentena ou é rejeitado.
Apenas monitorar é a configuração mais comum no Brasil: 41,0% dos domínios publicam DMARC em p=none, contra 32,2% sem nenhum registro. Pouco mais da metade do grupo p=none (5 219) não pede relatórios DMARC, então o registro nem bloqueia falsificações nem avisa ninguém sobre elas. São os relatórios que mostram cada serviço que envia e-mail em nome do domínio. Lê-los e terminar o trabalho é exatamente o que o Spoofhound faz.
O resto da pilha
| Verificação | Resultado | Domínios |
|---|---|---|
| SPF | Nenhum registro: qualquer servidor pode enviar em nome do domínio | 1 613 (6,7%) |
| SPF | Registro termina em +all ou ?all: publicado, mas permite qualquer um | 1 255 (5,2%) |
| DKIM do Microsoft 365 | Os dois seletores de assinatura com erro: o e-mail enviado pode falhar na autenticação hoje | 49 |
| MTA-STS | Protege o e-mail recebido contra interceptação: adotado (42 destes só em modo de teste) | 90 (0,4%) |
| TLS-RPT | Informa falhas de entrega segura: adotado | 160 (0,7%) |
| BIMI | Logotipo verificado na caixa de entrada: ativo | 259 (1,1%) |
Poucos domínios brasileiros não têm SPF (6,7%), mas um em cada vinte (5,2%) publica um registro que termina em +all ou ?all e, portanto, permite qualquer servidor: uma das maiores proporções que medimos, embora abaixo da África do Sul (11,1%) e da França (7,2%). Os padrões mais novos mal chegaram: cerca de 1 em cada 100 domínios usa MTA-STS, TLS-RPT ou BIMI.
Pequenas empresas contra as maiores
| População | Domínios verificados | Sem registro DMARC | Apenas monitoramento | Aplicado |
|---|---|---|---|---|
| Empresas brasileiras com 1–3 endereços (lojas, escritórios, ofícios) | 7 597 | 39,9% | 40,2% | 18,6% |
| Empresas brasileiras com 4–9 endereços | 191 | 22,0% | 31,4% | 45,5% |
| Empresas brasileiras com 10 ou mais endereços | 74 | 8,1% | 37,8% | 52,7% |
| Sites .br do top 100 000 | 1 253 | 15,7% | 32,4% | 51,0% |
A proteção sobe muito com o porte: empresas com quatro ou mais endereços aplicam DMARC a mais do dobro da taxa das pequenas. As pequenas empresas se dividem igualmente entre nenhum registro (39,9%) e p=none (40,2%), e 86,4% têm pelo menos um problema de segurança de e-mail.
Setor público contra pequenas empresas
Órgãos públicos são um alvo óbvio do e-mail de impostores. Comparamos os domínios públicos que conseguimos identificar (domínios .gov.br, .edu.br, .mil.br, .jus.br, .leg.br e .mp.br, e escritórios mapeados como governo) com as pequenas empresas brasileiras:
| População | Domínios | Sem registro DMARC | Apenas monitoramento | p=quarantine | p=reject | Aplicado |
|---|---|---|---|---|---|---|
| Domínios do setor público brasileiro que conseguimos identificar | 1 732 | 28,1% | 30,7% | 28,3% | 12,2% | 40,5% |
| Empresas brasileiras com 1–3 endereços | 7 597 | 39,9% | 40,2% | 12,5% | 6,1% | 18,6% |
Os domínios públicos aplicam DMARC duas vezes mais que as pequenas empresas, mas a maioria (58,8%) ainda não tem registro ou para em p=none. Os que aplicam ficam quase sempre na quarentena: só 12,2% dos domínios públicos usam p=reject.
Quem está mais exposto
Escritórios de advocacia e imobiliárias ficam bem abaixo da média brasileira
Proporção dos domínios de cada setor que recebem e-mail em p=quarantine ou p=reject (domínios verificados entre parênteses).
Bicicletarias (83)
Padarias (117)
Lojas de informática (94)
Oficinas mecânicas (155)
Escritórios de advocacia (168)
Lojas de ferragens (226)
Imobiliárias (307)
ONGs (144)
Lojas de roupas (295)
Autopeças (99)
Lojas de móveis (159)
Associações (136)
Shopping centers (379)
Escritórios de contabilidade (124)
Concessionárias de motos (90)
Concessionárias de carros (349)
Supermercados (455)
Escritórios de empresas (606)
Agências de publicidade (83)
Escolas e faculdades (143)
Empresas de TI (263)
Azul: profissões que lidam com dinheiro de clientes · linha tracejada: média do Brasil (25,3%).
As profissões que lidam com dinheiro de clientes não estão mais protegidas. Escritórios de advocacia (12,5%), imobiliárias (14,3%) e escritórios de contabilidade (22,6%) estão todos abaixo da média nacional, embora cuidem dos pagamentos que o e-mail de impostores tem como alvo. Bicicletarias (6,0%) e padarias (7,7%) são as menos protegidas; as empresas de TI lideram com 33,8%.
Metodologia
População. 24 186 domínios brasileiros que recebem e-mail (publicam registros MX que funcionam), de duas fontes:
- empresas e órgãos públicos brasileiros mapeados no OpenStreetMap com site próprio, com qualquer terminação: 8 572 domínios
- todo domínio .br do ranking de popularidade Tranco top 1 milhão: 16 708 domínios que recebem e-mail
1 094 domínios aparecem nas duas. Perfis em redes sociais, sites de listagem e páginas hospedadas que a empresa não controla foram excluídos. Empresas mapeadas no Brasil que usam o domínio de um país vizinho são contadas nesse país.
Verificações. Cada domínio foi analisado pelo motor próprio do Spoofhound, o mesmo da verificação de domínio gratuita. Cobre SPF, DKIM (seletores conhecidos dos principais provedores de e-mail, como Microsoft, Google, SendGrid, Mailchimp e outros), DMARC, MTA-STS, TLS-RPT e BIMI. Cada número reflete uma análise nos 30 dias até 2026-11-09.
Limites honestos.
- Setor público. Os domínios públicos que conseguimos identificar (.gov.br, .edu.br, .mil.br, .jus.br, .leg.br, .mp.br e escritórios mapeados como governo) são 1 732, 7,2% da amostra, e aplicam DMARC em 40,5% dos casos. Sem eles, o número é 24,2%.
- Viés da amostra. Dois em cada três domínios vêm do ranking de popularidade, e a amostra de empresas cobre empresas mapeadas com site, o que tende para ramos visíveis e voltados ao consumidor. Os números por setor se baseiam em 83 a 606 domínios cada.
- DKIM. O DKIM só pode ser confirmado como presente, nunca como ausente.
- O que “aplicado” significa. p=quarantine ou p=reject no próprio domínio. Registros com erro contam como não aplicados, porque é assim que os servidores de e-mail que recebem as mensagens os tratam.
Dados © colaboradores do OpenStreetMap (ODbL) · lista Tranco do projeto de pesquisa Tranco.
Onde o seu domínio fica nesses números? Descubra em 30 segundos.
Verifique seu domínio — grátis