9 em cada 10 prefeituras e governos estaduais não bloqueiam e-mail falso em seu nome: o que o fornecedor deve conferir

O que foi medido

O Raio-X do e-mail no Brasil, do CommsHarbor, leu em 20 de outubro de 2026 o DNS público de 2.912 domínios brasileiros que recebem e-mail. A pergunta é uma só: o domínio publica a política DMARC em modo reject, que manda o provedor de quem recebe recusar a mensagem falsa?

No total, 87% não publicam. No setor público, o quadro é este:

• Governos estaduais (553 domínios): 91% não rejeitam e-mail falso, e 46% nem têm DMARC.
• Prefeituras (1.657 domínios): 91% não rejeitam. 34% não têm DMARC e 30% só monitoram.
• Governo federal (100 domínios): 86% não rejeitam. 52% mandam o e-mail falso para o spam, mas não recusam. Só 14% rejeitam.

Por que isso pesa para quem licita

Órgãos públicos mandam por e-mail convocações, pedidos de documento, avisos de contrato e cobranças. Quando o domínio do órgão não manda recusar e-mail falso, uma mensagem com o mesmo endereço do órgão pode chegar à caixa de entrada do fornecedor, com um pedido de pagamento, um link para atualizar o cadastro ou um anexo com um suposto edital.

O edital e seus anexos são divulgados no PNCP, como manda o art. 54 da Lei nº 14.133/2021, e no sistema de compras do órgão. É ali que o fornecedor confirma o que recebeu por e-mail.

Um roteiro curto

• Confira no PNCP ou no sistema de compras do órgão qualquer convocação, mudança de edital ou prazo que chegue por e-mail.
• Não pague boleto ou guia recebida só por e-mail sem conferir o valor no portal ou no telefone oficial do órgão.
• Não entre no sistema de compras por link de e-mail. Digite o endereço.
• Teste também o domínio da sua empresa. Se ele não rejeita e-mail falso, alguém pode mandar proposta, recurso ou cobrança em seu nome ao órgão.

Como corrigir

A correção fica no DNS do domínio: alinhar SPF e DKIM e depois publicar DMARC com p=reject. O teste grátis do CommsHarbor lê SPF, DKIM e DMARC de qualquer domínio, sem cadastro. O link está nas fontes, junto com o relatório completo.

Método

A amostra tem 3.080 domínios, em lista de 20 de outubro de 2026, montada a partir do cadastro aberto de CNPJ da Receita Federal (e-mail da sede ativa) e do cadastro de companhias abertas da CVM. Provedores de e-mail grátis e escritórios de contabilidade ficam fora. Contam só os 2.912 domínios que recebem e-mail, com registro MX.

Para cada domínio foram lidos no DNS público os registros MX, SPF e DMARC. A classificação segue a política DMARC publicada: sem DMARC, só monitora (p=none), manda para o spam (p=quarantine) ou rejeita (p=reject). Os grupos se sobrepõem e não devem ser somados. Nenhum domínio é publicado, só os totais por grupo. A leitura se repete uma vez por mês.