DMARC em tribunais e conselhos: medimos 179 domínios

Em janeiro, o TRF4 publicou um alerta: e-mails enviados em nome do tribunal, como uma falsa "Notificação Extrajudicial" assinada por um suposto oficial de justiça, pediam dados e dinheiro às vítimas (TRF4, 2026). Em 14 de setembro foi a vez do Conselho Federal de Contabilidade avisar que golpistas usam o nome dos CRCs para cobrar anuidade falsa (CFC, 2026).

Esses alertas levantam uma pergunta técnica que quase ninguém faz: o próprio domínio da instituição impede que alguém envie e-mail com o nome dela? Existe um registro público de DNS feito exatamente para isso, o DMARC. Fomos medir.

Pontos-Chave
- Medimos em 23/09/2026 o DNS de 179 domínios oficiais do Judiciário, da OAB, dos CRCs e dos CRMs, mais os 10 maiores bancos como referência.
- 83 dos 179 (46,4%) não pedem aos servidores de destino que recusem ou isolem toda mensagem falsificada com o seu nome.
- Nos bancos, 10 de 10 aplicam a política. Só 30 dos 179 (16,8%) domínios oficiais chegam ao nível máximo, p=reject.
- O pior grupo são os Tribunais Regionais Eleitorais: 14 de 27 (51,9%) não têm DMARC nenhum. Nas remedições de 29/09 e 02/10, antes do primeiro turno, e na conferência de 05/10, depois dele, nenhum deles tinha corrigido.
- Nenhuma norma do Judiciário ou do governo federal que lemos exige DMARC. Quem está forçando a adoção é o mercado: Google, Yahoo e Microsoft.

O que encontramos em 179 domínios oficiais?

Das 179 instituições, 96 (53,6%) publicam uma política que manda recusar ou pôr em quarentena todo e-mail que falha na autenticação. As outras 83 (46,4%) deixam a falsificação exata passar, total ou parcialmente. É um número melhor que a média da internet — e muito pior que o dos bancos, que é o setor que realmente sofre o mesmo tipo de golpe.

Os achados principais, cada um verificável por qualquer pessoa com uma consulta de DNS:

1. 46,4% dos domínios oficiais não aplicam política plena. São 49 em p=none (só monitoram), 25 sem registro DMARC, 1 com registro inválido e 8 com aplicação parcial.
2. Só 16,8% chegam a p=reject. A maioria dos que aplicam política escolheu a quarentena, que manda a mensagem para o spam em vez de recusá-la.
3. Os bancos estão todos lá. Os 10 maiores por ativo aplicam política plena; 8 deles, p=reject.
4. Os TREs são o grupo mais exposto: 18 dos 27 (66,7%) não aplicam política, e 14 não publicam DMARC algum.
5. Metade dos que estão em p=none nem lê o resultado. 24 dos 49 não publicam o endereço que recebe os relatórios.
6. Na OAB e na contabilidade, mais da metade não aplica política plena. São 53,6% dos domínios da OAB e 57,1% do sistema CFC/CRCs.

---

O que o DMARC faz — e o que ele não faz

O DMARC é um registro de DNS em que o dono do domínio diz aos servidores de destino o que fazer com uma mensagem que usa o seu nome no remetente e falha na autenticação. A especificação, a RFC 7489, prevê três políticas, e a diferença entre elas é tudo:

• p=none — o dono do domínio não pede nenhuma ação. A mensagem falsificada segue o caminho que o filtro do destino decidir; o domínio só recebe relatório.
• p=quarantine — o receptor deve tratar a mensagem como suspeita, o que na prática costuma significar a pasta de spam.
• p=reject — o receptor deve recusar a mensagem, de preferência ainda durante a conexão SMTP. O e-mail falsificado nem chega à caixa.

Existe ainda a tag pct, que aplica a política só a uma fração das mensagens. Um p=reject com pct=10 pede a recusa de cerca de 10% das falsificações, escolhidas mensagem a mensagem, e deixa o resto seguir.

O ponto que muita gente perde: um domínio em p=none está publicado e aparece como "tem DMARC" em qualquer checklist — e continua deixando passar e-mail falsificado com o próprio nome. Monitorar não é proteger.

Há também um limite que a própria RFC declara na seção 2.4: o DMARC não trata domínios parecidos, os chamados cousin domains. Ele impede que alguém envie como @tribunal.jus.br; não impede que alguém registre um endereço com uma letra trocada. Por isso DMARC é uma camada da defesa, não a defesa inteira. Faz sentido, então, medir só isso? Faz: é a camada mais barata, é pública e é a única que depende exclusivamente de quem é dono do nome.

Como fizemos a medição

Medimos em 23 de setembro de 2026 os registros públicos de DNS de 189 domínios — 179 oficiais, em quatro grupos, e 10 bancos como referência:

• Judiciário (95): STF, STJ, TST, TSE, STM, CNJ, CJF, CSJT, os 27 Tribunais de Justiça, os 6 TRFs, os 24 TRTs, os 27 TREs e os 3 tribunais de Justiça Militar estaduais.
• OAB (28): Conselho Federal e as 27 seccionais.
• Contabilidade (28): CFC e os 27 CRCs.
• Medicina (28): CFM e os 27 CRMs.
• Referência — bancos (10): os 10 maiores por ativo total no IF.data do Banco Central (data-base junho de 2026), o setor que mais sofre tentativa de falsificação.

O universo veio das listas oficiais de cada órgão (CNJ e portais dos tribunais, CFOAB, CFC e CFM). Cada domínio foi conferido no DNS e na página inicial antes de entrar na amostra, porque há exceções que um padrão não pega: a OAB de Sergipe usa oabsergipe.org.br, o CRC do Rio usa crc.org.br.

Para cada domínio, consultamos o MX, o registro SPF no próprio domínio e o registro publicado em _dmarc. seguido do domínio, usando os resolvedores públicos do Google (8.8.8.8) e de um segundo resolvedor público independente (1.1.1.1). Não houve varredura, login nem acesso a sistema nenhum: é a mesma consulta que qualquer servidor de e-mail faz antes de entregar uma mensagem. Qualquer um pode repetir no nosso verificador de SPF, DKIM e DMARC.

Classificamos cada domínio assim:

• Política aplicada: p=reject ou p=quarantine valendo para 100% das mensagens.
• Aplicação parcial: p=reject ou p=quarantine com pct abaixo de 100.
• Só monitora: p=none.
• Sem DMARC: nenhum registro publicado.
• Registro inválido: mais de um registro ou nenhuma política válida. Nesse caso a RFC 7489 manda o receptor não aplicar DMARC — na prática, equivale a não ter.

Publicamos só os números agregados por grupo. Não listamos quais instituições estão em cada situação: o objetivo é medir o problema, não apontar o dedo, e cada órgão confere o próprio domínio em segundos.

Limitações

• DKIM não foi medido. A chave DKIM fica num seletor de nome livre (seletor._domainkey), que não dá para descobrir de fora sem ver uma mensagem real.
• Medimos o domínio principal. Se uma instituição envia comunicações por outro domínio, vale a política daquele. A política de subdomínios (sp=) foi registrada, mas não entra na classificação.
• É o retrato de um dia. DNS muda. Um tribunal que publique p=reject amanhã já não está no número de hoje — e isso é bom.
• Não medimos ataque. A medição mostra se o domínio permite a falsificação exata, não se alguém está explorando isso agora.

Outro estudo brasileiro, outro setor, o mesmo problema

Não somos os primeiros a medir isso no setor público. Um grupo do Departamento de Engenharia Elétrica da UnB analisou, em agosto de 2025, os domínios de 345 instituições públicas de ensino superior e concluiu que cerca de 80% permitiam algum tipo de falsificação de e-mail. Só 5,2% estavam em p=reject (StopEmailSpoofing, revista RISTI nº 60, dezembro de 2025).

Os números não se comparam ponto a ponto com os nossos. O critério deles combina SPF e DMARC e conta a política de subdomínios (sp=), que aqui só registramos. A direção, porém, é a mesma em dois setores diferentes: uma parte grande dos domínios públicos ainda deixa margem para e-mail falso com o nome da instituição — quase metade no nosso recorte, perto de quatro em cada cinco no deles.

---

Por que o Judiciário importa tanto nesse número?

No Judiciário, 54 dos 95 domínios (56,8%) aplicam política plena e 35 (36,8%) não aplicam política nenhuma: 17 em p=none e 18 sem DMARC. Outros 6 aplicam só em parte. A distância entre os ramos é grande, e ela não acompanha o tamanho nem o orçamento de cada um.

Os conselhos (CNJ, CJF, CSJT) e os tribunais superiores estão quase todos protegidos: 7 dos 8 aplicam política plena. A Justiça do Trabalho vem logo atrás, com 18 dos 24 TRTs (75%), dez deles em p=reject. Nos Tribunais de Justiça, que concentram o grosso das intimações a advogados, o número cai para 15 de 27 (55,6%), e 9 estão em p=none.

O caso dos TREs, às vésperas da eleição

Os Tribunais Regionais Eleitorais são o ponto mais frágil de toda a amostra. Só 9 dos 27 aplicam política; 14 não publicam DMARC algum. O primeiro turno das eleições gerais foi em 4 de outubro (TSE, 2026), e a Justiça Eleitoral mantém uma página de alerta contra e-mails falsos que anunciam cancelamento de título. O que acontece quando o golpe usa o domínio de um TRE sem DMARC? O servidor de destino não recebe instrução nenhuma de recusar — decide sozinho, pelos próprios filtros.

Remedição em 29/09: cinco dias antes do primeiro turno

Voltamos a medir os mesmos 189 domínios em 29/09, com o mesmo método e os mesmos resolvedores. Nenhum dos 27 TREs mudou de política em seis dias. Seguem 9 aplicando, 4 só monitorando (p=none) e 14 sem DMARC algum. O número geral também ficou parado: 83 dos 179 domínios oficiais (46,4%) continuam sem política plena.

A única mudança na amostra inteira foi para pior. Um conselho seccional da OAB, que estava em p=none, passou a publicar dois registros DMARC no mesmo nome. Quando encontra mais de um registro, o servidor de destino encerra a busca da política e não aplica DMARC à mensagem (RFC 7489, seção 6.6.3). Na prática, o domínio ficou como se não tivesse DMARC nenhum.

O formato dos dois registros sugere uma edição de DNS em que um TXT novo foi acrescentado ao lado do antigo, em vez de substituí-lo. Quem vai mexer no DMARC às pressas antes da eleição corre exatamente esse risco. Vale conferir o resultado depois de salvar, por exemplo no nosso verificador de SPF, DKIM e DMARC.

As contagens da remedição estão no CSV de 29/09, no mesmo formato do primeiro arquivo.

Remedição em 02/10: dois dias antes do primeiro turno

Medimos de novo em 02/10, em duas passadas no mesmo dia, com o mesmo método. Nenhum dos 27 TREs mudou de política em nove dias. O quadro é o de 23/09: 9 aplicando, 4 só monitorando (p=none) e 14 sem DMARC algum. O eleitor vai às urnas no domingo com mais da metade dos tribunais regionais eleitorais (14 de 27) sem registro DMARC algum.

Houve duas mudanças no restante da amostra:

• O conselho seccional da OAB que tinha dois registros DMARC corrigiu a duplicidade. Agora publica um registro só, em p=none e com endereço de relatório. O registro voltou a ser válido, mas a política continua sendo a de só monitorar: a mensagem falsificada segue sem pedido de recusa.
• O domínio de um tribunal de justiça estadual não respondeu às consultas de DNS nos dois resolvedores do método, nas duas passadas. Sem resposta não dá para saber qual política o domínio publica. Por isso ele fica fora da conta do dia, em vez de entrar como "sem DMARC".

Com isso, o total do dia é 83 de 178 domínios oficiais (46,6%) sem política plena. O número absoluto é o mesmo das duas medições anteriores, quando a base era de 179 domínios (46,4%). O domínio que não respondeu aplicava p=reject em 23/09 e em 29/09.

As contagens estão no CSV de 02/10. Os três arquivos ganharam a coluna sem_resposta_dns, que vale zero nas duas primeiras medições e 1 nesta.

Conferência em 05/10: o primeiro turno passou, o DNS não mudou

No dia seguinte ao primeiro turno, conferimos de novo os 18 TREs que não aplicam política, nos mesmos dois resolvedores. Os 14 sem DMARC continuam sem o registro, e os 4 em p=none continuam só monitorando. Desta vez não refizemos a amostra inteira de 189 domínios, só os tribunais eleitorais que ainda não pedem a recusa. Por isso a conferência não gera um CSV novo.

Haverá segundo turno para presidente em 25 de outubro, e em seis estados e no Distrito Federal também para governador (Agência Brasil, 04/10/2026). Em 4 desses 7 tribunais o domínio não pede a recusa de e-mail falso. Vamos refazer a medição completa, em duas passadas, antes do segundo turno.

O que o alerta do TRF4 revela

Aqui o dado conversa com o alerta do começo deste texto. O domínio do TRF4 publica p=reject. Isso quer dizer que ele pede aos servidores de destino que recusem qualquer mensagem forjada com @trf4.jus.br no remetente — e os grandes provedores de e-mail levam esse pedido a sério. O golpe da falsa notificação, para chegar às vítimas, provavelmente saiu de outro endereço.

É exatamente o limite da seção 2.4 da RFC em ação: quando o dono do domínio faz a parte dele, o golpista muda de estratégia e passa a usar domínio parecido, e-mail gratuito ou WhatsApp. O DMARC não acaba com o golpe. Ele tira do golpista a ferramenta mais convincente, que é o endereço verdadeiro.

---

E os conselhos profissionais que já alertaram sobre golpe?

Entre os 84 conselhos profissionais, 42 (50%) aplicam política plena e 40 (47,6%) não aplicam nenhuma. Os três sistemas medidos — OAB, contabilidade e medicina — já publicaram alertas de fraude em nome próprio nos últimos 18 meses, e mesmo assim o domínio de metade deles não pede a recusa de e-mail forjado.

• OAB: 13 das 28 aplicam política, 13 estão em p=none e 2 não têm DMARC. A Ordem lançou em abril de 2025 uma campanha nacional contra o golpe do falso advogado (OAB, 2025), e o Conselho Federal contabilizou 2.619 manifestações sobre o golpe até agosto daquele ano (CFOAB, 2025).
• Contabilidade: 12 dos 28 aplicam política plena; 11 estão em p=none, 3 não têm DMARC, 1 publica dois registros conflitantes (e por isso não vale nenhum) e 1 aplica quarentena a uma fração das mensagens.
• Medicina: é o melhor dos três, com 17 dos 28 (60,7%) aplicando política — mas nenhum em p=reject; todos escolheram quarentena. O CFM alertou em fevereiro para um site falso de cobrança de anuidade e lembrou que seus endereços oficiais usam só o domínio .cfm.org.br (CFM, 2026).

Vale uma ressalva honesta sobre o golpe do falso advogado. Ele corre principalmente pelo WhatsApp: a OAB-SP recebeu 3.977 denúncias de uso indevido de credenciais de advogados entre fevereiro e setembro de 2025, e 76,3% resultaram em perda financeira (Migalhas, 2025). DMARC não resolve isso. Resolve a variante por e-mail, que é a que usa o nome do tribunal, da seccional ou do escritório para dar credibilidade ao pedido.

Os bancos mostram que dá para chegar lá

Os 10 maiores bancos do país aplicam política plena, e 8 deles estão em p=reject. Todos publicam endereço de relatório, e nove dos dez usam SPF -all. O dado bate com um levantamento da Proofpoint divulgado em 17 de setembro: entre os 20 maiores bancos brasileiros, 65% adotam p=reject (TI Inside, 2026).

Por que o banco chegou e o tribunal não? O banco sofre o golpe no próprio caixa e tem área de fraude medindo prejuízo. No tribunal e no conselho, quem perde dinheiro é o cidadão, o advogado ou o profissional registrado. O custo não aparece na conta de quem teria de configurar o domínio.

A comparação com a internet em geral também ajuda a calibrar. Numa análise de 73,3 milhões de domínios, só 2,5% estavam em p=reject (Red Sift, 2026); entre os 1,8 milhão de domínios mais relevantes do mundo, 22,9% aplicavam quarentena ou rejeição (EasyDMARC, 2026). As instituições brasileiras estão acima dessa média. Mas média da internet é a régua errada para quem expede intimação.

---

Três furos que o "tem DMARC" esconde

Contar quem tem registro DMARC produz um número bonito e enganoso. Olhando dentro dos registros publicados, aparecem três problemas que nenhum checklist de "sim ou não" mostra.

1. Monitorar sem ler

Dos 49 domínios em p=none, 24 não publicam o endereço rua, que é onde os relatórios agregados chegam. Ficam com o pior dos dois mundos: não bloqueiam a falsificação e também não ficam sabendo dela. O p=none só faz sentido como etapa de observação — sem relatório, não há o que observar.

2. Proteção em conta-gotas

Oito domínios aplicam a política a só uma fração das mensagens, com pct entre 1% e 90%. Um deles está em pct=1: 99 de cada 100 falsificações seguem para a caixa de entrada. A tag existe para fazer a transição em degraus, não para morar nela.

3. Subdomínio de porta aberta

Doze domínios aplicam política no domínio principal mas publicam sp=none, que libera os subdomínios. Um golpista que assine como @intimacao. seguido do domínio do órgão não é barrado pela política — e um subdomínio com cara de sistema oficial é justamente o que dá credibilidade a uma falsa intimação.

Quanto ao SPF, que é a outra metade da autenticação: 93 domínios (52%) usam -all, que manda recusar remetente não autorizado, e 77 (43%) usam ~all, que só marca a mensagem como suspeita. Dois não publicam SPF; os outros 7 usam ?all (neutro), redirect para outro registro ou não têm o mecanismo all.

Por que nenhuma norma obriga — e quem está obrigando

A Estratégia Nacional de Segurança Cibernética do Poder Judiciário, a Resolução CNJ nº 396/2021, não menciona e-mail, SPF, DKIM nem DMARC em nenhum dos seus 36 artigos. A Instrução Normativa GSI nº 1/2020, que organiza a segurança da informação na administração federal, cita o e-mail só como um recurso de comunicação a ser gerido, sem exigir SPF, DKIM ou DMARC. As duas tratam de governança e de gestão de incidentes em termos gerais — e a autenticação de e-mail, que é um controle de uma linha de DNS, ficou de fora.

Quem está puxando a adoção é o mercado de caixas postais. O Gmail exige DMARC de quem envia 5.000 mensagens por dia ou mais desde fevereiro de 2024 (Google, 2024). O Yahoo adotou a mesma regra no mesmo mês (Yahoo, 2024). E a Microsoft passou a recusar esse tipo de remetente no Outlook.com, com o erro 550 5.7.515, a partir de 5 de maio de 2025 (Microsoft, 2025).

Só que essas regras exigem o mínimo, p=none. Elas empurram o órgão para dentro do DMARC, não até a política que protege quem recebe.

Não encontramos estudo público anterior sobre a adoção de DMARC em domínios .jus.br ou nos conselhos profissionais. O único levantamento brasileiro recente que localizamos é o dos bancos, citado acima.

---

O que fazer com esse número

Se você cuida de TI de um tribunal, seccional ou conselho

O caminho seguro até p=reject tem três passos, e nenhum exige comprar nada:

1. Publique p=none com rua= e leia os relatórios agregados por algumas semanas. Eles mostram quem envia e-mail em nome do domínio — inclusive sistemas esquecidos, como o de boletos, o de notificações processuais e a plataforma de newsletter.
2. Autorize cada remetente legítimo no SPF e assine com DKIM alinhado ao domínio. É aqui que a maioria trava, porque cada sistema terceirizado precisa ser ajustado.
3. Suba para p=quarantine e depois para p=reject, usando pct para fazer a transição em degraus — e sem esquecer de trocar o sp=none.

Se você é advogado, contador ou médico

Não dá para configurar o domínio do tribunal ou do conselho. Dá para mudar o que o seu escritório faz com o que chega:

• Desconfie do remetente, não só do assunto. Pela Lei 11.419/2006, art. 5º, a intimação eletrônica é feita no portal próprio do sistema processual. E-mail que pede para clicar e "visualizar o documento" merece desconfiança dobrada.
• Confira o domínio letra por letra. DMARC não cobre domínio parecido; o seu olho, sim.
• Use um filtro antispam corporativo que respeite a política DMARC do remetente e analise links e anexos, e treine a equipe com simulações de phishing que usem exatamente esse tipo de mensagem. A diferença entre esse filtro e o do webmail gratuito está no nosso texto sobre antispam corporativo e filtro pessoal.
• Proteja o seu próprio domínio. Quando o golpe vem por e-mail com o nome do escritório, um p=reject no domínio do escritório impede que alguém escreva como você.

Os riscos específicos de cada vertical estão detalhados nas páginas de e-mail para escritórios de advocacia, contabilidades e clínicas e hospitais.

Como citar ou reproduzir este estudo?

Os números e os dois gráficos podem ser reproduzidos livremente — em reportagem, artigo, aula ou relatório interno — desde que a Meile seja citada como fonte, com link para esta página. As contagens agregadas por grupo e por ramo do Judiciário estão em três arquivos CSV, um por medição: 23/09, 29/09 e 02/10. São os mesmos números do texto, sem nenhum domínio individual.

Sugestão de referência: Meile. Adoção de DMARC e SPF em domínios do Judiciário e dos conselhos profissionais do Brasil. Medição pública de DNS, 23 e 29 set. e 2 out. 2026. Disponível em: meile.com.br/blog/estudo-dmarc-judiciario-conselhos-profissionais.

Para incorporar um dos gráficos no seu site, copie o código abaixo. Ele já traz o crédito com o link.

Para revendedores: segurança de e-mail em setor regulado é serviço recorrente

O dado deste estudo é uma conversa comercial pronta para quem atende escritórios de advocacia, contabilidades e clínicas. O cliente regulado recebe por e-mail comunicações de instituições cujos domínios, em boa parte, não pedem a recusa de mensagem falsificada — e a defesa que sobra está do lado de quem recebe.

Montar e manter essa defesa não é projeto de uma vez: é leitura mensal dos relatórios DMARC do domínio do cliente, ajuste de remetentes a cada sistema novo, calibração do antispam para os golpes da vertical e treinamento periódico da equipe. É trabalho contínuo, feito com a marca de quem atende.

Na revenda white label da Meile, o parceiro opera e-mail corporativo, antispam e treinamento de phishing com a própria marca, sobre infraestrutura no Brasil e uma operação com mais de 20 anos. A receita é recorrente, e as condições comerciais são tratadas direto com o time.

---

Veja também

• Segurança de e-mail corporativo: as camadas de proteção
• Verificador de SPF, DKIM e DMARC
• E-mail corporativo na contabilidade: LGPD, retenção e CFC
• LGPD Art. 16: retenção, eliminação e auditoria de e-mail