Como diagnosticamos um domínio antes da primeira conversa

Existe uma informação enorme disponível sobre qualquer empresa antes de você ligar para ela. Não estou falando de dado sigiloso, de invasão ou de qualquer coisa que dependa de acesso privilegiado. Estou falando do que o próprio domínio da empresa entrega para qualquer pessoa que saiba fazer as perguntas certas.

Na UNODATA, transformamos essa leitura em etapa formal do nosso processo comercial. Antes de qualquer reunião, antes de qualquer proposta, rodamos uma análise pública do domínio do potencial cliente. O que encontramos determina como chegamos, o que dizemos e, muitas vezes, se faz sentido avançar naquele momento.

Esse método tem nome interno: faz parte do AHSU 360 (AntiHacking System UNODATA), uma metodologia própria de diagnóstico e proteção que olha o ambiente do cliente de fora para dentro, antes de qualquer acesso técnico contratado. O que vou descrever aqui é a camada inicial desse processo, a que usa apenas informação pública e já entrega sinais relevantes para quem sabe interpretá-los.

A aposta que faço é direta: gestor de TI ou CEO que entende esse processo vai perceber que provavelmente nunca olhou o próprio domínio com esse nível de atenção.

O que um domínio público revela sobre uma empresa

Domínio é identidade digital. E identidade digital, quando mal cuidada, conta uma história que o dono muitas vezes não sabe que está contando.

Quando analisamos um domínio antes de uma conversa, estamos lendo registros públicos que qualquer ferramenta de consulta DNS consegue acessar em segundos. A questão não é o acesso. A questão é saber o que esses registros significam e o que a ausência deles implica.

Alguns pontos que analisamos nessa etapa inicial:

• Configuração de e-mail corporativo: onde o e-mail está hospedado, se os registros de autenticação estão presentes e se estão corretos.
• Proteção de borda e filtragem: se há camadas de proteção contra abuso e interceptação antes que o e-mail chegue à caixa do usuário.
• Registros de autenticação de remetente: se a empresa tem SPF (Sender Policy Framework, que define quais servidores podem enviar e-mail em nome do domínio), DKIM (DomainKeys Identified Mail, que assina criptograficamente as mensagens) e DMARC (Domain-based Message Authentication Reporting and Conformance, que instrui o que fazer quando uma mensagem falha na autenticação) configurados, e se as políticas estão em modo de aplicação real ou apenas em modo de monitoramento sem efeito prático.
• Sinais de abandono técnico: registros desatualizados, entradas conflitantes, subdomínios esquecidos que ainda apontam para serviços antigos.
• Maturidade de gestão: a estrutura do que encontramos diz se há alguém cuidando ativamente do ambiente ou se a configuração foi feita uma vez e nunca mais revisada.

Nenhum desses pontos exige acesso à infraestrutura da empresa. Estão todos disponíveis em consulta pública. O que fazemos é organizar essa leitura de forma sistemática e transformar o resultado em diagnóstico útil.

Por que isso muda a dinâmica comercial

Chegar para um gestor com “quero te vender um serviço de e-mail” é uma conversa que ele já teve dezenas de vezes. Ele tem um filtro treinado para encerrar esse tipo de abordagem antes de ela começar.

Chegar com “analisei o domínio público da sua empresa e encontrei três pontos que merecem atenção” é outra conversa. Ela começa com um dado concreto sobre o ambiente dele, não sobre o nosso produto.

Vender bem, no fundo, é entender antes de oferecer. O diagnóstico público faz esse trabalho antes mesmo de qualquer reunião acontecer.

Essa diferença de postura tem efeito prático no ciclo comercial. Quando chegamos com diagnóstico, o gestor não precisa nos explicar o cenário dele do zero. Nós já temos uma leitura inicial. Ele confirma, corrige ou aprofunda. A conversa avança mais rápido porque já está ancorada em algo concreto.

O outro efeito, menos óbvio mas igualmente relevante: o gestor percebe que estamos dispostos a trabalhar antes de fechar qualquer contrato. Isso cria uma assimetria de confiança favorável. Ele recebeu valor antes de assinar qualquer coisa.

Quando o diagnóstico resolve sem venda

Isso acontece. Às vezes o que encontramos é simples o suficiente para que o próprio time técnico do cliente resolva com a informação que entregamos. Não vejo isso como perda. Vejo como filtro de qualidade.

Se a solução era simples e eles conseguiram resolver sozinhos, provavelmente não era o problema que precisava da UNODATA. O problema que nos chama é o que tem profundidade, o que tem histórico, o que exige método contínuo e não apenas uma correção pontual. Esse cliente vai aparecer de volta quando encontrar o próximo problema. E quando aparecer, vai lembrar que chegamos com diagnóstico, não com pitch.

O risco de não olhar o próprio domínio

A maioria das empresas não faz esse tipo de análise sobre si mesma. Não porque seja difícil. Porque nunca parou para pensar que deveria.

O resultado prático é que configurações estabelecidas há dois, três, cinco anos continuam ativas sem revisão. O serviço de e-mail foi migrado, mas os registros antigos ainda apontam para o provedor anterior. A política de DMARC foi criada em modo de monitoramento e nunca foi evoluída para aplicação. Um subdomínio de teste criado para um projeto que terminou ainda existe e pode ser explorado.

Esses não são cenários hipotéticos. São o que encontramos com frequência quando rodamos a análise pública em empresas de médio porte com times de TI que têm muito para gerir e pouco tempo para revisão sistemática.

O risco não é abstrato. Domínio mal configurado facilita três categorias de abuso que têm impacto direto no negócio:

1. Spoofing de remetente: alguém envia e-mail se passando pela empresa porque não há política que impeça isso. O destinatário vê o domínio legítimo e confia.
2. Entregabilidade comprometida: e-mails legítimos da empresa caem em spam porque a configuração de autenticação está incompleta ou inconsistente.
3. Reputação de domínio degradada: se o domínio é usado para envio de spam por terceiros sem que a empresa perceba, a reputação cai e afeta toda a comunicação corporativa.

Nenhum desses problemas aparece com alarme sonoro. Eles se instalam devagar, e o diagnóstico chega quando o estrago já é visível.

Método, não sorte

O que descrevi até aqui não é genialidade comercial. É método. E método é o que separa resultado consistente de acerto esporádico.

O AHSU 360 começa nessa camada de leitura pública porque ela é acessível, rápida e já entrega sinal suficiente para qualificar uma conversa. A partir do que encontramos, sabemos se há problema de camada básica de autenticação, se há sinal de ambiente negligenciado ou se o cliente já tem maturidade técnica e a conversa vai ser sobre refinamento e escala.

Essa qualificação prévia tem valor para os dois lados. O cliente não perde tempo em uma reunião genérica. Nós não chegamos sem preparo. A conversa começa de onde deveria começar: no problema real, não na apresentação de portfólio.

O que me interessa como CEO não é só o resultado comercial disso, embora ele seja real e mensurável. O que me interessa é o que esse processo diz sobre como queremos ser percebidos. Uma empresa que chega com diagnóstico antes de pedir atenção está declarando algo sobre como trabalha. E esse sinal, dado de forma consistente, constrói reputação ao longo do tempo.

Se você é gestor de TI ou CEO de uma empresa com operação digital relevante, vale a pergunta: quando foi a última vez que alguém olhou o seu próprio domínio com esse nível de atenção? Se a resposta for “não sei” ou “faz tempo”, esse é um ponto de partida concreto.

Perguntas frequentes

O que é possível descobrir sobre um domínio usando apenas informação pública?

Usando consultas DNS públicas, é possível identificar onde o e-mail corporativo está hospedado, se há registros SPF, DKIM e DMARC configurados e em que política, se existem subdomínios abandonados e se a estrutura geral do domínio indica gestão ativa ou configuração estática. Nenhum desses dados exige acesso à infraestrutura da empresa.

O que é DMARC e por que a política importa mais do que a existência do registro?

DMARC (Domain-based Message Authentication Reporting and Conformance) é um protocolo que instrui servidores de e-mail sobre o que fazer quando uma mensagem falha nas verificações de autenticação. Ter o registro criado não basta: uma política em modo “none” não bloqueia nada e serve apenas para monitoramento. Proteção real exige política em modo “quarantine” ou “reject”, que efetivamente impede spoofing do domínio.

Como o diagnóstico público de domínio muda a abordagem comercial da UNODATA?

Em vez de iniciar a conversa com apresentação de produto, chegamos com uma leitura concreta do ambiente público do cliente. Isso transforma a reunião: o gestor recebe informação útil sobre o próprio cenário dele antes de qualquer proposta, o que reduz o tempo de qualificação e aumenta a relevância da conversa desde o primeiro contato.

Qualquer empresa pode fazer esse tipo de análise no próprio domínio?

Sim. As ferramentas de consulta DNS são públicas e gratuitas. O que exige especialização não é o acesso aos dados, mas a interpretação deles: saber o que cada registro significa, o que a ausência indica e qual é o risco operacional associado a cada configuração. É essa camada de interpretação que o AHSU 360 estrutura de forma sistemática.