SPF, DKIM e DMARC são mecanismos que ajudam servidores de e-mail a verificar se uma mensagem realmente pode ser enviada em nome do seu domínio. Configurá-los corretamente reduz o risco de falsificação e pode ajudar a evitar rejeições, mas não garante que toda mensagem chegará à caixa de entrada. Reputação do remetente, conteúdo, volume, consentimento e regras de cada provedor também influenciam a entrega.
Antes de alterar DNS, liste todos os serviços que enviam e-mail usando o domínio: caixas profissionais, sistema de cobrança, formulários do site, plataforma de newsletter e CRM. Uma mudança incompleta pode fazer mensagens legítimas falharem. Confirme as instruções com cada fornecedor e mantenha acesso à conta que administra os registros DNS.
O que cada mecanismo verifica
SPF é uma política publicada no DNS que indica quais servidores podem enviar mensagens para um domínio. O servidor receptor compara a origem da mensagem com as fontes autorizadas. Se o domínio envia e-mail por vários serviços, todos precisam ser considerados na política. Criar mais de um registro SPF para o mesmo domínio pode provocar falha de validação, então consolide as instruções seguindo a documentação dos provedores envolvidos.
DKIM acrescenta uma assinatura digital à mensagem. O servidor que recebe pode consultar uma chave pública publicada no DNS e conferir se a assinatura corresponde ao domínio que assinou. O provedor de e-mail normalmente fornece os valores dos registros e o seletor que precisam ser publicados. A forma de ativação varia por serviço e por domínio.
DMARC conecta essas verificações ao domínio visível no campo “De” da mensagem e informa como tratar mensagens que não passam na política. Também pode indicar um endereço para receber relatórios. O guia da Microsoft sobre DMARC explica que o alinhamento entre os domínios faz parte da verificação. Uma mensagem pode passar por SPF ou DKIM e ainda falhar em DMARC se o domínio autenticado não corresponder conforme as regras.
Os três trabalham em conjunto, mas não são um filtro completo de spam. Eles não comprovam que o conteúdo é desejado, que a lista de contatos foi obtida corretamente ou que o remetente tem boa reputação. A orientação do Gmail para remetentes descreve requisitos de autenticação e recomenda configurar SPF, DKIM e DMARC para os domínios usados no envio.
Como preparar a configuração
- Identifique todos os sistemas autorizados a enviar mensagens pelo domínio.
- Abra a documentação de cada provedor e anote os registros exigidos.
- Confirme qual serviço administra o DNS e quem pode editar a zona.
- Guarde uma cópia dos registros atuais antes da mudança.
- Publique os valores exatamente como fornecidos e aguarde a atualização do DNS.
- Verifique autenticação em mensagens de teste e analise relatórios.
Não copie um registro de exemplo sem adaptá-lo ao seu domínio e aos seus remetentes. Os campos variam: alguns serviços pedem registros TXT, outros podem apresentar uma chave DKIM em TXT ou CNAME. O nome do registro e o conteúdo precisam ser inseridos no painel correto. Se o painel acrescentar o domínio automaticamente, duplicá-lo no campo pode criar um endereço diferente do pretendido.
Também evite apagar um registro que parece antigo sem descobrir se ainda é usado por algum aplicativo. Pergunte aos fornecedores e faça um envio de teste por cada sistema. Se a empresa usa um serviço para marketing e outro para mensagens transacionais, ambos devem estar previstos na configuração.
Publique DMARC gradualmente
Uma política restritiva pode afetar envios legítimos que não estejam alinhados. Por isso, antes de pedir que mensagens falhas sejam colocadas em quarentena ou rejeitadas, confira se todos os remetentes estão identificados e assinando como esperado. A política inicial de monitoramento pode ajudar a reunir dados sem bloquear imediatamente mensagens suspeitas. Depois de analisar os relatórios e corrigir as fontes legítimas, a empresa pode avaliar políticas mais rigorosas.
Os relatórios agregados são técnicos e podem conter referências a endereços IP, volumes e resultados. Use-os para identificar sistemas desconhecidos ou configurações incompletas, mas não trate cada mensagem reprovada como prova de ataque. Encaminhamento automático, listas de distribuição e plataformas que reescrevem mensagens podem afetar os resultados. Peça ajuda ao provedor de e-mail ou a um profissional de DNS quando não souber interpretar os dados.
Como testar sem interromper a empresa
Faça testes enviando mensagens para contas de provedores diferentes e confira os cabeçalhos recebidos para saber se SPF, DKIM e DMARC passaram. Use também os relatórios do serviço remetente ou ferramentas de diagnóstico indicadas pelo próprio provedor. Um teste de um único endereço não garante que todos os destinatários e caminhos de envio estejam corretos.
Depois de publicar um registro, confirme se ele aparece no DNS com o nome e o conteúdo esperados. Se mensagens começarem a falhar, compare a alteração com a cópia anterior e identifique qual serviço foi afetado antes de editar novamente. Mantenha registro de quem alterou o DNS, quando e por qual motivo.
Problemas comuns
- Criar dois registros SPF em vez de reunir as fontes autorizadas em um só.
- Publicar o valor DKIM no nome de host errado ou com seletor diferente.
- Ativar uma política DMARC de rejeição antes de identificar todos os remetentes.
- Esquecer sistemas de formulários, automação, faturamento ou envio de notas.
- Acreditar que autenticação, sozinha, garante entrada na caixa principal.
Perguntas frequentes
SPF, DKIM e DMARC garantem que o e-mail não cairá no spam?
Não. A autenticação ajuda a verificar o domínio remetente, mas a entrega também depende da reputação, das reclamações, do conteúdo, do volume e das políticas do destinatário.
Preciso configurar os três registros?
As exigências variam entre provedores e tipo de envio. O Gmail informa requisitos mínimos e recomendações para remetentes. Confira as regras atuais dos serviços que recebem e enviam suas mensagens.
Posso copiar um registro SPF de outro domínio?
Não sem adaptar. Ele deve refletir exatamente os serviços autorizados a enviar pelo seu domínio. Uma política genérica pode autorizar fontes indevidas ou deixar de fora sistemas legítimos.
Quem deve alterar o DNS?
Uma pessoa com acesso autorizado ao painel do domínio ou do DNS, seguindo os valores fornecidos pelos serviços de e-mail. Se a equipe não souber validar a mudança, envolva o suporte técnico antes de publicar uma política restritiva.
