Em fevereiro de 2024, Google e Yahoo tornaram a autenticação de e-mail obrigatória para remetentes em massa. Se você envia mais de 5,000 e-mails por dia, você deve ter SPF, DKIM e DMARC configurados — caso contrário, seus e-mails serão rejeitados ou cairão na caixa de spam.
Mesmo que você envie menos e-mails, esses três protocolos são essenciais para a entregabilidade. Eles comprovam aos provedores de caixa de entrada que seus e-mails realmente vêm de você e não foram adulterados durante o trajeto.
Neste guia, explico o que cada protocolo faz, como eles funcionam em conjunto e como configurá-los corretamente, mesmo que você não seja um especialista técnico.
Os Três Pilares da Autenticação de E-mail
Pense na autenticação de e-mail como a segurança de um aeroporto:
| Protocolo | O Que Faz | Analogia do Dia a Dia |
|---|---|---|
| SPF | Autoriza quais servidores podem enviar e-mails em nome do seu domínio | Seu passaporte — comprova que você é quem diz ser |
| DKIM | Assina criptograficamente seus e-mails para impedir adulterações | O selo de segurança na sua bagagem — comprova que ninguém a abriu |
| DMARC | Informa aos destinatários o que fazer caso o SPF ou o DKIM falhem | A política de segurança — "se o passaporte ou o selo estiverem violados, recuse a entrada" |
Os três funcionam em conjunto. O SPF sem o DMARC é como ter um passaporte, mas nenhum agente de imigração para conferi-lo. O DKIM sem o DMARC é um selo que ninguém olha.
SPF: Sender Policy Framework
O Que o SPF Faz
O SPF é um registro TXT de DNS que lista os endereços IP e servidores autorizados a enviar e-mails em nome do seu domínio. Quando um servidor de e-mail destinatário recebe uma mensagem de you@yourdomain.com, it checks your domain's SPF record to confirm the sending server is authorized.
Como Configurar o SPF
Adicione um registro TXT nas configurações de DNS do seu domínio:
Type: TXT
Host/Name: @ (or yourdomain.com)
Value: v=spf1 include:_spf.google.com include:sendgrid.net ~all
Detalhamento da sintaxe:
| $1.200–$3.600 | Significado |
|---|---|
v=spf1 |
Este é um registo SPF v1 |
include:_spf.google.com |
Autorizar os servidores de correio da Google (para Gmail/Google Workspace) |
include:sendgrid.net |
Autorizar os servidores da SendGrid |
-all |
Hard fail — rejeitar tudo o resto |
~all |
Soft fail — aceitar, mas marcar como suspeito |
+all |
Permitir tudo — nunca utilize isto |
Erros comuns de SPF a evitar
- Vários registos SPF: só pode existir UM registo SPF por domínio. Se tiver dois, ambos ficam inválidos.
- Demasiadas consultas DNS: o SPF tem um limite de 10 consultas DNS por verificação. Utilize ferramentas como
spf-record.comto validate. - Utilizar
+all: isto autoriza qualquer pessoa a enviar em nome do seu domínio — o oposto do que pretende. - Esquecer-se de incluir remetentes de terceiros: o seu ESP, CRM, helpdesk e qualquer outra ferramenta que envie e-mails a partir do seu domínio.
DKIM: DomainKeys Identified Mail
O que faz o DKIM
O DKIM adiciona uma assinatura digital a cada e-mail enviado. O servidor recetor utiliza a sua chave pública (publicada no DNS) para verificar que o e-mail não foi alterado durante o envio e que provém efetivamente do seu domínio.
Como configurar o DKIM
A maioria dos fornecedores de e-mail gera as chaves DKIM por si. Eis o processo típico:
- Gerar chaves no painel de controlo do seu fornecedor de e-mail (Google Workspace, Brevo, SendGrid, etc.)
- Adicione o registo DNS que eles fornecem:
Tipo: TXT
Host/Nome: google._domainkey.yourdomain.com (varia por provedor)
Valor: v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQ...
- Ativar a assinatura DKIM nas definições do seu fornecedor
- Verificar com uma ferramenta de verificação DKIM
Seletores DKIM
O "seletor" (google, s1, smtp, etc.) is an identifier that tells the receiving server which DKIM key to use. Your ESP provides the selector — it's part of the DNS hostname:
<selector>._domainkey.yourdomain.com
Você pode ter vários seletores DKIM para diferentes serviços (por exemplo, google._domainkey for Google Workspace, s1._domainkey for your ESP).
Boas Práticas de DKIM
- Use uma chave de 2048 bits como mínimo. Chaves de 1024 bits já não são consideradas seguras.
- Renove as chaves periodicamente (a cada 6–12 meses)
- Certifique-se de que o seu ESP está realmente a assinar e-mails com DKIM antes de adicionar o registo DNS
DMARC: Domain-based Message Authentication, Reporting & Conformance
O Que o DMARC Faz
O DMARC é a camada de políticas que une o SPF e o DKIM. Ele indica aos servidores receptores:
- O que verificar (SPF, DKIM ou ambos)
- O que fazer se a verificação falhar (nada, colocar em quarentena ou rejeitar)
- Para onde enviar relatórios sobre os resultados de autenticação
Como Configurar o DMARC
Adicione um registo TXT ao seu domínio:
Tipo: TXT
Host/Nome: _dmarc.yourdomain.com
Valor: v=DMARC1; p=quarantine; rua=mailto:dmarc-reports@yourdomain.com; ruf=mailto:dmarc-forensics@yourdomain.com; pct=100
Niveles de política (p=):
| Política | Significado | Quando Usar |
|---|---|---|
p=none |
Apenas monitorizar — não bloquear nada | Configuração inicial, fase de testes |
p=quarantine |
Enviar e-mails suspeitos para o spam | Após 1–2 semanas de monitorização |
p=reject |
Bloquear todo o e-mail não autenticado | Depois de verificar que nenhum e-mail legítimo está a ser bloqueado |
Caminho recomendado de implementação:
- Comece com
p=noneandrua(aggregate reports) for 1–2 weeks - Analise os relatórios DMARC para identificar remetentes não autorizados
- Passe para
p=quarantinefor another 1–2 weeks - Passe para
p=rejectonce you're confident all legitimate senders pass
Como os Três Funcionam em Conjunto
Quando envia um e-mail, eis o que acontece no servidor de destino:
1. SPF Verificar: "O endereço IP do servidor remetente está no registo SPF?"
→ PASS ou FAIL
2. DKIM Verificar: "A assinatura DKIM corresponde à chave pública no DNS?"
→ PASS ou FAIL
3. DMARC Verificar: "O que devo fazer com base nos resultados SPF/DKIM?"
→ NENHUMA: Entregar normalmente
→ QUARENTENA: Enviar à spam pasta de spam
→ REJEITAR: Bloquear completamente (rejeição)
Para que o DMARC seja aprovado, pelo menos UM entre SPF ou DKIM deve passar E estar alinhado com o domínio de envio. Isso significa:
- Se o SPF passar mas o DKIM falhar → o DMARC pode ser aprovado
- Se o DKIM passar mas o SPF falhar → o DMARC pode ser aprovado
- Se ambos falharem → o DMARC falha
Testando a Sua Configuração de Autenticação
Use estas ferramentas gratuitas para verificar a sua configuração:
- Google Admin Toolbox CheckMX: Acesse
https://toolbox.googleapps.com/apps/checkmx/and enter your domain - MXToolbox: Verifique SPF, DKIM e DMARC individualmente em
https://mxtoolbox.com/ - DMARC Analyzer da Dmarcian: Carregue os relatórios DMARC para uma análise detalhada
- Enviar um e-mail de teste para
check-auth@verifier.port25.com— it replies with a detailed SPF/DKIM/DMARC report
Erros Comuns que Quebram a Autenticação
1. Esquecer de Atualizar o SPF ao Trocar de ESPs
Ao migrar do Mailchimp para o Brevo (ou qualquer outro ESP), atualize seu registro SPF para incluir o novo provedor E mantenha o antigo durante a transição.
2. Chave DKIM Muito Curta
Chaves DKIM de 1024 bits estão obsoletas. Google e Microsoft podem rejeitá-las. Use sempre no mínimo 2048 bits.
3. DMARC rua Email Doesn't Exist
O rua address receives aggregate XML reports. If this mailbox doesn't exist or is full, you lose visibility into authentication failures.
4. Erro Permanente de SPF (Muitas Consultas)
Cada include:, a, mx, and ptr mechanism counts as a DNS lookup. The limit is 10. If you exceed it, SPF fails with a PermError — which means it's treated as if it doesn't exist.
Solução: Use um serviço hospedado de achatamento de SPF ou consolide seus includes.
Pontos-chave
- SPF + DKIM + DMARC são obrigatórios para remetentes em massa (exigência do Google e Yahoo desde fevereiro de 2024)
- Comece com
p=none, monitore por 2 semanas e depois passe parap=quarantinethenp=reject - Verifique sua configuração usando o Google CheckMX, o MXToolbox ou o endereço de teste do Port25
- Apenas um registro SPF — vários registros invalidam ambos
- Chaves DKIM de 2048 bits ou superior
- Verifique sua lista de e-mails com um verificador para garantir que você não esteja enviando para endereços inválidos — a autenticação é apenas metade da equação; a qualidade da lista é a outra metade
