Suporte

SPF DKIM e DMARC configurados para entregar e-mails

Nada mais frustrante do que enviar uma proposta, boleto ou notificação de pedido e descobrir depois que ficou preso na caixa de spam.

Hoje, os provedores (Gmail, Outlook, servidores corporativos) só confiam de verdade em e-mails que vêm autenticados. E é aqui que entram SPF, DKIM e DMARC: três peças que, juntas, dizem para o mundo:

“Este e-mail saiu mesmo deste domínio, sem fraude, e está autorizado.”

Quando SPF, DKIM e DMARC estão configurados corretamente no DNS, as chances de:

cair no spam diminuem,
a reputação do domínio melhora,
e-mails de site, loja virtual e campanhas chegam com muito mais consistência.

Este guia explica, de forma prática, o que é cada um, onde configurar, exemplos de registros e como validar tudo.

Por que tantos e-mails caem no spam

Antes de falar dos nomes estranhos, vale entender a lógica: os provedores vivem tentando descobrir se uma mensagem é:

legítima,

tentativa de golpe, spam ou falsificação (por exemplo, alguém fingindo ser @suaempresa.com.br).

Eles analisam vários pontos:

histórico do domínio (reputação);
comportamento de quem recebe (abre, apaga, denuncia como spam);
conteúdo e links;
se o e-mail é autenticado (aqui entram SPF, DKIM e DMARC).

Sem autenticação, o provedor pensa algo do tipo: “Qualquer um pode estar enviando essa mensagem em nome desse domínio.”

E, para se proteger, tende a mandar para spam ou mostrar alertas.

O que são SPF, DKIM e DMARC

Vamos direto ao ponto:

SPF → diz quais servidores podem enviar e-mail em nome do seu domínio.
DKIM → coloca uma assinatura digital em cada e-mail, para provar que o conteúdo não foi alterado.
DMARC → define a regra do jogo: o que o provedor deve fazer se SPF e/ou DKIM falharem, e para onde mandar relatórios.

Pensando em uma analogia:

SPF = lista oficial de carteiros autorizados.
DKIM = lacre de segurança no envelope.
DMARC = instrução na portaria: “se o carteiro não estiver na lista ou o lacre estiver rompido, faça isso”.

Vamos olhar cada um separadamente.

SPF – definindo quem pode enviar e-mails pelo seu domínio

SPF vem de Sender Policy Framework. Na prática, é um registro no DNS que diz:

“Estes são os servidores autorizados a enviar e-mail usando @seudominio.com.br.”

O que o SPF resolve

Sem SPF, fica fácil para alguém:

criar um servidor qualquer,
fingir ser contato@seudominio.com.br,
e mandar phishing ou golpe.

Com SPF configurado, o provedor consegue checar:

“Esse IP ou serviço está na lista de autorizados para esse domínio?”

Se não estiver, a mensagem pode ser marcada como suspeita.

Como o SPF é configurado (visão geral)

SPF é um registro TXT no DNS do domínio, algo na linha de:

v=spf1 include:provedor-email.com include:smtp.seusite.com.br ~all

Traduzindo:

v=spf1 → versão do SPF.
include:… → serviços autorizados (por exemplo, ferramenta de disparo, e-mail transacional, etc.).
~all → o que fazer com o resto (quem não estiver na lista). ~ é “softfail”, -all é “falha mais rígida”.

A ideia é: listar todos os serviços que enviam e-mail pelo seu domínio:

e-mail corporativo (Google Workspace, Microsoft 365, etc.);
servidor da hospedagem (caso ele envie e-mail);
serviços de automação (Mailchimp, RD, etc., se usarem o seu domínio como remetente);
servidor que manda e-mails do seu site ou loja virtual.

DKIM – a assinatura digital dos e-mails

DKIM vem de DomainKeys Identified Mail. Ele coloca uma assinatura digital invisível no cabeçalho do e-mail.

Como funciona na prática

Quando o e-mail é enviado:

o servidor de envio “assina” a mensagem com uma chave privada (guardada no servidor);
o provedor que recebe a mensagem usa uma chave pública (que você publica no DNS) para verificar se a assinatura é válida.

Se a assinatura confere:

o provedor sabe que o e-mail realmente foi enviado por um servidor autorizado;
e que o conteúdo não foi alterado no caminho.

Se não confere, o e-mail fica suspeito.

Onde o DKIM é configurado

Normalmente:

Você acessa o painel do serviço de e-mail (por exemplo, Google Workspace, Microsoft 365 ou outro provedor).
Na parte de DKIM, esse serviço gera:
• uma chave pública;
• instruções de como criar o registro no DNS (nome e valor do TXT).
Você vai até o DNS do domínio (painel da hospedagem ou do registrador);
Cria o registro TXT do DKIM com os dados fornecidos.

Depois que o DNS propaga, o provedor passa a validar a assinatura.

DMARC – a política que amarra tudo

DMARC vem de Domain-based Message Authentication, Reporting and Conformance.
Ele depende de SPF e DKIM e serve para duas coisas:

dizer o que o provedor deve fazer se SPF/DKIM falharem;
mandar relatórios para você, mostrando quem está tentando enviar e-mail em nome do domínio.

O que o DMARC controla

O registro DMARC também é um TXT no DNS e envolve:

política (policy):
• p=none → apenas monitorar (não manda nada para spam por causa do DMARC);
• p=quarantine → sugerir que mensagens suspeitas sejam colocadas em spam;
• p=reject → dizer para rejeitar mensagens que falharem.
alinhamento com SPF/DKIM: o DMARC verifica se o domínio do remetente bate com o domínio usado em SPF/DKIM.
relatórios: você pode informar um e-mail para receber relatórios automáticos de quem está enviando em nome do seu domínio.

Um exemplo simples de registro DMARC:

v=DMARC1; p=none; rua=mailto:dmarc-relatorios@seudominio.com.br; pct=100

Isso significa:

monitore, mas não aplique punição ainda (p=none);
envie relatórios para dmarc-relatorios@seudominio.com.br;
aplique a política para 100% das mensagens (pct = percentual).

Onde SPF, DKIM e DMARC são configurados: o DNS do domínio

Os três ficam no mesmo lugar: DNS do domínio.

O que é o DNS, em termos simples

DNS é como uma “agenda” que diz:

onde está o site;
onde está o e-mail;
quais são os servidores autorizados;
quais chaves públicas usar para conferir assinaturas.

Você acessa o DNS geralmente em:

painel da hospedagem;
painel do registrador de domínio (onde o domínio foi registrado);
ou em um serviço de DNS externo (Cloudflare, por exemplo).

Dentro do DNS, você cria e edita registros. SPF, DKIM e DMARC moram como registros TXT.

Como configurar SPF na prática (visão passo a passo)

1. Levantar quem envia e-mail pelo seu domínio

Antes de qualquer coisa, faça uma lista:

e-mail corporativo (ex.: Google Workspace, Microsoft 365 ou servidor próprio);
servidor da hospedagem (se ele manda e-mails de @seudominio.com.br);
site WordPress (se usa SMTP próprio ou serviço de e-mail transacional);
ferramentas de envio de marketing ou automação que usam seu domínio como remetente.

Todo mundo que manda e-mail com seu domínio no remetente precisa estar contemplado no SPF.

2. Montar ou ajustar o registro SPF

No DNS, o registro SPF costuma ser:

nome/host: @ ou vazio (depende da interface);
tipo: TXT;
valor: algo como:
v=spf1 include:spf.provedor1.com include:spf.provedor2.com.br ~all

Cuidados importantes:

apenas um registro SPF por domínio. Se tiver mais de um, junte tudo em um só;
evitar ultrapassar o limite de consultas DNS do SPF (ex.: muitos include:);
preferir ~all (softfail) ou -all (mais rígido), conforme maturidade da configuração.

Como configurar DKIM (passo a passo)

1. Ativar DKIM no provedor de e-mail

Em cada serviço é um nome diferente, mas a lógica é parecida:

entrar nas configurações avançadas;
encontrar a parte de DKIM, autenticação, assinatura de e-mail ou similar;
clicar em algo como “gerar chave DKIM”.

O serviço então:

gera a chave pública;
informa como deve ser criado o registro TXT.

2. Criar o registro DKIM no DNS

O provedor vai informar:

um “nome” para o registro (algo como selector._domainkey.seudominio.com.br);
o valor (a chave pública, começando geralmente com v=DKIM1; k=rsa; p=…).

No DNS:

criar registro TXT com o nome e valor exatos que foram informados;
aguardar a propagação (até algumas horas, dependendo do DNS).

Depois, é comum o próprio painel do provedor mostrar se o DKIM foi detectado e está válido.

Como configurar DMARC com segurança

DMARC depende de SPF e DKIM estarem razoavelmente OK. Então ele vem depois.

1. Começar em modo de monitoramento

Primeiro passo para DMARC é não sair bloqueando nada ainda. Um registro inicial pode ser:

Nome/Host: _dmarc
Tipo: TXT
Valor: v=DMARC1; p=none; rua=mailto:dmarc@seudominio.com.br; pct=100

Isso diz:

apenas monitore;
mande relatórios para dmarc@seudominio.com.br;
analise 100% do tráfego de e-mail.

Assim você consegue enxergar:

se está tudo alinhado com SPF e DKIM;
se existem tentativas de falsificação usando seu domínio.

2. Evoluir a política com o tempo

Depois de um período analisando os relatórios (ou acompanhando via ferramentas especializadas), é possível endurecer:

trocar p=none por p=quarantine (recomenda mandar suspeitos para spam);
depois, se tudo estiver bem, p=reject (rejeitar o que não passar na autenticação).

Sempre com calma, em etapas, para não jogar e-mails legítimos para fora por engano.

Como validar SPF, DKIM e DMARC na prática

Depois de configurar, é hora de testar.

1. Usar ferramentas de verificação

Existem diversas ferramentas online que:

leem os registros DNS do domínio;
dizem se o SPF está válido;
conferem se o DKIM é encontrado;
mostram se o DMARC está configurado direito.

Basta informar o domínio e o tipo de teste (SPF, DKIM, DMARC).

2. Enviar e-mail de teste para caixas diferentes

Você pode mandar um e-mail a partir do domínio para:

um Gmail;
um Outlook.com ou Hotmail;
uma caixa corporativa, se tiver.

Depois, abrir a mensagem e olhar os detalhes avançados (cabeçalho). Muitos provedores mostram algo como:

“SPF: PASS”;
“DKIM: PASS”;
“DMARC: PASS”.

Se um deles falhar, já é uma pista de onde ajustar.

Erros comuns em SPF, DKIM e DMARC (e como evitar)

Mais de um registro SPF

Ter dois ou mais registros SPF para o mesmo domínio é erro clássico.

solução: juntar o conteúdo em um único registro, com todos os include: e IPs necessários.

Esquecer algum serviço de envio

Às vezes, a empresa:

configura SPF, DKIM e DMARC para o e-mail corporativo;
mas esquece o serviço de disparo de e-mail marketing;
ou o servidor que envia os e-mails do site/loja.

Resultado: parte das mensagens passa, parte cai em spam. É importante mapear tudo o que envia em nome do domínio.

DMARC agressivo cedo demais

Ativar p=reject sem:

SPF bem feito;
DKIM funcionando;
e testes anteriores.

Pode gerar:

e-mails legítimos sendo rejeitados;
problemas em integrações automáticas.

Melhor ir devagar: primeiro none, depois quarantine, só por último reject.

SPF, DKIM e DMARC em cenários com site, loja e disparo de e-mails

Na prática, muita empresa usa o domínio em vários pontos ao mesmo tempo, por exemplo:

site WordPress em uma hospedagem;
loja virtual em WooCommerce;
ferramenta de e-mail marketing;
sistema de notas fiscais que dispara e-mail;
e-mail corporativo em outro provedor.

Tudo isso pode mandar mensagem como @suaempresa.com.br.

Por isso o cuidado com spf dkim dmarc não é só “coisa de servidor de e-mail”. É diretamente ligado a:

confirmações de pedido;
recuperação de senha;
e-mails transacionais do WordPress;
mensagens do formulário de contato e orçamento.

Se a autenticação estiver mal feita, esses e-mails essenciais podem sumir no spam.

Como isso conversa com um site WordPress bem configurado

Em um site WordPress ou loja em WooCommerce, o ideal é:

usar um serviço de envio autenticado (SMTP, serviço transacional) em vez do mail() simples da hospedagem;
alinhar esse serviço com o registro SPF;
ativar e configurar DKIM do provedor de e-mail;
fechar o ciclo com um DMARC bem ajustado.

A Tatitas Websites trabalha com WordPress, WooCommerce, plugins e integrações personalizadas, inclusive conectando:

site e loja virtual;
provedores de e-mail;
meios de pagamento como Mercado Pago;

De forma que o fluxo de e-mails (pedidos, boletos, notificações) não dependa de sorte para chegar na caixa de entrada.

Com SPF DKIM DMARC configurados de forma consistente, o domínio ganha reputação, os provedores confiam mais nas mensagens e a empresa para de “rezar” para o e-mail chegar e passa a trabalhar com base em autenticação bem feita.

Vamos juntos dar vida ao seu sonho?

Perguntar não custa nada. 😃

Chama a gente no WhatsApp!

QUERO UM ORÇAMENTO