Se a entregabilidade tem uma base, ela está aqui. SPF, DKIM e DMARC são três registros publicados no domínio de envio e, juntos, respondem à pergunta feita por todo servidor destinatário: esta mensagem veio realmente de quem afirma ter enviado? Configure-os corretamente para construir confiança com provedores como Gmail e Outlook. Ignore-os ou configure-os mal, e até mensagens legítimas serão tratadas com desconfiança.
O assunto parece intimidador por causa das siglas e do jargão de DNS, mas não precisa ser. Cada registro cumpre uma função. Este guia explica os três em linguagem simples e mostra como trabalham juntos, para que você os configure com segurança antes de aumentar envios reais.
Por que a autenticação existe
O e-mail foi criado em uma época de maior confiança, quando qualquer pessoa podia alegar ser outra. Essa abertura facilitou spam e phishing. A autenticação foi adicionada para corrigir o problema. Os três registros permitem ao destinatário verificar, de maneiras diferentes, se uma mensagem veio do domínio exibido no remetente e não foi falsificada ou alterada. Os provedores usam muito essas verificações ao decidir entre caixa de entrada e spam; elas são requisitos básicos.
SPF: quem tem permissão para enviar
SPF, ou Sender Policy Framework, é uma lista. Você publica no domínio um registro que identifica quais servidores podem enviar e-mail em seu nome. Ao receber uma mensagem do seu domínio, o servidor verifica se a origem está na lista aprovada. Se estiver, a mensagem passa no SPF. Caso contrário, surge um sinal de alerta.
Pense em uma lista de convidados na entrada. Se o remetente não estiver nela, o servidor tem motivo para desconfiar. Um erro comum é esquecer um serviço que você realmente usa, fazendo seu próprio e-mail legítimo falhar. Se envia por uma plataforma de marketing ou prospecção, os servidores dela precisam constar no SPF.
DKIM: prova de que a mensagem não foi alterada
DKIM, ou DomainKeys Identified Mail, adiciona uma assinatura criptográfica a cada mensagem. Seu domínio mantém uma chave privada e publica a chave pública correspondente no DNS. Ao receber a mensagem, o servidor usa a chave pública para verificar a assinatura. Se ela for válida, fica comprovado que a mensagem veio do domínio e não foi alterada no caminho.
Se SPF é uma lista de convidados, DKIM é um lacre que revela alterações. Ele é mais difícil de falsificar e não costuma quebrar quando a mensagem é encaminhada, como pode ocorrer com SPF. A maioria dos provedores e serviços de envio gera as chaves e informa exatamente o registro a publicar, tornando a configuração uma simples inclusão no DNS.
| Registro | O que verifica | Analogia |
|---|---|---|
| SPF | O servidor de envio está autorizado? | Lista de convidados na entrada |
| DKIM | A mensagem foi falsificada ou alterada? | Lacre que evidencia alterações |
| DMARC | O que fazer se a verificação falhar e como relatar | As regras da casa e o livro de registros |
DMARC: a política que une tudo
SPF e DKIM fazem verificações, mas sozinhos não dizem ao servidor o que fazer quando elas falham nem avisam quando alguém falsifica seu domínio. DMARC preenche essas lacunas. Ele permite publicar uma política que determina como tratar uma mensagem que alega vir do domínio e falha: permitir, colocar em quarentena ou rejeitar.
DMARC também fornece relatórios. Depois de configurado, você recebe dados sobre quem envia usando seu domínio, inclusive possíveis imitadores. Essa visibilidade revela problemas de configuração no seu próprio e-mail e tentativas de abuso da marca. Muitos remetentes começam apenas monitorando, analisam os relatórios, corrigem problemas e tornam a política mais rígida até chegar à rejeição.
Comece o DMARC com cuidado
Não comece diretamente com uma política de rejeição. Use primeiro o modo de monitoramento para analisar relatórios e detectar mensagens legítimas que seriam bloqueadas. Torne a política mais rígida aos poucos quando os dados estiverem limpos.
Como os três trabalham juntos
Veja o fluxo completo. A mensagem sai do serviço de envio. O servidor destinatário consulta o SPF para saber se o serviço está autorizado, verifica o DKIM para confirmar a assinatura e a integridade e então consulta a política DMARC para decidir o que fazer e registrar um relatório. Quando os três estão alinhados, a mensagem apresenta sinais fortes de legitimidade e tem mais chance de chegar à caixa de entrada.
Por isso autenticação e saúde da conta andam juntas. Mesmo uma mensagem perfeitamente autenticada pode ser filtrada se a conta se comportar mal; o aquecimento e a prevenção de comportamentos que bloqueiam contas continuam necessários. A autenticação abre a porta, e o bom comportamento mantém a confiança.
Lista de configuração
- 1Publique um SPF que inclua todos os serviços que enviam em seu nome
- 2Ative DKIM no provedor ou serviço e publique a chave pública
- 3Adicione DMARC no modo de monitoramento para começar a coletar relatórios
- 4Revise os relatórios e corrija e-mails legítimos que falham
- 5Mova gradualmente a política DMARC do monitoramento para quarentena e depois rejeição
- 6Verifique novamente os registros sempre que adicionar uma ferramenta de envio
Domínios próprios, não caixas gratuitas
SPF, DKIM e DMARC se aplicam a domínios que você controla. Se envia de um domínio próprio para prospecção, configure os três antes de aumentar o volume. Provedores gratuitos cuidam da própria autenticação; ao usar seu domínio, os registros passam a ser sua responsabilidade.