SPF, DKIM e DMARC explicados de forma simples (e como verificar os seus em cinco minutos)

Três siglas aparecem sempre que se fala de entregabilidade: SPF, DKIM, DMARC. Muitas vezes são configuradas uma única vez, copiando linhas encontradas na central de ajuda do provedor de hospedagem, e depois esquecidas. Até o dia em que os e-mails começam a cair no spam e ninguém mais lembra bem o que foi configurado.

Esses três mecanismos respondem, no entanto, a uma pergunta simples que todo servidor que recebe o seu e-mail faz: "esta mensagem vem mesmo de quem diz ser?" Sem uma resposta clara, a mensagem é tratada como suspeita.

Por que isso se tornou obrigatório

Durante muito tempo, esses registros eram fortemente recomendados. Agora, são exigidos. Em fevereiro de 2024, o Gmail e o Yahoo passaram a exigir dos remetentes que enviam muitos e-mails a adoção de SPF e DKIM válidos, uma política DMARC publicada, um link de descadastro em um clique e uma taxa baixa de reclamações. A Microsoft anunciou exigências semelhantes para o Outlook.com, aplicadas a partir de maio de 2025.

Os limites oficiais são voltados aos grandes remetentes, mas, na prática, um domínio sem autenticação correta tem as suas mensagens filtradas muito antes de atingir esses volumes. Para a prospecção, os três registros devem ser tratados como o mínimo.

SPF: a lista dos servidores autorizados

O SPF (Sender Policy Framework) é uma linha publicada nos DNS do seu domínio. Ela diz: "os e-mails deste domínio só podem partir destes servidores". Quando um servidor recebe uma mensagem assinada com o seu domínio, ele verifica se o servidor de envio está na lista.

Um registro SPF se parece com isto:

v=spf1 include:_spf.mail.hostinger.com ~all

Leia da esquerda para a direita: a versão, depois os servidores autorizados (aqui, os do provedor de hospedagem) e, por fim, o que fazer com os demais. O "~all" final pede que os outros servidores sejam tratados com desconfiança, sem rejeitá-los, o que é uma escolha prudente.

Os erros mais comuns:

• dois registros SPF no mesmo domínio: isso não é permitido, e o resultado fica inválido. É preciso juntar os dois em uma única linha;
• um serviço esquecido: você também envia notas fiscais a partir de um software de terceiros, mas ele não está na lista;
• "include" demais: o SPF limita a dez o número de consultas DNS. Acima disso, o registro falha.

DKIM: a assinatura da mensagem

O DKIM (DomainKeys Identified Mail) adiciona a cada e-mail uma assinatura criptografada. O servidor de envio assina com uma chave privada, e a chave pública correspondente é publicada nos seus DNS. O destinatário verifica a assinatura: se ela for válida, ele sabe que a mensagem vem mesmo do seu domínio e que não foi alterada no caminho.

A chave pública fica em um endereço DNS específico, montado com um "seletor" escolhido pelo seu provedor de hospedagem, por exemplo:

hostingermail1._domainkey.votredomaine.fr

É aí que se escondem a maioria dos problemas de DKIM: uma chave copiada de forma incompleta (elas são longas), um seletor diferente do que o servidor realmente usa ou uma chave nunca publicada porque o provedor esperava uma ativação manual. A única verificação confiável é enviar um e-mail de verdade e olhar o cabeçalho dele na chegada.

DMARC: a instrução em caso de falha

O DMARC (Domain-based Message Authentication, Reporting and Conformance) conecta os dois anteriores. Ele pergunta ao servidor que recebe: "se uma mensagem diz vir do meu domínio mas falha no SPF e no DKIM, eis o que você deve fazer com ela". Ele também permite receber relatórios sobre as mensagens enviadas em seu nome.

Um registro DMARC inicial se parece com isto:

v=DMARC1; p=none; rua=mailto:dmarc@votredomaine.fr

"p=none" significa: não bloquear nada, mas enviar relatórios. É a política mínima exigida pelo Gmail e pelo Yahoo, e um bom ponto de partida. Quando você tiver certeza de que todos os seus envios legítimos passam pela autenticação, pode passar para "p=quarantine" (colocar na pasta de spam as mensagens não autenticadas) e, eventualmente, para "p=reject".

Um detalhe sutil: o DMARC exige que o domínio autenticado pelo SPF ou pelo DKIM seja o mesmo que aparece no endereço de envio. É o que se chama de alinhamento. Um e-mail enviado por paul@votredomaine.fr mas assinado via DKIM pelo domínio técnico do seu provedor de hospedagem pode passar no DKIM e, ainda assim, falhar no DMARC.

Verifique os seus registros em cinco minutos

Você não precisa ser administrador de sistemas. Três verificações bastam:

1. Consulte os registros TXT do seu domínio com uma ferramenta de consulta DNS on-line. Você deve encontrar uma única linha que comece com "v=spf1" e uma linha "v=DMARC1" no endereço _dmarc.votredomaine.fr.
2. Envie um e-mail da caixa em questão para um endereço pessoal do Gmail, abra-o e exiba a mensagem original. O Gmail mostra claramente "SPF: PASS", "DKIM: PASS" e "DMARC: PASS", com o domínio usado em cada um.
3. Confira se o domínio indicado para o DKIM é mesmo o seu, e não o do provedor de hospedagem.

No SmartOutbound, essa verificação é feita automaticamente: cada domínio é verificado todos os dias, um e-mail de teste enviado na conexão de uma caixa confirma a assinatura DKIM realmente constatada na chegada, e o botão "Verificar os DNS" da página das caixas executa a verificação novamente sob demanda. Se faltar o DMARC e o seu domínio estiver na Hostinger, a ferramenta pode até adicioná-lo para você.

E o resto?

Esses três registros não garantem que os seus e-mails vão chegar à caixa de entrada. Garantem apenas que não serão rejeitados por um motivo técnico evitável. O resto depende da reputação do seu domínio, da qualidade das suas listas e do conteúdo das suas mensagens. Para domínios novos, também é preciso contar com o tempo de aquecimento. E se você estiver em dúvida sobre prospectar a partir do seu domínio principal, o nosso artigo sobre domínio dedicado vai ajudar você a decidir.