Como configurar SPF, DKIM e DMARC no e-mail da empresa

Se suas propostas, faturas ou e-mails frios acabam no spam, verifique o DNS antes de reescrever um único assunto. Os provedores de e-mail decidem se confiam numa mensagem principalmente pela prova de que o seu domínio a enviou. Três registros fazem essa prova, e muitos domínios de empresas não têm pelo menos um deles.

Desde fevereiro de 2024, Gmail e Yahoo exigem SPF, DKIM e DMARC de quem envia mais de 5.000 mensagens por dia aos seus usuários, e pedem uma taxa de reclamações de spam abaixo de 0,3%. As caixas Outlook.com, Hotmail e Live da Microsoft adotaram regras semelhantes para envios de alto volume em maio de 2025. Você pode enviar bem menos de 5.000 por dia. Na prática as verificações ainda valem para você, porque remetentes pequenos sem autenticação são filtrados primeiro.

Isso leva cerca de uma hora. Você não precisa escrever código. Precisa de acesso ao lugar onde está o DNS do seu domínio e ao console de administração do seu provedor de e-mail.

Table of contents

Open Table of contents

• O que cada registro faz
• Passo 1: liste tudo o que envia com o seu domínio
• Passo 2: verifique o que você tem hoje
• Passo 3: publique um único registro SPF
• Passo 4: ative o DKIM para cada remetente
• Passo 5: adicione o DMARC com p=none e leia os relatórios
• Passo 6: passe para a aplicação
• Peça ao Claude ou ao ChatGPT para fazer isso
• Verifique e mantenha tudo saudável

O que cada registro faz

1. SPF é uma lista, publicada no DNS, dos serviços autorizados a enviar e-mail com o seu domínio. O servidor receptor compara o servidor remetente com essa lista.
2. DKIM é uma assinatura que o seu provedor anexa a cada mensagem. A chave pública correspondente fica no seu DNS, para que o receptor confirme que a mensagem não foi alterada e passou mesmo pelo seu provedor.
3. DMARC diz aos receptores o que fazer quando SPF e DKIM falham para o seu domínio e para onde enviar os relatórios. Também exige que o domínio autenticado corresponda ao endereço visível no campo De.

Sem DMARC, SPF e DKIM são apenas consultivos. Com ele, você recebe um relatório de quem envia e-mail em seu nome, incluindo o remetente que você esqueceu.

Passo 1: liste tudo o que envia com o seu domínio

É o passo que as pessoas pulam, e é por isso que depois quebram o próprio e-mail. Anote tudo o que envia a partir do seu domínio:

• Suas caixas de e-mail (Microsoft 365, Google Workspace ou o que a GoDaddy provisionou)
• Sua plataforma de e-mail marketing
• Seu CRM e sua ferramenta de faturamento
• Os formulários do site e o e-mail transacional do WordPress
• Seu helpdesk e qualquer ferramenta de agendamento

Se você usa uma caixa Microsoft 365 pela GoDaddy, meu guia sobre como funciona hoje o login no e-mail da GoDaddy explica por que a administração fica no portal da Microsoft. É lá que você ativará o DKIM.

Passo 2: verifique o que você tem hoje

Abra uma ferramenta gratuita como MXToolbox, o Check MX do Google Admin Toolbox ou o verificador de DMARC da dmarcian e digite o seu domínio. Anote três coisas:

• Existe exatamente um registro TXT começando com v=spf1? Dois é uma falha, não um backup.
• Seu provedor mostra o DKIM como ativo na assinatura?
• Existe um registro TXT em _dmarc.seudominio.com?

Melhor ainda: envie uma mensagem de teste do seu endereço da empresa para uma conta do Gmail, abra-a, escolha “Mostrar original” e leia as linhas de SPF, DKIM e DMARC no topo. Cada uma deve indicar PASS.

Passo 3: publique um único registro SPF

Adicione um único registro TXT na raiz do domínio. Ele lista cada remetente com um include: e termina com uma política.

Includes comuns:

• Microsoft 365: include:spf.protection.outlook.com
• Google Workspace: include:_spf.google.com
• Sua plataforma de e-mail marketing e seu CRM publicam, cada um, o próprio valor include na documentação. Copie de lá, e não de um artigo de blog, inclusive este.

Um resultado típico é v=spf1 include:spf.protection.outlook.com include:valor-do-seu-esp ~all.

Duas regras explicam a maioria das falhas de SPF. Primeiro, um registro por domínio: junte os novos remetentes à linha existente em vez de adicionar um segundo registro. Segundo, o SPF permite 10 consultas DNS no total, e cada include: conta, inclusive os aninhados. Passou de dez, os receptores tratam o SPF como erro permanente. Se estiver perto do limite, remova serviços que não usa mais antes de adicionar qualquer coisa.

Use ~all (soft fail) enquanto ainda descobre remetentes e considere -all quando os relatórios DMARC estiverem limpos.

Passo 4: ative o DKIM para cada remetente

O DKIM é configurado dentro de cada serviço de envio e depois publicado no DNS.

• Microsoft 365: no portal Microsoft Defender, abra as configurações de DKIM em autenticação de e-mail, escolha o domínio e ative a assinatura. Primeiro ele fornece dois registros CNAME (selector1._domainkey e selector2._domainkey) para adicionar ao DNS. A ativação falha até que eles se propaguem, o que pode levar algumas horas.
• Google Workspace: no console de administração, em autenticação do Gmail, gere uma chave para o domínio, publique o registro TXT exibido e clique em Iniciar autenticação.
• Todo o resto: sua plataforma de e-mail marketing, seu CRM e sua ferramenta de faturamento têm uma tela de “autenticação de domínio” ou “domínio de envio” que entrega os registros para colar no DNS.

Faça isso para cada remetente do seu inventário, não só para a caixa de e-mail. Uma plataforma de marketing que assina com o próprio domínio em vez do seu passa no DKIM e mesmo assim falha no alinhamento do DMARC.

Passo 5: adicione o DMARC com p=none e leia os relatórios

Crie um registro TXT chamado _dmarc com este valor:

v=DMARC1; p=none; rua=mailto:dmarc-reports@seudominio.com

p=none não muda nada na entrega. Ele inicia os relatórios. Relatórios DMARC brutos são arquivos XML que ninguém lê, então aponte o rua para um serviço de relatórios gratuito. Vários fornecedores de monitoramento de DMARC oferecem um plano gratuito que transforma o XML numa lista de origens de envio com contagens de sucesso e falha.

Deixe em p=none por duas a quatro semanas. Procure remetentes legítimos que falham, como uma ferramenta de faturamento antiga ou um plugin de formulário esquecido, e corrija cada um adicionando-o ao SPF ou ativando o DKIM dele.

Passo 6: passe para a aplicação

Quando todos os seus remetentes reais passarem:

1. Mude para p=quarantine; pct=25, para que um quarto das mensagens que falham vá para o spam. Observe por uma semana.
2. Suba o pct para 100.
3. Passe para p=reject.

Chegar ao reject impede que outros falsifiquem o seu domínio em e-mails de phishing para os seus clientes, o que protege o seu nome tanto quanto a sua taxa de entrega.

Peça ao Claude ou ao ChatGPT para fazer isso

Cole isto em qualquer um dos dois, com os seus dados. Poupa você de ler a ajuda de cada provedor.

Cuido do e-mail do domínio [seudominio.com]. Minhas caixas estão no [Microsoft 365 / Google Workspace]. Também envio e-mail a partir de [liste sua plataforma de marketing, CRM, ferramenta de faturamento, formulários do site]. Me dê: (1) o registro TXT SPF exato para publicar como uma única linha combinada, (2) os passos de configuração do DKIM na tela de administração de cada serviço, (3) um registro DMARC inicial com relatórios rua e (4) um plano para chegar a p=reject em quatro passos. Diga quais valores devo copiar da documentação de cada fornecedor em vez de confiar em você, e conte as consultas DNS do registro SPF.

Antes de publicar o que ele entregar, confira os valores de include: na página de ajuda atual de cada fornecedor. Os modelos inventam hosts include plausíveis, e um errado falha em silêncio.

Verifique e mantenha tudo saudável

Depois que o DNS se propagar, repita o teste “Mostrar original” do Gmail a partir de cada remetente, não só da sua caixa. Envie pelo CRM, pela ferramenta de faturamento e por um formulário do site. Cada mensagem deve mostrar PASS para SPF, DKIM e DMARC.

Em seguida, crie um lembrete recorrente na agenda para revisar os relatórios DMARC a cada trimestre. Sempre que adotar uma ferramenta nova que envie e-mail a clientes com o seu domínio, autentique-a no mesmo dia. Se você está montando uma lista ou enviando newsletters, como criar uma lista de e-mails cobre o lado do envio, e os melhores serviços de e-mail marketing para pequenas empresas lista plataformas que guiam você na autenticação do domínio durante a configuração.