SPF, DKIM e DMARC sem complicação: o guia passo a passo

Se você envia e-mail em nome da sua empresa, já deve ter ouvido falar de SPF, DKIM e DMARC, geralmente acompanhados de uma tela cheia de códigos. A boa notícia: a ideia por trás dos três é simples, e entender o básico evita a maior parte dos problemas de e-mail no spam.

Pense num envelope. O SPF diz quais correios podem entregar cartas com o seu endereço de remetente. O DKIM é um lacre que prova que a carta saiu de você e não foi aberta no caminho. E o DMARC é a instrução que você deixa na portaria: "se chegar uma carta em meu nome sem lacre e fora dos correios autorizados, faça isto com ela".

Por que isso virou obrigatório

Golpes que usam o nome de empresas conhecidas são um dos principais caminhos de fraude por e-mail. Para combater isso, os grandes provedores apertaram as regras: desde fevereiro de 2024, Gmail e Yahoo exigem que quem envia em volume tenha SPF, DKIM e DMARC, e a Microsoft passou a exigir o mesmo para o Outlook.com em 2025. Sem os registros, a mensagem tende a ir para o spam ou nem ser aceita.

Os três são registros de DNS: linhas de configuração publicadas no painel onde o seu domínio é administrado (Registro.br, Cloudflare, GoDaddy, Hostinger, Locaweb e outros). Não mexem no seu site nem na sua caixa de e-mail.

SPF: quem pode enviar em seu nome

O SPF é um registro do tipo TXT, publicado na raiz do domínio, com a lista dos servidores autorizados a enviar e-mails como @suaempresa.com.br. Um exemplo:

v=spf1 include:_spf.google.com include:spf.exemplo.com ~all

Cada include autoriza um serviço (o seu e-mail corporativo, a ferramenta de campanhas, o sistema de notas fiscais). O final ~all diz aos provedores para desconfiar de qualquer outro servidor.

Erros mais comuns:

• Dois registros SPF no mesmo domínio. Só pode existir um. Se houver dois, os provedores consideram o SPF inválido. Junte os include num registro só.
• Passar de 10 consultas. Cada include conta, e os includes dentro deles também. Acima de 10, o SPF falha. Remova serviços que você não usa mais.
• Esquecer um serviço legítimo, como o sistema que envia boletos, que passa a cair no spam.

DKIM: a assinatura digital

O DKIM assina cada e-mail com uma chave secreta guardada pelo serviço que envia. A chave pública fica no seu DNS, num nome como seletor._domainkey.suaempresa.com.br. O provedor que recebe confere a assinatura com essa chave: se bater, sabe que a mensagem saiu de um serviço autorizado e não foi alterada no caminho.

Na prática, quem configura o DKIM é o serviço de envio: ele mostra o registro (um TXT com a chave, ou um CNAME que aponta para ela) e você publica no DNS. A vantagem do CNAME é que o serviço pode trocar a chave periodicamente sem você precisar mexer em nada.

Cuidado: cada serviço que envia em nome do seu domínio precisa da própria assinatura DKIM, com o próprio seletor. Eles convivem sem problema.

DMARC: a regra da casa

O DMARC é um TXT publicado em _dmarc.suaempresa.com.br. Ele faz duas coisas. Primeiro, exige alinhamento: o domínio que aparece no campo "De" precisa ser o mesmo que passou no SPF ou que assinou o DKIM. Segundo, diz o que fazer com quem falha, e para onde mandar os relatórios. Um começo seguro:

v=DMARC1; p=none; rua=mailto:dmarc@suaempresa.com.br

A política p tem três níveis:

• p=none: só observa e envia relatórios. É por onde todo mundo deve começar.
• p=quarantine: e-mails que falham vão para o spam.
• p=reject: e-mails que falham são recusados. É a proteção máxima contra quem tenta se passar pela sua empresa.

Os relatórios (endereço em rua) chegam uma vez por dia de Google, Microsoft, Yahoo e outros, e mostram todos os servidores que enviaram em nome do seu domínio, legítimos ou não. São eles que permitem endurecer a política com segurança.

O passo a passo

1. Liste quem envia em nome do domínio: e-mail corporativo, ferramenta de campanhas, ERP, loja virtual, sistema de notas, formulários do site.
2. Publique um único SPF com os serviços da lista.
3. Ative o DKIM em cada serviço e publique os registros que eles mostrarem.
4. Publique o DMARC com p=none e um endereço para os relatórios.
5. Acompanhe os relatórios por algumas semanas e corrija o que aparecer reprovado.
6. Endureça a política aos poucos: quarantine e, quando tudo estiver aprovado, reject.

Depois de publicar, o DNS pode levar de alguns minutos a algumas horas para atualizar. E vale conferir de novo sempre que trocar de provedor de DNS: é um dos momentos em que registros mais se perdem.

Como o Hermod cuida disso

Ao cadastrar o seu domínio no Hermod, você vê exatamente os registros que precisa publicar, com o passo a passo do painel do seu provedor de DNS, e pode enviar tudo direto para quem cuida do seu site. A assinatura DKIM usa um CNAME, então a chave é renovada pelo Hermod. O DMARC é exigido, o SPF é conferido, e os relatórios dos provedores aparecem traduzidos na tela de saúde do domínio. O Hermod também confere o DNS todos os dias e avisa se algum registro sumir. Veja como funciona em Verificar o domínio da sua empresa e Saúde do domínio, e, se o seu problema é e-mail no spam, leia também as 12 causas mais comuns.