O que é e como configurar o SPF, DKIM e DMARC do seu domínio

Visão geral

A autenticação de e-mails por meio dos protocolos SPF, DKIM e DMARC é uma camada indispensável de segurança para validar a identidade do remetente e proteger o domínio corporativo contra fraudes digitais. Essa estrutura garante que os disparos efetuados cheguem diretamente à caixa de entrada dos destinatários, evitando bloqueios ou classificações indevidas como spam.

Quando usar este artigo

Utilize este artigo para compreender a função dos protocolos de autenticação de e-mail, resolver problemas de entregabilidade e orientar a inclusão adequada das entradas de DNS junto ao seu provedor de hospedagem ou aos serviços de envio.

Sintoma ou cenário

Mensagens enviadas pelo sistema sendo direcionadas para a caixa de SPAM ou lixo eletrônico dos destinatários.
Devolução de e-mails (bounces) ou rejeição de mensagens por provedores como Gmail, Outlook e Yahoo.
Alertas de falha de autenticação ao enviar faturas, notificações e cobranças por e-mail.
Necessidade de proteger o domínio da empresa contra a prática de envio de e-mails falsos (spoofing e phishing).

Benefício para o usuário ou operação

Aumento expressivo na taxa de entrega de faturas e notificações diretamente na caixa de entrada dos clientes;
Proteção ativa da reputação do domínio contra falsificação de identidade em disparos não autorizados;
Garantia da integridade do conteúdo das mensagens, impedindo alterações no trajeto entre o envio e o recebimento;
Acesso a relatórios de conformidade para monitorar tentativas de uso indevido do domínio da empresa.

Onde acessar / contexto de uso

A gestão dessas configurações é realizada no painel de gerenciamento de DNS do provedor de hospedagem do seu domínio (como Registro.br, Cloudflare, GoDaddy) e nos provedores de disparo de e-mail integrados à operação (como SendGrid, Mandrill ou Google Workspace).

Pré-requisitos (Antes de começar)

Perfil Exato: Acesso Administrativo (1000) ou Configurações - Alteração (1061) no sistema, além de acesso com permissão de administrador no painel do provedor de hospedagem do domínio (DNS).
Recursos Sistêmicos: Painel de controle de DNS do domínio da empresa e conta de acesso às plataformas de envio de e-mail.
Insumos e Dados Técnicos: Domínio principal registrado, relação dos servidores autorizados a disparar e-mails pela empresa e chaves TXT/DKIM fornecidas pelos serviços de envio.

Causas prováveis

Inexistência de registro SPF publicado no DNS do domínio autorizando os servidores de disparo.
Ausência das chaves pública e privada de assinatura digital DKIM geradas no provedor de envio e cadastradas no DNS.
Falta de publicação de uma política DMARC declarada para orientar os servidores de destino sobre como proceder em caso de falha de validação.

Como fazer ou corrigir

Cada domínio deve possuir apenas um registro TXT do tipo SPF concentrando todas as fontes de envio autorizadas; registrar mais de um registro SPF causa erro de validação no servidor de destino.

Liste todos os provedores e servidores externos autorizados a disparar e-mails em nome do seu domínio.
Acesse a zona de gerenciamento de DNS do seu provedor de domínio.
Configure o registro SPF:
- Crie uma entrada do tipo TXT no nome de host principal (@).
- Insira o valor autorizando todos os servidores na mesma linha (exemplo: v=spf1 include:sendgrid.net include:spf.mandrillapp.com ~all).
Configure o registro DKIM:
- Acesse o provedor de disparo (SendGrid, Mandrill ou Google Workspace) e gere a chave pública e o seletor DKIM.
- Crie o registro do tipo TXT ou CNAME na zona de DNS utilizando os dados exatos gerados pela ferramenta de envio.
Configure o registro DMARC:
- Crie um registro do tipo TXT no DNS com o nome de host _dmarc.
- Insira o valor correspondente à política de tratamento desejada (exemplo para quarentena: v=DMARC1; p=quarantine; ou para rejeição: v=DMARC1; p=reject;).
Salve as alterações na zona de DNS e aguarde a propagação das informações na rede.

Resultado esperado

Domínio com a autenticação completa e ativa nos três protocolos, garantindo a entrega legítima de e-mails na caixa de entrada dos destinatários e a recusa autônoma de disparos não autorizados por parte dos servidores de destino.

Quando escalar

Escale o atendimento para a equipe técnica de TI ou especialista de infraestrutura do cliente caso todas as entradas (SPF, DKIM e DMARC) estejam devidamente publicadas e validadas na zona de DNS, mas as mensagens continuem apresentando erros de autenticação ou sendo rejeitadas após 48 horas da configuração.

Informações que devem ser reunidas antes do escalonamento

Nome da licença,
Nome do domínio afetado
Nome do provedor de envio utilizado (ex.: SendGrid, Mandrill, Google Workspace)
Captura de tela das entradas TXT configuradas no painel de gerenciamento de DNS
Cabeçalho completo (header) do e-mail recusado ou classificado como spam

Regras importantes / Observações

Nunca crie mais de um registro TXT do tipo SPF no mesmo domínio; todas as permissões de envio devem ser agrupadas no mesmo registro v=spf1.
A alteração ou inclusão de registros DNS possui um tempo de propagação global que pode levar entre 2 e 48 horas.
O DMARC depende da correta ativação prévia do SPF e do DKIM para operar de forma adequada sem bloquear mensagens legítimas.

Problemas comuns e como resolver

Problema: Erro de validação PermError na checagem do SPF.
- Causa provável: Presença de dois ou mais registros SPF criados individualmente na zona de DNS.
- Ação recomendada: Unifique todos os includes e IPs em uma única entrada TXT iniciada por v=spf1 e remova as entradas sobressalentes.
Problema: Assinatura digital DKIM apontada como inválida no cabeçalho das mensagens.
- Causa provável: Divergência na chave pública ou no nome do seletor cadastrado no DNS.
- Ação recomendada: Copie novamente o nome do host e o valor da chave TXT/CNAME exatamente como gerados na plataforma de envio e recadastre no DNS.

Dúvidas relacionadas

P: O que acontece se eu configurar apenas o SPF sem ativar o DKIM? R: A mensagem receberá apenas a verificação básica do servidor remetente, mantendo-se vulnerável a alterações de conteúdo em trânsito e sujeita a pontuações mais altas nos filtros de spam de grandes provedores.

P: Qual é a diferença prática entre as políticas quarantine e reject no DMARC? R: A política quarantine encaminha as mensagens que falham na autenticação diretamente para a pasta de spam do destinatário, enquanto a política reject recusa e bloqueia a entrega da mensagem integralmente no servidor de destino.

P: Quanto tempo demora para que os registros cadastrados no DNS passem a funcionar? R: O tempo necessário depende do TTL (Time To Live) configurado no seu provedor de DNS, podendo variar de algumas horas até o limite de 48 horas para a propagação global completa.

Palavras-chave de busca

spf, dkim, dmarc, autenticacao de e-mail, entregabilidade de e-mail, e-mail no spam, validacao de dominio, chave dkim, registro txt dns, reputacao de dominio