SPF, DKIM e DMARC: Guia Completo de Autenticação de E-mail

Os protocolos de autenticação de e-mail são a base técnica da entregabilidade. Eles provam aos servidores de recebimento que suas mensagens realmente vêm do seu domínio — e não de um fraudador se passando pela sua marca. Em 2024, Google e Yahoo tornaram SPF, DKIM e DMARC obrigatórios para remetentes com mais de 5.000 e-mails diários. Entender esses protocolos é, agora, indispensável.

SPF — Sender Policy Framework

O SPF define quais servidores de e-mail estão autorizados a enviar mensagens em nome do seu domínio. Funciona através de um registro TXT no DNS que lista os IPs e servidores aprovados.

Exemplo de registro SPF:

v=spf1 include:_spf.google.com include:sendgrid.net ~all

Isso diz aos servidores destinatários: "Apenas os servidores do Google e do SendGrid estão autorizados a enviar deste domínio. Todos os outros devem ser tratados com suspeita."

Erros comuns de SPF:

• Muitas consultas DNS (máximo 10 permitidas) — causa falha no SPF
• Esquecer de incluir seu ESP ou provedor de e-mail transacional
• Usar +all — invalida completamente o propósito do SPF

DKIM — DomainKeys Identified Mail

O DKIM adiciona uma assinatura digital a cada e-mail enviado. O servidor destinatário verifica essa assinatura com uma chave pública publicada no seu DNS. Se a assinatura bate, confirma-se que a mensagem não foi alterada em trânsito.

Pense no DKIM como um selo de cera em uma carta — prova tanto a origem quanto a integridade do conteúdo.

DMARC — Domain-based Message Authentication, Reporting & Conformance

O DMARC une SPF e DKIM e diz aos servidores destinatários o que fazer com mensagens que falham na autenticação. Também permite relatórios diários em XML mostrando quem está enviando e-mails em nome do seu domínio.

Exemplo de registro DMARC:

_dmarc.seudominio.com  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@seudominio.com; pct=100"

Políticas DMARC (p=):

• p=none — Apenas monitorar. Comece aqui.
• p=quarantine — Enviar mensagens que falham para o spam.
• p=reject — Bloquear totalmente mensagens que falham. Proteção máxima.

Ordem de Implementação

1. Configure o SPF — adicione seus ESPs e servidores ao registro TXT
2. Ative o DKIM — publique a chave que seu ESP fornece no DNS
3. Adicione o DMARC começando com p=none e um endereço rua para relatórios
4. Monitore os relatórios por 2–4 semanas para identificar todas as fontes legítimas de envio
5. Mova gradualmente para p=quarantine e depois p=reject

Resumo

SPF, DKIM e DMARC juntos protegem seu domínio contra spoofing, melhoram a entrega na caixa de entrada e são agora exigidos pelos principais provedores. Implemente os três — começando pelo modo de monitoramento — e use uma ferramenta de monitoramento DMARC para acompanhar os resultados.