Configurar SPF, DKIM e DMARC no seu domínio ajuda os servidores de destino a verificar se as mensagens enviadas em nome da sua empresa são legítimas. Estes três mecanismos trabalham em conjunto, mas cada um verifica algo diferente. Uma configuração incorreta pode fazer com que mensagens válidas sejam marcadas como spam ou rejeitadas.
Neste guia, explicamos como publicar os registos DNS, confirmar que estão visíveis e avançar para uma política DMARC mais rigorosa sem bloquear acidentalmente o correio legítimo. Os exemplos usam example.com e são ilustrativos: substitua-os pelos valores indicados pelo seu fornecedor de email.
O que são SPF, DKIM e DMARC?
SPF: autoriza os servidores que enviam email
O SPF (Sender Policy Framework) é um registo DNS que identifica os servidores autorizados a enviar mensagens usando o domínio. O servidor recetor compara essa lista com o servidor que lhe entregou a mensagem. O SPF verifica o domínio do envelope de envio, que nem sempre é o mesmo que aparece no campo «De» da mensagem.
O SPF não assina a mensagem nem, por si só, confirma que o domínio visível ao destinatário está autorizado. A regra SPF tem de incluir todos os serviços que enviam email em nome do domínio: serviço de email, plataforma de newsletters, sistema de faturação, formulários do website e outras aplicações.
DKIM: acrescenta uma assinatura digital
O DKIM (DomainKeys Identified Mail) acrescenta uma assinatura digital aos cabeçalhos da mensagem. O servidor recetor consulta no DNS a chave pública correspondente e verifica a assinatura. A chave privada fica no serviço que envia o email; só a chave pública é publicada no DNS.
A assinatura pode continuar válida mesmo que a mensagem seja reencaminhada, desde que o conteúdo assinado não seja alterado de forma incompatível. O DKIM não encripta o email: autentica a assinatura e associa-a a um domínio.
DMARC: verifica o alinhamento e indica como tratar falhas
O DMARC (Domain-based Message Authentication, Reporting and Conformance) usa os resultados de SPF e DKIM e compara os respetivos domínios com o domínio visível no campo «De». Para passar DMARC, pelo menos um dos mecanismos — SPF ou DKIM — tem de passar e estar alinhado com esse domínio. «Alinhado» significa que os domínios correspondem segundo a política de alinhamento publicada.
O registo DMARC também publica uma política para mensagens que falham essa verificação e pode pedir relatórios agregados. Uma política p=none serve para monitorizar sem pedir ao destinatário que altere o tratamento das mensagens; p=quarantine pede que as trate como suspeitas; p=reject pede que as rejeite.
Antes de configurar os registos DNS
- Identifique todos os sistemas que enviam email pelo domínio. Inclua o serviço de correio, formulários, plataformas de marketing, software de faturação, CRM e aplicações.
- Consulte os valores fornecidos por cada serviço. Os registos dependem do fornecedor e do domínio. Não copie registos SPF ou DKIM genéricos para a sua zona DNS.
- Confirme onde é gerido o DNS. As alterações devem ser feitas no fornecedor que aloja a zona DNS ativa do domínio, que pode ser diferente do registrar onde o domínio foi comprado.
- Guarde uma cópia dos registos atuais. Antes de editar, registe os valores existentes, sobretudo MX, SPF, DKIM e DMARC. Não altere os MX se pretende apenas configurar autenticação.
Se ainda está a escolher um domínio, pode pesquisar ou registar um domínio na KanumHost. Para criar caixas de correio no domínio da sua empresa, consulte o serviço de Email Profissional da KanumHost.
1. Como configurar o SPF
Na gestão DNS do domínio, crie ou edite um registo do tipo TXT no domínio raiz. Muitos painéis representam o domínio raiz como @; outros deixam o campo vazio ou pedem o nome completo do domínio.
- Tipo: TXT
- Nome/Host:
@(ou a forma equivalente indicada pelo painel) - Valor de exemplo:
v=spf1 include:_spf.google.com ~all
Este exemplo é apenas para um domínio que envia email exclusivamente através do Google Workspace. Se usar outro fornecedor, use o valor SPF oficial desse fornecedor. Se enviar através de vários serviços, combine as autorizações num único registo SPF, usando os mecanismos indicados por cada fornecedor.
Um domínio não deve publicar vários registos SPF. Se já existir um registo que comece por v=spf1, edite-o para incluir as novas fontes autorizadas, em vez de criar outro. A especificação SPF limita a dez as consultas DNS provocadas por mecanismos como include, a, mx, exists e redirect; ultrapassar esse limite pode resultar em permerror.
Durante a validação inicial, alguns administradores usam ~all (softfail). Depois de identificarem todas as fontes legítimas e confirmarem os resultados, podem escolher uma política final adequada, frequentemente -all (fail). Não adicione -all antes de confirmar que todos os sistemas legítimos estão autorizados.
2. Como configurar o DKIM
Ative o DKIM no painel do serviço de email. O fornecedor deverá gerar ou apresentar um selector (identificador da chave) e o registo DNS a publicar. Alguns serviços pedem um TXT; outros pedem um ou mais registos CNAME. Siga o tipo e os valores fornecidos pelo serviço.
Um exemplo meramente ilustrativo de um registo DKIM em TXT:
- Tipo: TXT
- Nome/Host:
selector1._domainkey - Valor:
v=DKIM1; k=rsa; p=CHAVE_PUBLICA_FORNECIDA_PELO_SERVICO
O nome completo do exemplo será selector1._domainkey.example.com. Substitua o selector e o valor pela chave pública exata gerada para o seu domínio. A chave pode ser longa; não a reescreva, não a encurte e nunca publique a chave privada. Se o fornecedor indicar um CNAME, não crie um TXT no mesmo nome.
Depois de publicar o registo e de o DNS o disponibilizar, regresse ao painel do fornecedor e ative ou valide a assinatura DKIM, se essa etapa for necessária. Envie uma mensagem de teste e confirme que a assinatura DKIM passa no servidor de destino.
3. Como configurar o DMARC
Antes de aplicar uma política que possa afetar a entrega, confirme que SPF e DKIM estão a funcionar e que todos os serviços legítimos foram identificados. Crie um registo TXT com a política de monitorização:
- Tipo: TXT
- Nome/Host:
_dmarc - Valor de exemplo:
v=DMARC1; p=none; rua=mailto:[email protected]
Substitua example.com pelo seu domínio e use uma caixa de correio real, monitorizada e preparada para receber relatórios agregados. Esses relatórios costumam chegar em formato XML, por vezes comprimido; pode ser mais prático encaminhá-los para uma ferramenta de análise DMARC. Se não pretender receber relatórios, retire o parâmetro rua.
Depois de acompanhar os relatórios e corrigir fontes legítimas que falhem ou não estejam alinhadas, avance gradualmente para p=quarantine e, quando tiver confiança na configuração, para p=reject. Uma política de rejeição publicada demasiado cedo pode impedir a entrega de mensagens legítimas enviadas por sistemas que ainda não foram configurados.
Como validar SPF, DKIM e DMARC
Consultar os registos DNS
Depois de guardar as alterações, aguarde a propagação DNS. O tempo depende do TTL e dos servidores DNS envolvidos. Pode consultar os valores com dig (macOS, Linux ou ferramentas equivalentes):
dig +short TXT example.com dig +short TXT selector1._domainkey.example.com dig +short TXT _dmarc.example.comNo Windows, pode usar:
nslookup -type=TXT example.com nslookup -type=TXT selector1._domainkey.example.com nslookup -type=TXT _dmarc.example.comConfirme que cada resposta contém o valor publicado. Se o painel dividir uma chave DKIM longa em várias cadeias de texto, os servidores DNS devem juntá-las sem acrescentar espaços ao valor da chave.
Enviar uma mensagem de teste
Envie uma mensagem para uma conta Gmail e abra «Mostrar original» nos detalhes da mensagem. Procure os resultados de autenticação:
- SPF: PASS indica que o servidor de envio foi autorizado pelo SPF do domínio verificado.
- DKIM: PASS indica que a assinatura foi validada com a chave publicada no selector consultado.
- DMARC: PASS indica que SPF ou DKIM passou e que pelo menos um resultado está alinhado com o domínio do campo «De».
Um resultado PASS é uma boa confirmação técnica, mas não garante que a mensagem chegue à caixa de entrada. A reputação do domínio e do IP, o conteúdo, o consentimento dos destinatários e outros sinais também influenciam a entrega.
Erros frequentes e como os resolver
Há mais do que um registo SPF
Problema: a consulta encontra dois ou mais TXT que começam por v=spf1. Solução: consolide os emissores num único registo SPF e remova duplicados depois de confirmar os valores necessários.
O SPF excede o limite de consultas DNS
Problema: muitos include, mx ou outros mecanismos de consulta produzem permerror. Solução: reveja os fornecedores ainda utilizados e peça ajuda ao administrador DNS ou aos fornecedores antes de recorrer a técnicas de redução de consultas que possam deixar de acompanhar alterações do serviço.
O nome do registo DKIM está errado
Problema: o selector indicado pelo fornecedor não corresponde ao nome publicado, ou o painel acrescentou o domínio duas vezes. Solução: confirme o nome completo esperado, por exemplo selector1._domainkey.example.com, e consulte-o diretamente no DNS.
O valor DKIM foi copiado incompleto ou para o tipo errado
Problema: a chave foi truncada, foram inseridas aspas ou espaços indevidos, ou foi criado TXT quando o fornecedor pediu CNAME. Solução: copie novamente o registo exato e siga o tipo indicado pelo serviço de email.
O DMARC tem vários registos ou um nome incorreto
Problema: existem vários registos DMARC no mesmo nome, ou o registo foi publicado no domínio raiz em vez de _dmarc. Solução: mantenha um único TXT em _dmarc.example.com e valide a resposta DNS.
O DMARC falha apesar de SPF ou DKIM passar
Problema: a autenticação passa para um domínio diferente do domínio visível no campo «De». Solução: confirme o alinhamento dos domínios de SPF e DKIM com o domínio do remetente e configure o fornecedor para assinar ou enviar com o domínio correto.
As alterações ainda não aparecem
Problema: um verificador continua a mostrar o valor antigo ou nenhum valor. Solução: aguarde a expiração do TTL, consulte o DNS autoritativo e confirme que editou a zona ativa do domínio, não apenas os registos guardados no painel do registrar.
Perguntas frequentes
Preciso de configurar SPF, DKIM e DMARC ao mesmo tempo?
É recomendável configurar os três. Comece por identificar todos os emissores, publique SPF e ative DKIM nos serviços utilizados; depois publique DMARC em monitorização e analise os resultados antes de aplicar uma política de rejeição.
Posso ter mais do que um registo SPF no domínio?
Não. Deve existir um único registo SPF para cada domínio de envio. Se vários serviços enviam mensagens, combine as autorizações num só registo e respeite o limite de consultas DNS do SPF.
O SPF, o DKIM e o DMARC garantem que o email chega à caixa de entrada?
Não. A autenticação ajuda o servidor recetor a confirmar a legitimidade do domínio, mas a entrega também depende da reputação, do conteúdo da mensagem, do comportamento dos destinatários e de outros controlos anti-spam.
O que significa começar com DMARC p=none?
Significa pedir relatórios de monitorização sem solicitar que os destinatários coloquem em quarentena ou rejeitem mensagens que falham DMARC. É uma forma de descobrir sistemas legítimos ainda não autenticados antes de endurecer a política.
Onde encontro o selector e a chave DKIM?
No painel do serviço que envia o correio. O fornecedor fornece o selector e o registo DNS correspondente; cada serviço pode usar nomes, chaves e tipos de registo diferentes.
Quanto tempo demora a propagação dos registos?
Depende do TTL configurado e das caches DNS. Aguarde o intervalo indicado pelo fornecedor DNS e consulte os registos em mais do que um resolvedor antes de concluir que a configuração falhou.
Resumo
Para configurar SPF, DKIM e DMARC, autorize cada sistema de envio num único registo SPF, publique a chave DKIM gerada pelo fornecedor e comece o DMARC com uma política de monitorização. Valide os registos no DNS e os resultados numa mensagem real. Só aplique quarantine ou reject depois de confirmar que os emissores legítimos estão autenticados e alinhados.
Se precisa de caixas de correio para o seu domínio, veja os planos de Email Profissional da KanumHost.