SPF, DKIM e DMARC explicados (sem o juridiquês técnico)
SPF, DKIM e DMARC são os três pilares da autenticação de e-mail. Juntos, eles permitem que um servidor de recebimento responda a uma única pergunta: 'Esta mensagem é mesmo de quem diz ser?'. Acerte-os e você protege tanto a sua entregabilidade quanto a sua marca contra falsificação. Veja cada um, sem o juridiquês técnico.
SPF: quem tem permissão para enviar
O Sender Policy Framework é um registro DNS que lista os servidores autorizados a enviar e-mails em nome do seu domínio. Quando uma mensagem chega, o receptor verifica se ela veio de um servidor aprovado. Se não veio, o SPF falha.
A principal pegadinha: o SPF é limitado a 10 consultas DNS. Muitas declarações 'include' (de vários serviços de envio) e o SPF quebra com um permerror — que muitos receptores tratam como uma falha.
DKIM: prova de que a mensagem não foi adulterada
O DomainKeys Identified Mail acrescenta uma assinatura criptográfica a cada mensagem, usando uma chave privada que só você possui. A chave pública correspondente fica no seu DNS. O receptor verifica a assinatura para confirmar duas coisas: que a mensagem veio genuinamente do seu domínio e que não foi alterada no caminho.
DMARC: a política que amarra tudo
SPF e DKIM provam algo cada um, mas, sozinhos, não dizem ao receptor o que fazer quando uma verificação falha. O DMARC diz. É uma política DNS que declara, na prática: 'Se uma mensagem que se diz do meu domínio falhar na autenticação, veja como lidar com ela — e me mande relatórios'.
- p=none — apenas monitora; coleta relatórios, sem tomar ação
- p=quarantine — envia as mensagens que falham para o spam
- p=reject — bloqueia de vez as mensagens que falham (o mais forte)
- rua — o endereço para onde os relatórios agregados são enviados
Como eles trabalham juntos
Pense numa corrente: SPF e DKIM fornecem cada um um sinal verificável, e o DMARC confere se pelo menos um deles passa e está alinhado com o domínio 'De' visível. Só então a mensagem conquista confiança total. Pule qualquer elo e os falsificadores conseguem passar.
Implantando o DMARC com segurança
Não pule direto para o p=reject — você corre o risco de bloquear suas próprias mensagens legítimas. Comece em p=none com um endereço para relatórios, use os relatórios para encontrar e autenticar cada serviço que envia em seu nome e, então, aperte para quarantine e, por fim, reject à medida que a sua confiança cresce.
Perguntas frequentes
Preciso dos três, ou um só basta?
Você precisa dos três. SPF e DKIM provam cada um uma coisa diferente, e o DMARC é o que transforma essas provas em uma política aplicável que impede a falsificação. Os provedores de e-mail modernos esperam, cada vez mais, o conjunto completo.
Configurar o DMARC vai bloquear meus e-mails legítimos?
Não, se você implantá-lo com cuidado. Comece em p=none para monitorar, use os relatórios para autenticar todos os remetentes legítimos e só então passe para quarantine e reject. Pular direto para o reject é o que causa problemas.
O que é um permerror de SPF?
Significa que o seu registro SPF disparou mais do que as 10 consultas DNS permitidas, então a avaliação falhou. Corrija removendo includes não usados ou achatando o registro. Um verificador vai mostrar a sua contagem atual de consultas.
Comece a enviar em minutos
Crie uma conta gratuita, conecte seu domínio e alcance seu público em todos os canais — sem cartão de crédito.
Plano gratuito para sempre · Sem cartão de crédito · Pronto em minutos