Autenticação de email: o que é e como funcionam o SPF, o DKIM e o DMARC
SPF, DKIM e DMARC: as três verificações que decidem se o seu email chega
A autenticação de email é o conjunto de verificações que permite ao servidor que recebe um email confirmar que ele foi enviado por quem diz enviá-lo e que ninguém o alterou no caminho. Ela é feita com três registros que você publica no DNS do seu domínio: SPF, DKIM e DMARC.
O protocolo que transporta os emails, o SMTP, não verifica sozinho quem é o remetente. Por isso, sem autenticação, qualquer pessoa poderia enviar emails em nome do seu domínio, e os provedores de email desconfiariam dos seus envios.
Por que é importante autenticar o seu email?
- Protege o seu domínio. Dificulta o spoofing e o phishing que usam o seu nome para enganar os seus clientes.
- Melhora a entregabilidade. O Gmail, o Outlook e o Yahoo analisam a autenticação antes de decidir se um email vai para a caixa de entrada ou para o spam.
- Já é um requisito. Desde fevereiro de 2024, o Gmail e o Yahoo exigem SPF ou DKIM de todos os remetentes. Quem envia mais de 5.000 emails por dia para os seus usuários também precisa de SPF, DKIM e DMARC, do domínio alinhado, do descadastro com um clique e de uma taxa de spam baixa. A Microsoft aplica requisitos parecidos no Outlook.com e no Hotmail desde maio de 2025.
SPF, DKIM e DMARC: o que cada um verifica
| Registro | O que verifica | Tipo de registro DNS |
|---|---|---|
| SPF | Que o servidor que envia está autorizado pelo seu domínio | TXT |
| DKIM | Que o email tem a sua assinatura e não foi modificado | TXT ou CNAME com a chave pública |
| DMARC | Que o SPF ou o DKIM passam e coincidem com o seu domínio, e o que fazer se não passarem | TXT em _dmarc |
SPF (Sender Policy Framework)
É um registro no DNS do seu domínio com a lista de servidores e IPs autorizados a enviar em nome dele. O servidor que recebe o email verifica se o IP de saída está nessa lista. Você encontra a explicação detalhada no verbete SPF.
DKIM (DomainKeys Identified Mail)
Assina cada email com uma chave privada. O servidor de destino lê a chave pública no DNS do seu domínio e verifica a assinatura: se ela coincidir, sabe que o email saiu do seu domínio e que ninguém o alterou. Mais detalhes em DKIM.
DMARC (Domain-based Message Authentication, Reporting and Conformance)
Verifica se o email passa no SPF ou no DKIM e se o domínio que o valida coincide com o que o destinatário vê no campo “De”. Além disso, indica ao servidor de destino o que fazer com os que falham: nada (p=none), enviá-los para o spam (p=quarantine) ou rejeitá-los (p=reject). E envia para você relatórios com o que encontrou.
O DMARC nasceu em 2012 a partir de um grupo de empresas, entre elas PayPal, Google, Microsoft e Yahoo. Ele ajuda a frear o spoofing, que falsifica o campo “De” de uma mensagem. Mais detalhes em DMARC.
Como funciona a autenticação de um email
- Você envia o email e ele sai pelo servidor de email do seu provedor ou da sua plataforma de envio.
- O servidor o assina com DKIM e o entrega ao servidor do destinatário via SMTP.
- O servidor de destino consulta o DNS do seu domínio: verifica o SPF, valida a assinatura DKIM e aplica a sua política DMARC.
- Depois, analisa a reputação do remetente e do IP, o conteúdo e os seus filtros antispam.
- Se tudo estiver certo, o email chega à caixa de entrada. Se falhar, pode ir para o spam ou ser rejeitado.
Envie com o seu domínio autenticado
Configure o SPF, o DKIM e o DMARC no seu domínio de envio e ganhe a confiança dos provedores de email.
Como verificar se um email está autenticado
- No Gmail: abra o email, clique nos três pontos e escolha “Mostrar original”. No topo, você verá o SPF, o DKIM e o DMARC com o resultado: PASS se estiver tudo certo.
- No Outlook: abra as propriedades ou a origem da mensagem e procure o cabeçalho “Authentication-Results”, com spf=pass, dkim=pass e dmarc=pass.
- Antes de uma campanha: envie um email de teste para você mesmo e confira esses resultados. Se algum falhar, revise o registro no DNS do seu domínio.
Erros comuns ao autenticar o email
- Ter dois registros SPF no mesmo domínio. Só pode haver um: se você usa vários serviços, eles são reunidos no mesmo registro.
- Esquecer alguma ferramenta. Se você envia pelo seu email, pela sua loja virtual e pela sua plataforma de email marketing, as três precisam estar autorizadas.
- Configurar o SPF e esquecer o DKIM. Com encaminhamentos, o SPF pode falhar; a assinatura DKIM continua válida.
- Ficar em p=none para sempre ou pular direto para p=reject. O prudente é começar com “none”, ler os relatórios e endurecer a política aos poucos.
- Não verificar depois. Uma mudança de provedor ou de DNS pode quebrar a autenticação sem que você perceba.
Como o Mailrelay ajuda você
No Mailrelay, você autentica o seu domínio com quatro registros no DNS: SPF, domínio personalizado, DKIM e DMARC. Você encontra os valores exatos e o passo a passo no tutorial Como configurar SPF, DKIM, DMARC e domínio personalizado no Mailrelay.
Com o domínio autenticado, as suas campanhas saem com o seu próprio domínio. Todas as inscrições passam por double opt-in, os descadastros são gerenciados automaticamente e os endereços com hard bounce não recebem novos envios: assim, você também cuida da sua reputação como remetente.
Chegue à caixa de entrada, não ao spam
O Mailrelay trabalha com double opt-in e orienta você na autenticação do seu domínio.
Perguntas frequentes sobre a autenticação de email
É obrigatório autenticar o email?
Não há uma lei que exija isso, mas o Gmail, o Yahoo e a Microsoft pedem a autenticação para entregar os seus emails normalmente, sobretudo se você envia muito. Sem autenticação, o normal é acabar no spam.
Preciso de SPF, DKIM e DMARC ao mesmo tempo?
É o recomendado. Se você envia mais de 5.000 emails por dia para o Gmail, o Yahoo ou o Outlook, os três são obrigatórios.
Quanto tempo as alterações no DNS levam para entrar em vigor?
Normalmente algumas horas, embora a propagação possa levar até 48 horas.
É o mesmo que a verificação em duas etapas ou um app de autenticação?
Não. A verificação em duas etapas protege o acesso à sua conta de email com um código de uso único (explicamos isso em OTP). A autenticação de email comprova que os emails que você envia saem de fato do seu domínio.
Como sei se alguém está se passando pelo meu domínio?
Com os relatórios do DMARC: você os recebe com os servidores que enviam em nome do seu domínio, tanto os autorizados quanto os não autorizados.