{"id":28024,"date":"2026-11-13T20:48:24","date_gmt":"2026-11-13T23:48:24","guid":{"rendered":"https:\/\/w2websites.com\/blog\/?p=28024"},"modified":"2026-11-13T20:48:24","modified_gmt":"2026-11-13T23:48:24","slug":"spf-dkim-dmarc-o-que-sao-como-configurar","status":"publish","type":"post","link":"https:\/\/w2websites.com\/blog\/spf-dkim-dmarc-o-que-sao-como-configurar\/","title":{"rendered":"SPF, DKIM e DMARC: o que s\u00e3o e como configurar para o e-mail da empresa n\u00e3o cair no spam"},"content":{"rendered":"<p><strong>SPF, DKIM e DMARC s\u00e3o tr\u00eas registros no DNS do seu dom\u00ednio que provam que um e-mail com o endere\u00e7o da sua empresa foi mesmo enviado por voc\u00ea.<\/strong> O SPF diz quais servidores podem enviar em nome do dom\u00ednio, o DKIM coloca uma assinatura digital em cada mensagem e o DMARC diz ao Gmail, ao Outlook e aos outros provedores o que fazer quando uma mensagem n\u00e3o passa nessas verifica\u00e7\u00f5es.<\/p>\n<p>Sem esses registros, o e-mail da empresa fica parecido com uma mensagem falsificada. O resultado aparece no dia a dia: or\u00e7amento que o cliente diz n\u00e3o ter recebido, nota fiscal que cai no lixo eletr\u00f4nico, resposta que nunca chega. Na maior parte dos casos que atendemos, a causa \u00e9 um desses tr\u00eas registros faltando ou escrito errado.<\/p>\n<h2>Resumo: o que cada registro faz<\/h2>\n<table>\n<thead>\n<tr>\n<th>Registro<\/th>\n<th>Pergunta que responde<\/th>\n<th>Onde fica no DNS<\/th>\n<th>Exemplo<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td><strong>SPF<\/strong><\/td>\n<td>&#8220;Este servidor pode enviar e-mail por este dom\u00ednio?&#8221;<\/td>\n<td>TXT no pr\u00f3prio dom\u00ednio (<code>suaempresa.com.br<\/code>)<\/td>\n<td><code>v=spf1 ip4:203.0.113.10 include:_spf.google.com ~all<\/code><\/td>\n<\/tr>\n<tr>\n<td><strong>DKIM<\/strong><\/td>\n<td>&#8220;Esta mensagem foi assinada pelo dono do dom\u00ednio e chegou sem altera\u00e7\u00e3o?&#8221;<\/td>\n<td>TXT em <code>seletor._domainkey.suaempresa.com.br<\/code><\/td>\n<td><code>v=DKIM1; k=rsa; p=MIIBIjAN...<\/code><\/td>\n<\/tr>\n<tr>\n<td><strong>DMARC<\/strong><\/td>\n<td>&#8220;Se falhar, o que o provedor deve fazer, e para onde mando o relat\u00f3rio?&#8221;<\/td>\n<td>TXT em <code>_dmarc.suaempresa.com.br<\/code><\/td>\n<td><code>v=DMARC1; p=none; rua=mailto:dmarc@suaempresa.com.br<\/code><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Os tr\u00eas trabalham juntos. O SPF e o DKIM fazem a verifica\u00e7\u00e3o; o DMARC exige que pelo menos um deles passe <strong>com o mesmo dom\u00ednio que aparece no &#8220;De:&#8221;<\/strong> da mensagem (o chamado alinhamento) e define a pol\u00edtica para o que falhar.<\/p>\n<h2>Por que isso ficou mais importante desde 2024<\/h2>\n<p>O Gmail passou a exigir autentica\u00e7\u00e3o de quem envia e-mail para contas pessoais a partir de fevereiro de 2024, e apertou a fiscaliza\u00e7\u00e3o em novembro de 2025: mensagem fora das regras pode ser atrasada ou recusada. Quem envia grande volume (por volta de 5.000 mensagens por dia para o Gmail) precisa ter SPF, DKIM e DMARC. A Microsoft adotou regra parecida para o Outlook.com e o Hotmail em maio de 2025.<\/p>\n<p>Uma empresa pequena raramente chega a esse volume, mas o efeito aparece mesmo assim. Os filtros anti-spam d\u00e3o pontos negativos para mensagem sem assinatura ou com SPF falhando. Junte isso a um assunto em caixa alta ou a um anexo de nota fiscal e a mensagem leg\u00edtima vai para o spam.<\/p>\n<h2>SPF: a lista de quem pode enviar pelo seu dom\u00ednio<\/h2>\n<p>O SPF \u00e9 um registro TXT que come\u00e7a com <code>v=spf1<\/code> e lista os servidores autorizados. Cada servi\u00e7o que envia e-mail com o seu dom\u00ednio precisa estar ali: o servidor de e-mail da hospedagem, o Google Workspace ou o Microsoft 365, a ferramenta de e-mail marketing, o sistema que emite nota fiscal.<\/p>\n<pre><code>v=spf1 ip4:203.0.113.10 include:_spf.google.com include:spf.protection.outlook.com ~all<\/code><\/pre>\n<ul>\n<li><code>ip4:<\/code> autoriza um endere\u00e7o IP espec\u00edfico (o do servidor de e-mail).<\/li>\n<li><code>include:<\/code> autoriza todos os servidores de um servi\u00e7o (Google, Microsoft, plataforma de e-mail marketing).<\/li>\n<li>O final define o que fazer com o resto: <code>~all<\/code> (falha &#8220;leve&#8221;, a mensagem \u00e9 marcada como suspeita) ou <code>-all<\/code> (falha &#8220;dura&#8221;, a mensagem deve ser recusada).<\/li>\n<\/ul>\n<p><strong>Erros de SPF que mais vemos:<\/strong><\/p>\n<ol>\n<li><strong>Dois registros SPF no mesmo dom\u00ednio.<\/strong> S\u00f3 pode existir um. Quando algu\u00e9m cria um segundo para &#8220;acrescentar o Google&#8221;, os dois passam a ser ignorados. O certo \u00e9 juntar tudo numa linha s\u00f3.<\/li>\n<li><strong>Esquecer um servi\u00e7o que tamb\u00e9m envia.<\/strong> O site, o ERP ou o sistema de boletos manda e-mail com o seu dom\u00ednio, mas n\u00e3o est\u00e1 no SPF.<\/li>\n<li><strong>Usar <code>-all<\/code> sem ter certeza da lista.<\/strong> Com a falha dura, qualquer servidor esquecido passa a ter as mensagens recusadas.<\/li>\n<li><strong>Passar de 10 consultas.<\/strong> Cada <code>include:<\/code> conta. Com muitos servi\u00e7os, o SPF estoura o limite e falha inteiro.<\/li>\n<\/ol>\n<h2>DKIM: a assinatura de cada mensagem<\/h2>\n<p>O DKIM funciona com um par de chaves. O servidor de e-mail guarda a chave privada e assina cada mensagem enviada; a chave p\u00fablica fica publicada no DNS, num endere\u00e7o com um &#8220;seletor&#8221; (por exemplo <code>x._domainkey.suaempresa.com.br<\/code> ou <code>google._domainkey.suaempresa.com.br<\/code>). O provedor que recebe a mensagem busca a chave p\u00fablica e confere a assinatura. Se o texto foi alterado no caminho, ou se a chave publicada n\u00e3o bate com a usada para assinar, o DKIM falha.<\/p>\n<p>Na pr\u00e1tica, <strong>voc\u00ea n\u00e3o cria a chave \u00e0 m\u00e3o<\/strong>. O painel da hospedagem, o Google Workspace ou o Microsoft 365 geram a chave e mostram o registro que precisa ir para o DNS. O trabalho \u00e9 copiar o registro exatamente como foi gerado e publicar no lugar certo.<\/p>\n<h2>DMARC: a regra e o relat\u00f3rio<\/h2>\n<p>O DMARC \u00e9 um TXT em <code>_dmarc.suaempresa.com.br<\/code>. A parte mais importante \u00e9 a pol\u00edtica (<code>p=<\/code>):<\/p>\n<ul>\n<li><code>p=none<\/code>: s\u00f3 monitora. Nada muda na entrega, mas voc\u00ea passa a receber relat\u00f3rios.<\/li>\n<li><code>p=quarantine<\/code>: o que falhar vai para o spam.<\/li>\n<li><code>p=reject<\/code>: o que falhar \u00e9 recusado.<\/li>\n<\/ul>\n<p>O caminho seguro \u00e9 gradual: comece com <code>p=none<\/code> e um endere\u00e7o em <code>rua=<\/code> para receber os relat\u00f3rios, confira por algumas semanas se todos os seus servi\u00e7os leg\u00edtimos passam e s\u00f3 ent\u00e3o suba para <code>quarantine<\/code> e depois <code>reject<\/code>. Pular direto para <code>reject<\/code> sem conferir \u00e9 a forma mais r\u00e1pida de bloquear o pr\u00f3prio sistema de nota fiscal.<\/p>\n<p>O DMARC tamb\u00e9m protege a marca: com <code>quarantine<\/code> ou <code>reject<\/code>, fica bem mais dif\u00edcil algu\u00e9m mandar golpe usando o endere\u00e7o da sua empresa.<\/p>\n<h2>Como conferir se o seu e-mail est\u00e1 autenticado<\/h2>\n<p>O teste mais simples leva dois minutos:<\/p>\n<ol>\n<li>Envie um e-mail da conta da empresa para uma conta pessoal do Gmail.<\/li>\n<li>No Gmail, abra a mensagem, clique nos tr\u00eas pontinhos e em <strong>Mostrar original<\/strong>.<\/li>\n<li>No topo aparecem tr\u00eas linhas: <strong>SPF<\/strong>, <strong>DKIM<\/strong> e <strong>DMARC<\/strong>. O esperado \u00e9 <code>PASS<\/code> nas tr\u00eas.<\/li>\n<\/ol>\n<p>Se aparecer <code>FAIL<\/code>, <code>SOFTFAIL<\/code> ou <code>NONE<\/code> em alguma, o registro correspondente est\u00e1 faltando ou errado. Repita o teste a partir de cada sistema que envia e-mail com o seu dom\u00ednio (formul\u00e1rio do site, ERP, e-mail marketing), porque cada um pode ter um resultado diferente.<\/p>\n<h2>Passo a passo para configurar<\/h2>\n<ol>\n<li><strong>Liste tudo o que envia e-mail com o seu dom\u00ednio<\/strong>: caixas de e-mail, site, sistemas, e-mail marketing.<\/li>\n<li><strong>Descubra onde est\u00e1 o DNS do dom\u00ednio.<\/strong> Pode ser o Registro.br, a Cloudflare ou o painel da hospedagem. \u00c9 l\u00e1 que os registros s\u00e3o criados, n\u00e3o no servidor de e-mail.<\/li>\n<li><strong>Monte um \u00fanico registro SPF<\/strong> com todos os servi\u00e7os da lista.<\/li>\n<li><strong>Ative o DKIM em cada servi\u00e7o<\/strong> e publique o registro que ele gerar.<\/li>\n<li><strong>Crie o DMARC com <code>p=none<\/code><\/strong> e um endere\u00e7o para os relat\u00f3rios.<\/li>\n<li><strong>Teste com o &#8220;Mostrar original&#8221;<\/strong> e, depois de algumas semanas sem falhas, endure\u00e7a a pol\u00edtica do DMARC.<\/li>\n<\/ol>\n<h2>Tr\u00eas casos reais que atendemos<\/h2>\n<p><strong>Notas fiscais no lixo eletr\u00f4nico.<\/strong> Uma ind\u00fastria cliente percebeu que as notas fiscais emitidas pelo pr\u00f3prio sistema estavam caindo no lixo eletr\u00f4nico dos destinat\u00e1rios, inclusive dos colegas da mesma empresa. Ao investigar, encontramos quase 800 mensagens leg\u00edtimas presas no lixo eletr\u00f4nico. A causa: depois de uma migra\u00e7\u00e3o, a chave DKIM existia no servidor e assinava as mensagens, mas o registro com a chave p\u00fablica nunca tinha sido publicado no DNS. O DKIM falhava em toda mensagem. Publicado o registro, a verifica\u00e7\u00e3o passou a dar <code>PASS<\/code> e as notas voltaram para a caixa de entrada.<\/p>\n<p><strong>SPF que s\u00f3 autorizava a Microsoft.<\/strong> Uma empresa usava o Microsoft 365, com um SPF que autorizava apenas os servidores da Microsoft e terminava em <code>-all<\/code>. Parte das mensagens passava por outro servidor antes de chegar ao destino, e esse servidor n\u00e3o estava no SPF. Para o Outlook, aquilo parecia falsifica\u00e7\u00e3o em massa, e as entregas come\u00e7aram a ser seguradas. A corre\u00e7\u00e3o foi incluir o IP do servidor no SPF e ajustar a configura\u00e7\u00e3o do lado do Microsoft 365.<\/p>\n<p><strong>O problema era do fornecedor.<\/strong> Um cliente reclamou que os c\u00f3digos de acesso de um fornecedor sempre ca\u00edam no spam. O servidor do fornecedor n\u00e3o assinava DKIM e n\u00e3o tinha DMARC: tecnicamente, a mensagem era indistingu\u00edvel de uma falsifica\u00e7\u00e3o. Do nosso lado d\u00e1 para liberar o remetente, mas a solu\u00e7\u00e3o definitiva era o fornecedor configurar os registros.<\/p>\n<h2>Quando vale pedir ajuda<\/h2>\n<p>Se o &#8220;Mostrar original&#8221; mostra falha e voc\u00ea n\u00e3o sabe onde est\u00e1 o DNS do dom\u00ednio, se h\u00e1 v\u00e1rios sistemas enviando com o mesmo dom\u00ednio ou se voc\u00ea vai migrar o e-mail de lugar, vale ter algu\u00e9m fazendo e testando a configura\u00e7\u00e3o. Um registro errado n\u00e3o d\u00e1 aviso: as mensagens simplesmente param de chegar.<\/p>\n<p>Na <a href=\"https:\/\/w2websites.com\/hospedagem-de-email\">hospedagem de e-mail da W2<\/a>, SPF, DKIM e DMARC s\u00e3o configurados e testados na cria\u00e7\u00e3o das contas e na migra\u00e7\u00e3o, junto com webmail e anti-spam. Se o e-mail da sua empresa j\u00e1 est\u00e1 em outro lugar e est\u00e1 caindo no spam, <a href=\"http:\/\/api.whatsapp.com\/send?phone=5511974367285&amp;text=Ol%C3%A1!%20Os%20e-mails%20da%20minha%20empresa%20est%C3%A3o%20caindo%20no%20spam.\" target=\"_blank\" rel=\"noopener\">fale com a gente pelo WhatsApp<\/a> e conferimos os registros do seu dom\u00ednio.<\/p>\n<p><strong>Leia tamb\u00e9m:<\/strong> <a href=\"https:\/\/w2websites.com\/blog\/como-criar-usar-email-corporativo-empresas\/\">Como criar e usar e-mail corporativo com o dom\u00ednio da empresa<\/a>.<\/p>\n<h2>Perguntas frequentes<\/h2>\n<h3>O que \u00e9 SPF no e-mail?<\/h3>\n<p>SPF (Sender Policy Framework) \u00e9 um registro TXT no DNS do dom\u00ednio que lista quais servidores podem enviar e-mail em nome dele. O provedor que recebe a mensagem confere se o servidor de origem est\u00e1 na lista; se n\u00e3o estiver, a mensagem perde pontos ou \u00e9 recusada.<\/p>\n<h3>Posso ter dois registros SPF no mesmo dom\u00ednio?<\/h3>\n<p>N\u00e3o. O dom\u00ednio s\u00f3 pode ter um registro que come\u00e7a com <code>v=spf1<\/code>. Com dois, os provedores consideram o SPF inv\u00e1lido. Para autorizar mais de um servi\u00e7o, junte todos no mesmo registro, com um <code>include:<\/code> ou <code>ip4:<\/code> para cada.<\/p>\n<h3>O que \u00e9 DMARC e qual pol\u00edtica usar?<\/h3>\n<p>DMARC \u00e9 o registro que diz ao provedor o que fazer quando uma mensagem falha no SPF e no DKIM, e para onde mandar relat\u00f3rios. Comece com <code>p=none<\/code> para monitorar; depois de confirmar que todos os seus servi\u00e7os passam, suba para <code>p=quarantine<\/code> e, por fim, <code>p=reject<\/code>.<\/p>\n<h3>Configurei SPF, DKIM e DMARC e o e-mail ainda vai para o spam. Por qu\u00ea?<\/h3>\n<p>A autentica\u00e7\u00e3o \u00e9 a base, mas os filtros tamb\u00e9m avaliam a reputa\u00e7\u00e3o do servidor, o conte\u00fado (assunto em caixa alta, s\u00f3 imagem, muitos links), anexos e se os destinat\u00e1rios abrem ou marcam como spam. Confira primeiro se as tr\u00eas verifica\u00e7\u00f5es d\u00e3o <code>PASS<\/code> no &#8220;Mostrar original&#8221;; se derem, o problema est\u00e1 em outro desses pontos.<\/p>\n<h3>Preciso de SPF, DKIM e DMARC se uso Google Workspace ou Microsoft 365?<\/h3>\n<p>Sim. O Google e a Microsoft fornecem a infraestrutura, mas os registros ficam no DNS do seu dom\u00ednio e precisam ser publicados por quem administra esse DNS. O DKIM, em especial, vem desligado at\u00e9 algu\u00e9m ativar no painel e publicar o registro.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>SPF, DKIM e DMARC s\u00e3o tr\u00eas registros no DNS do seu dom\u00ednio que provam que um e-mail com o endere\u00e7o da sua empresa foi mesmo enviado por voc\u00ea. O SPF\u2026<\/p>\n","protected":false},"author":4,"featured_media":28025,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_joinchat":[],"footnotes":""},"categories":[78],"tags":[],"class_list":["post-28024","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-hospedagem"],"jetpack_featured_media_url":"https:\/\/w2websites.com\/blog\/wp-content\/uploads\/2026\/11\/spf-dkim-dmarc-capa.webp","_links":{"self":[{"href":"https:\/\/w2websites.com\/blog\/wp-json\/wp\/v2\/posts\/28024","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/w2websites.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/w2websites.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/w2websites.com\/blog\/wp-json\/wp\/v2\/users\/4"}],"replies":[{"embeddable":true,"href":"https:\/\/w2websites.com\/blog\/wp-json\/wp\/v2\/comments?post=28024"}],"version-history":[{"count":1,"href":"https:\/\/w2websites.com\/blog\/wp-json\/wp\/v2\/posts\/28024\/revisions"}],"predecessor-version":[{"id":28026,"href":"https:\/\/w2websites.com\/blog\/wp-json\/wp\/v2\/posts\/28024\/revisions\/28026"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/w2websites.com\/blog\/wp-json\/wp\/v2\/media\/28025"}],"wp:attachment":[{"href":"https:\/\/w2websites.com\/blog\/wp-json\/wp\/v2\/media?parent=28024"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/w2websites.com\/blog\/wp-json\/wp\/v2\/categories?post=28024"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/w2websites.com\/blog\/wp-json\/wp\/v2\/tags?post=28024"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}