Como configurar e corrigir SPF, DKIM e DMARC: guia passo a passo

Se alguém dissesse que os seus e-mails não estão sendo entregues porque o seu “registro SPF tem consultas DNS demais” ou porque a sua “assinatura DKIM não está alinhada com o seu domínio RFC5322.From”, seria compreensível querer jogar o notebook pela janela.

Mas a verdade é esta: configurar SPF, DKIM e DMARC é muito mais simples do que essas siglas sugerem. A maioria das pessoas consegue corrigir a autenticação de e-mail em menos de uma hora. E, em 2026, ela é obrigatória.

Este guia mostra cada passo em linguagem simples.

Por que a autenticação de e-mail é obrigatória em 2026

O que antes era boa prática agora é requisito.

Em fevereiro de 2024, Gmail e Yahoo passaram a exigir autenticação de e-mail dos remetentes em massa. Em novembro de 2025, o Gmail avançou para a rejeição pura e simples das mensagens fora das regras. A Microsoft veio em seguida, em maio de 2025, rejeitando e-mails de remetentes de alto volume sem SPF, DKIM e alinhamento DMARC corretos.

Domínios com autenticação completa têm um inbox placement muito melhor. Sem ela, muitos dos seus e-mails nem chegam à pasta de spam, porque voltam como bounce antes de chegar a uma caixa de e-mail.

O que são SPF, DKIM e DMARC? (a versão simples)

Pense na autenticação de e-mail como o controle de segurança de um aeroporto:

O SPF é a sua passagem. Ele diz aos servidores de destino quais servidores de e-mail estão autorizados a enviar em nome do seu domínio. Como uma lista de convidados que diz “estas pessoas podem entrar”.

O DKIM é o seu passaporte. Ele adiciona uma assinatura criptográfica a cada e-mail, provando que a mensagem não foi adulterada no caminho e que veio de fato do seu domínio.

O DMARC é o agente de segurança. Ele confere se o SPF ou o DKIM passou, decide o que fazer com as falhas (nada, quarentena ou rejeição) e envia a você relatórios sobre quem está usando o seu domínio para enviar e-mails.

Você precisa dos três. Veja como configurar cada um.

Como configurar o SPF (Sender Policy Framework)

O que o SPF faz

O SPF é um registro DNS TXT que lista todos os servidores autorizados a enviar e-mails em nome do seu domínio. Quando o Gmail recebe um e-mail que diz vir de yourdomain.com, ele consulta o seu registro SPF para ver se o servidor de envio está na lista.

Passo 1: veja se você já tem um registro SPF

Acesse um verificador de SPF e informe o seu domínio. Você vai ver um de três resultados: nenhum registro encontrado, registro encontrado com erros ou registro encontrado e aprovado.

Importante: só pode haver UM registro SPF por domínio. Vários registros quebram a autenticação por completo.

Passo 2: identifique todos os seus serviços de envio

Liste todas as plataformas que enviam e-mails a partir do seu domínio. As mais comuns incluem:

• O seu provedor de e-mail (Google Workspace, Microsoft 365)
• Plataformas de marketing (Mailchimp, HubSpot, ActiveCampaign)
• Serviços de e-mail transacional (SendGrid, Postmark, Mailgun)
• Sistemas de CRM (Salesforce, HubSpot)
• Ferramentas de suporte (Zendesk, Intercom, Freshdesk)

Passo 3: crie ou atualize o seu registro SPF

Cada serviço publica o seu valor de include do SPF na documentação. O seu registro fica assim:

v=spf1 include:_spf.google.com include:sendgrid.net include:mail.zendesk.com ~all

• v=spf1 identifica que este é um registro SPF
• Cada include: autoriza os servidores daquele serviço
• ~all aplica soft fail a tudo que não está na lista (boa prática, porque deixa a aplicação para o DMARC)

Passo 4: adicione o registro ao seu DNS

Entre no painel do seu registrador de domínio (GoDaddy, Cloudflare, Namecheap etc.), abra as configurações de DNS e adicione ou atualize o registro TXT.

Erros comuns de SPF a evitar

Consultas DNS demais. O SPF tem um limite rígido de 10 consultas DNS. Cada include: conta como pelo menos uma, e alguns disparam consultas adicionais. Passar de 10 faz a verificação SPF inteira retornar permerror (RFC 7208, seção 4.6.4), e nada avisa você quando isso acontece. Use uma ferramenta de achatamento de SPF (SPF flattening) se estiver batendo nesse limite.

Usar -all em vez de ~all. O hard fail (-all) manda os servidores rejeitarem na hora os e-mails que não batem, antes de conferir o DKIM ou o DMARC. Use soft fail (~all) e deixe a aplicação para o DMARC.

Esquecer um serviço de envio. Aquele CRM que você adicionou há seis meses? Aquela ferramenta de faturas? Se eles enviam e-mails a partir do seu domínio e não estão no seu registro SPF, essas mensagens falham na autenticação.

Como configurar o DKIM (DomainKeys Identified Mail)

O que o DKIM faz

O DKIM adiciona uma assinatura criptográfica a cada e-mail enviado. O servidor de destino confere essa assinatura com uma chave pública no seu DNS para verificar que o e-mail é autêntico e não foi alterado.

Passo 1: gere as chaves DKIM no seu provedor de e-mail

Diferente do SPF, a configuração do DKIM começa dentro do painel da sua plataforma de envio. Todo grande provedor tem um guia de configuração de DKIM. Procure na documentação por “DKIM setup” ou “autenticação de e-mail”.

O provedor gera duas coisas:

• Uma chave pública (um registro DNS TXT que você vai adicionar ao seu domínio)
• Uma chave privada (usada pelo servidor para assinar os seus e-mails de saída)

Passo 2: adicione a chave pública ao seu DNS

O registro terá um seletor específico (como google._domainkey.yourdomain.com) e uma longa sequência de caracteres. Adicione-o como registro TXT nas configurações de DNS.

Passo 3: ative a assinatura DKIM

Volte ao seu provedor de e-mail e ative a assinatura DKIM. Este passo é crítico: muita gente adiciona o registro DNS e acha que terminou. Adicionar a chave pública é só metade do processo.

Passo 4: repita para cada serviço de envio

Cada plataforma que envia e-mails a partir do seu domínio precisa da sua própria configuração de DKIM. Todas elas: a sua ferramenta de marketing, o seu serviço de e-mail transacional, o seu CRM.

Como verificar se o DKIM está funcionando

Envie um e-mail de teste para uma conta do Gmail. Abra-o, clique nos três pontinhos → “Mostrar original”. Procure DKIM: PASS nos resultados de autenticação.

Erros comuns de DKIM

Não ativar a assinatura depois de adicionar o registro DNS. Muito comum no Google Workspace, em que as pessoas adicionam o registro DNS e nunca ativam o DKIM no console de administração.

Usar chaves de 1024 bits. Use chaves de 2048 bits para mais segurança. A maioria dos provedores já usa esse padrão, mas confira com a consulta DKIM.

Faltar DKIM nos remetentes secundários. Se a sua plataforma de marketing assina com DKIM mas o seu serviço transacional não, essas mensagens transacionais saem sem assinatura.

Como configurar o DMARC (Domain-based Message Authentication, Reporting and Conformance)

O que o DMARC faz

O DMARC fica por cima do SPF e do DKIM. Ele confere se algum dos dois protocolos passou e se o domínio está alinhado com o seu endereço “From” visível. Depois, diz aos servidores de destino o que fazer com as falhas. Ele também envia a você relatórios sobre todos os e-mails enviados com o seu domínio, incluindo os que você não enviou.

Passo 1: garanta antes que SPF e DKIM estão funcionando

O DMARC depende dos dois. Não configure o DMARC até confirmar que SPF e DKIM passam. O Google recomenda esperar pelo menos 48 horas depois de configurar SPF e DKIM antes de ativar o DMARC.

Passo 2: comece pelo modo de monitoramento

Adicione este registro TXT ao seu DNS em _dmarc.yourdomain.com:

v=DMARC1; p=none; rua=mailto:dmarc-reports@yourdomain.com

• p=none diz aos destinatários para ainda não agir sobre as falhas, só enviar relatórios
• rua=mailto:... define para onde enviar os relatórios agregados

Passo 3: analise os relatórios DMARC por 2 a 4 semanas

Os relatórios DMARC mostram todos os endereços IP que enviam e-mails como o seu domínio, quais passam na autenticação e quais falham.

Procure: serviços de envio legítimos que estão falhando na autenticação (corrija o SPF/DKIM deles), remetentes não autorizados tentando falsificar o seu domínio (é por isso que você precisa do DMARC) e problemas de alinhamento entre o seu domínio From e os seus domínios de SPF/DKIM.

Passo 4: passe para a aplicação

Depois de confirmar que todo o e-mail legítimo passa na autenticação:

Quarantine (manda as falhas para o spam):

v=DMARC1; p=quarantine; rua=mailto:dmarc-reports@yourdomain.com

Reject (bloqueia as falhas por completo; este é o padrão ouro):

v=DMARC1; p=reject; rua=mailto:dmarc-reports@yourdomain.com

Erros comuns de DMARC

Pular direto para p=reject. Se você aplicar a rejeição antes de confirmar que todos os remetentes legítimos passam, vai bloquear os seus próprios e-mails. Comece sempre com p=none.

Nunca sair do p=none. No outro extremo, muitas organizações publicam uma política só de monitoramento e nunca a aplicam. Uma política p=none só observa; ela não protege você contra falsificação. O objetivo é chegar a quarantine ou reject.

Falhas de alinhamento. O DMARC exige que o domínio usado pelo SPF ou pelo DKIM esteja alinhado com o seu endereço From visível. Se a sua ferramenta de marketing envia com um return-path bounce.marketingtool.com mas o seu From é you@yourdomain.com, o SPF não vai se alinhar, como o verificador de alinhamento DMARC mostra em qualquer mensagem que você colar. Nesse caso, você precisa do alinhamento do DKIM.

A ordem certa das operações

Se você está começando do zero:

1. SPF primeiro: o mais fácil de configurar, com o impacto mais imediato
2. DKIM em segundo: dá mais trabalho (exige configuração em cada plataforma de envio), mas é crítico
3. DMARC em terceiro: só depois que SPF e DKIM funcionam. Comece com p=none e passe para a aplicação em 2 a 4 semanas

A propagação do DNS pode levar até 48 horas, então não entre em pânico se as mudanças não aparecerem na hora.

Não configure e esqueça

É aqui que a maioria das pessoas falha. Elas configuram a autenticação uma vez e nunca mais conferem. Aí alguém do time adiciona uma nova ferramenta de e-mail, o registro SPF não é atualizado e, de repente, metade dos e-mails falha na autenticação por semanas até alguém perceber.

A autenticação de e-mail exige manutenção contínua:

• Revise os registros todo mês quando a infraestrutura estiver estável
• Audite na hora depois de qualquer mudança (novo domínio, novo ESP, novo CRM)
• Monitore continuamente para detectar mudanças de configuração

O MailVitals automatiza esse monitoramento. Ele verifica continuamente a configuração de SPF, DKIM e DMARC de todos os seus domínios e avisa você na hora quando algo quebra, antes que a sua entregabilidade sofra.

👉 Relacionado: Por que meus e-mails estão indo para o spam?

Fontes

• RFC 7208: Sender Policy Framework (SPF), a sintaxe do registro SPF, ~all e -all, a regra do registro único e o limite de 10 consultas.
• RFC 6376: DomainKeys Identified Mail (DKIM) Signatures, como funcionam as assinaturas DKIM, os seletores e as chaves públicas no DNS.
• RFC 9989: Domain-Based Message Authentication, Reporting, and Conformance (DMARC), o padrão DMARC atual: alinhamento, as políticas p=none/quarantine/reject e os relatórios agregados.
• Set up DMARC (Ajuda do Google Workspace), as recomendações do Google para implantar o DMARC, incluindo a espera de 48 horas depois do SPF e do DKIM.
• Strengthening Email Ecosystem: Outlook's New Requirements for High-Volume Senders (Microsoft Tech Community), as regras de SPF, DKIM e DMARC que o Outlook.com aplica a domínios que enviam mais de 5.000 mensagens por dia.