Falha de DMARC: Guia Completo de Resolução para Cold Email B2B (2026)

Se já tiveste de lidar com falhas de DMARC, já conheces os sintomas: emails a irem parar ao spam, taxas de resposta a descer e a prospeção a ser limitada na pior altura possível.

E provavelmente já ouviste o conselho habitual: 

• Verifica o SPF
• Alinha o DKIM
• Configura uma política DMARC

Isso resulta em casos mais simples. 

Para envios B2C ou emails transacionais, pode até ser suficiente. Mas o cold outreach B2B funciona de forma diferente. Costumas enviar a partir de vários domínios, usar ferramentas distintas e depender de configurações que mudam a cada campanha. Nesse ambiente, as soluções superficiais não chegam.

O problema geralmente é que a configuração está dessincronizada entre os sistemas. A autenticação falha algures na cadeia e tu só dás por isso quando a tua deliverability começa a cair.

Este guia vai direto às causas reais por trás das falhas de DMARC nas configurações de cold outreach e mostra o que deves fazer quando os conselhos tradicionais já não chegam.

Vamos começar por perceber o que causa estas falhas desde o início.

Porque é que o DMARC falha no cold outreach B2B

Os padrões de falha mais comuns que vemos em equipas de growth, agências e operações de outbound são:

Domínios desalinhados entre campanhas

Muitas equipas B2B usam subdomínios para separar o tráfego de outbound. Por exemplo, a tua equipa de marketing pode enviar newsletters a partir de brand.com, enquanto os teus SDRs usam sales.brand.com ou até brandhq.io. Se estes não estiverem devidamente autenticados com registos SPF, DKIM e DMARC consistentes, o alinhamento falha.

Mesmo pequenas diferenças, como a falta de uma tag p= num registo DNS, podem bloquear a entrega de emails sem aviso prévio.

Ferramentas de cold email com configuração de autenticação incompleta

Muitas plataformas de cold outreach prometem deliverability e automação integradas. Mas a maioria não te guia passo a passo por uma configuração de DNS completa. Partem muitas vezes do princípio de que o SPF e o DKIM são "configurados automaticamente", quando na realidade os teus registos estão incompletos ou desalinhados. Ficas com a ideia de que está tudo a funcionar, só para descobrires que os teus emails estão a falhar silenciosamente por causa do DMARC.

Isto piora se usas várias ferramentas em diferentes campanhas ou geografias. Uma única plataforma mal configurada pode comprometer a reputação de todo o teu domínio.

As inconsistências no endereço do remetente estão a causar falhas de alinhamento

Mesmo que os teus domínios estejam alinhados, a inconsistência nos endereços "De" (como alternar entre hello@brand.com, outreach@brandhq.io e reply@brand.co) pode desencadear problemas de autenticação. O DMARC verifica o alinhamento entre o que é visível para o destinatário e o que está nos cabeçalhos do email.

Esta é uma das causas principais mais comuns para os erros de falha de DMARC de autenticação de DNS em campanhas de cold outreach reais.

Alterações de DNS ou mudança de ferramentas que quebram os registos

Mudar de ferramentas de email, adicionar novos domínios ou migrar fornecedores de DNS é arriscado. As alterações podem demorar horas a propagar-se e as configurações parciais são comuns. Um único registo TXT ou CNAME esquecido pode estragar tudo, e a maioria das plataformas de cold email não te vai avisar quando isso acontecer.

Muitas vezes, é durante estas transições que os remetentes começam a ver alertas como falha de DMARC no Mailchimp, sem perceberem que está ligado a alterações recentes na infraestrutura.

Conflitos entre sistemas de email empresariais e ferramentas de outreach

Se estás a usar o Google Workspace ou o Office 365 para o dia a dia e a juntar ferramentas como o Instantly ou o Mailshake, os conflitos são comuns. Os registos SPF a nível empresarial podem não incluir os IPs da tua ferramenta de outreach. O DKIM pode não estar configurado para envios externos.

Até o LinkedIn, uma das marcas mais imitadas em ataques de phishing, teve de reforçar a sua configuração de DMARC com uma política estrita p=reject para evitar fraudes e o uso indevido de domínios. Se plataformas dessa escala aplicam a autenticação para proteger a comunicação, as equipas de outbound também não se podem dar ao luxo de a ignorar.

Ferramentas de diagnóstico avançadas, como o teste de spam da MailReach, conseguem identificar exatamente qual é a discrepância que está a estragar a deliverability.

Ler também: Como Melhorar a Deliverability dos teus Emails: As 18 Ações (2026)

Como Diagnosticar uma Falha DMARC

 Para diagnosticar uma falha DMARC, verifica os teus relatórios DMARC quanto aos resultados da autenticação, confirma o alinhamento de SPF e DKIM entre o teu domínio "From" e o domínio de envio, e testa os cabeçalhos dos teus emails com ferramentas como o MXToolbox ou o DMARC Analyzer para perceber qual a verificação de autenticação que está a falhar.

Vê como podes identificar sistematicamente o que está a causar a falha:

Passo 1: Revisa os Teus Relatórios DMARC

Verifica se o teu DNS está configurado corretamente para enviar relatórios agregados DMARC. Se o teu registo DMARC incluir uma tag rua= válida, vais receber relatórios em formato XML que mostram que fontes estão a enviar emails em teu nome e se passaram nas verificações de SPF e DKIM.

Fica atento a sinais de alerta como:

• Endereços IP ou domínios de envio que não reconheces
• Ferramentas legítimas a falhar o SPF ou DKIM
• Picos de volume inesperados a vir de uma única fonte

Passo 2: Executa Verificações de Autenticação Básicas

Usa o verificador de SPF e o verificador de DKIM da MailReach para testar as tuas configurações. Estas ferramentas exigem que envies um email e, em seguida, verificam as respostas da Google e da Microsoft aos teus registos SPF e DKIM. Esta verificação de ponta a ponta confirma o alinhamento de cada protocolo, tornando-se na forma mais fiável de testar o SPF e o DKIM.

Mas há um pormenor: mesmo que a tua configuração tecnicamente "passe", se o teu domínio "from" não estiver alinhado com o domínio autenticado, o Gmail ainda pode marcar o teu email.

Passo 3: Rastreia o Caminho dos Teus Cold Emails

Os cabeçalhos dizem a verdade toda. Vê como verificar:

• Envia um email de teste para ti próprio ou para uma caixa de correio do Gmail
• Abre os cabeçalhos completos e inspeciona os campos Return-Path, From e Received
• Compara-os com os teus registos DNS e com a documentação da ferramenta de envio

Se a tua ferramenta de outreach envia através dos servidores dela, mas o teu DNS não os autorizou, vais notar incompatibilidades. Isto pode fazer com que o DMARC falhe, mesmo que o SPF e o DKIM passem individualmente. 

Passo 4: Testa a Deliverability no Mundo Real 

Usa uma ferramenta específica de cold email como o teste de spam da MailReach para:

• Envia emails de teste para mais de 30 inboxes reais (Gmail, Outlook, Yahoo, etc.)
• Monitoriza a colocação no inbox, spam e separador promoções
• Deteta problemas de reputação de domínio que variam consoante o fornecedor
• Compara o desempenho com a formatação e os cabeçalhos dos teus cold emails reais
• Deteta filtros baseados no conteúdo ou na reputação

Isto vai muito além de uma simples verificação estática de aprovação/reprovação. Mostra-te como os fornecedores de caixas de correio estão a tratar os teus emails em produção e explica porque é que uma ferramenta de warmup que diz que "passas no DMARC" ainda te pode enviar para o spam.

Passos para corrigir falhas de DMARC em B2B Cold Emails

Este é o teu plano de ação prioritário para corrigir falhas de DMARC e recuperar a deliverability dos teus cold emails. Cada correção está listada por ordem de impacto e dificuldade, para conseguires resolver primeiro o que realmente importa sem destabilizar todo o teu sistema.

Vitórias Rápidas (Corrige em 24 a 48 horas)

1. Alinha o teu domínio "De" com o domínio de envio

Atualiza os teus registos DNS para autorizar exatamente o domínio que aparece no teu endereço "de". Além disso, usa um verificador de propagação de DNS global (por exemplo, whatsmydns.net) para garantir que as atualizações dos teus registos estão ativas em todas as regiões. 

2. Configura o DKIM corretamente para a tua ferramenta de cold email

‍Algumas ferramentas ignoram isto ou afirmam que está "configurado automaticamente". Não confies cegamente nessas ferramentas.

Manualmente:

• Adiciona o registo TXT do DKIM fornecido pela tua ferramenta
• Garante que o seletor e o domínio coincidem exatamente
• Usa um verificador de DKIM para confirmar que está a passar

Se o DKIM não estiver a ser verificado, os teus emails correm um sério risco de ser sinalizados ou rejeitados pelo Gmail e Outlook, mesmo que o SPF passe.

3. Define a tua política DMARC como quarentena (e não rejeição)

Ir diretamente para p=reject bloqueia todos os envios não autenticados, incluindo incompatibilidades inofensivas ou ferramentas recentemente adicionadas.

Durante a resolução de problemas, define a política como p=quarantine para poderes monitorizar falhas de autenticação sem arriscar a colocação no inbox. Também podes adicionar uma tag ruf= para receber relatórios de falhas forenses. Estes fornecem mais contexto sobre o motivo pelo qual as mensagens falharam.

Exemplo de registo DMARC:
v=DMARC1; p=quarantine; rua=mailto:dmarc@yourdomain.com

Assim que todas as origens de envio estiveres confirmadas como alinhadas, podes apertar para p=reject.Correções a Médio Prazo (1 a 2 semanas)

4. Usa subdomínios para cold outreach

Isolar o tráfego de cold emails num subdomínio como outreach.brand.com protege a reputação do teu domínio principal e dá-te a flexibilidade de testar e otimizar o cold outreach sem prejudicar a deliverability principal.

Configura toda a autenticação SPF, DKIM e DMARC no subdomínio e certifica-te de que a tua ferramenta de cold email envia mensagens apenas a partir desse domínio, e não da raiz.

5. Coordena várias plataformas de envio

Se estás a usar o Lemlist para outreach, o MailerSend para alertas e o Google Workspace para comunicação interna, a tua configuração de SPF e DKIM pode baralhar-se rapidamente.

Cuidado com:

• Mais de 10 pesquisas include: no teu registo SPF (isto vai quebrá-lo)
• Seletores DKIM a serem reutilizados em várias ferramentas
• Registos DNS antigos de ferramentas desativadas que continuem ativos e a causar interferências

Limpa a tua configuração de DNS, retira de circulação as plataformas que já não usas e documenta qual a ferramenta associada a cada seletor. Isto evita conflitos de autenticação ocultos que desencadeiam falhas DMARC em silêncio. 

Correções Contínuas

6. Monitoriza a tua conformidade DMARC ao longo do tempo

Corrigir a autenticação uma vez não chega. As ferramentas de cold email evoluem, os comportamentos de envio mudam e até pequenas alterações no DNS podem criar novos problemas. A monitorização contínua é a única forma de te manteres à frente.

Por isso, monitoriza:

• Relatórios DMARC agregados (através da tua tag rua=)
• Relatórios de falhas forenses (através da tag ruf=)
• Tendências de colocação na inbox no Gmail, Outlook, Yahoo e outros fornecedores

Com a API de email warmup da MailReach, podes acompanhar a reputação do domínio, automatizar testes de colocação na inbox e receber alertas quando a autenticação ou a colocação começarem a falhar.

Estratégias DMARC Avançadas para o Sucesso do Cold Email

Assim que corrigires as falhas imediatas de DMARC, começa o verdadeiro trabalho: construir um sistema que impeça que voltem a acontecer. Eis como o podes fazer: 

Estratégia 1: Constrói Infraestruturas com Domínios Secundários

O teu domínio principal carrega toda a reputação da tua marca. Para cold emails B2B, usa domínios secundários com extensões conhecidas como .com, .co ou .io, e configura-os especificamente para campanhas de cold email.

Isto cria uma separação limpa entre os teus emails de marketing, mensagens transacionais e cold emails. Cada subdomínio obtém a sua própria configuração de SPF, DKIM e DMARC, eliminando conflitos e tornando a resolução de problemas mais direta. Se um email warmup correr mal ou uma campanha ativar os filtros de spam, os danos ficam contidos nesse subdomínio em vez de afetarem toda a tua marca.

Estratégia 2: Gere Cada Caixa de Correio como um Ativo Independente

Para protegeres verdadeiramente a deliverability, tens de tratar cada caixa de correio como a sua própria unidade de desempenho. Cada uma tem uma reputação de remetente, rasto de atividade e nível de risco próprios.

Não podes aplicar a mesma lógica de email warmup a tudo. Uma caixa de correio a enviar demasiado depressa, a responder pouco ou a comportar-se de forma errática pode prejudicar a credibilidade de outras no mesmo subdomínio. O que importa não é apenas quantos emails são enviados, mas sim como cada caixa de correio se comporta e se os fornecedores de correio confiam nesses padrões.

Gerir as caixas de correio individualmente significa:

• Definir diferentes horários de warmup com base no tipo de caixa de entrada, idade e saúde atual
• Acompanhar as taxas de resposta, colocação na caixa de entrada e envolvimento por caixa de entrada
• Saber quais caixas de entrada estão a melhorar a reputação e quais a puxá-la para baixo

É aqui que a maioria das configurações manuais falha. É difícil manter esse nível de controlo sem o sistema certo.

A API de email warmup da MailReach foi criada para lidar com isto. Atribui horários de warmup personalizados a cada caixa de entrada, simula conversas reais e constrói a reputação do remetente através de padrões semelhantes aos humanos. Cada caixa de entrada é aquecida de forma independente, o que mantém o teu domínio saudável mesmo à medida que escalas.

Estratégia 3: Monitorizar a Saúde do Domínio e os Sinais DMARC de Forma Proativa

A maioria das equipas só percebe que algo está avariado quando os emails começam a ir para o spam ou deixam de ser entregues. A essa altura, já perdeste oportunidades e danificaste a reputação do teu remetente.

A melhor abordagem é monitorizar os principais indicadores antes que os problemas aumentem. Eis o que deves acompanhar:

• Análise semanal de relatórios DMARC utilizando as tags rua= e ruf=
• Testes regulares de colocação na caixa de entrada em Gmail, Outlook e Yahoo
• Alertas automatizados para alterações de DNS, problemas de warmup ou quedas na deliverability

Se o acompanhamento manual for difícil, usa ferramentas de warmup como o MailReach. O seu painel de monitorização oferece visibilidade em tempo real em todas as tuas caixas de entrada e domínios, enviando alertas no momento em que algo muda e que possa desencadear falhas DMARC. 

Estratégia 4: Escolher Ferramentas que Crescem com a Tua Operação

As ferramentas fornecem infraestrutura desenhada para escala e complexidade.

Por exemplo, o MailReach aborda especificamente estes desafios para equipas B2B:

• Agrupamento ao nível da caixa de entrada: Etiqueta e organiza caixas de entrada por campanha, domínio ou cliente para manter uma separação clara
• Agendamento automatizado de warmup: Cada caixa de entrada segue o seu próprio padrão de warmup otimizado sem supervisão manual
• Testes contínuos de deliverability: Monitorização real da colocação na caixa de entrada em todos os principais fornecedores
• Alertas integrados: Notificações no Slack e webhooks quando surgem problemas, antes de afetarem as campanhas

Esta abordagem transforma a deliverability de email de um apagar de incêndios constante num sistema gerido e previsível. 

Experimenta o MailReach
‍

‍FAQs

1. Porque é que o meu DMARC passa, mas os emails continuam a ir para o spam?

Porque passar no DMARC apenas confirma que a tua configuração técnica está correta, e não que os fornecedores de caixas de correio confiam no teu domínio. O Gmail e o Outlook utilizam muitos outros sinais, como a reputação do domínio, o envolvimento do utilizador, o volume de envio e os padrões de conteúdo, para verificar os emails como seguros. Mesmo um email bem autenticado pode ir parar ao spam se o domínio não tiver confiança ou histórico.

2. Qual é a diferença entre SPF, DKIM e DMARC?

‍O SPF diz aos fornecedores de caixas de correio que endereços de IP podem enviar e-mails em teu nome. O DKIM adiciona uma assinatura criptográfica para confirmar que a mensagem não foi alterada. O DMARC baseia-se nisto para verificar se o domínio de quem envia coincide com os domínios validados pelo SPF ou DKIM. Isto garante o alinhamento e ajuda a prevenir fraudes e spoofing.

3. Posso usar o mesmo registo DKIM para várias ferramentas?

Precisas de um registo DKIM para cada Email Service Provider (ESP). Cada ESP deve gerar o seu próprio seletor e chave DKIM. Reutilizar seletores entre plataformas pode causar falhas na verificação ou conflitos de DNS. Criar registos separados para cada ESP mantém a tua autenticação estável e torna a resolução de problemas mais fácil.

4. Porque é que o DMARC falha mesmo quando o SPF and DKIM passam?

‍Porque o DMARC também verifica se o domínio no endereço "De" visível coincide com os domínios validados pelo SPF ou DKIM. Se a tua ferramenta enviar a partir de um domínio diferente daquele que foi autenticado, o DMARC vai falhar, apesar de os testes individuais terem passado. A isto chama-se um problema de alinhamento de domínios.

5. É seguro usar p=reject desde o início?

‍‍Não, a não ter que tenhas a certeza de que todas as fontes de envio estão devidamente autenticadas. Passar para p=reject demasiado cedo pode bloquear e-mails legítimos, especialmente se estiveres a usar ferramentas novas ou ainda não tiveres terminado a configuração. Começa com p=none ou p=quarantine para monitorizar e detetar problemas primeiro.

6. Com que frequência devo rever a minha configuração de autenticação?

‍Trimestralmente, no mínimo, mas deves rever sempre que mudares de ferramentas, adicionares novas caixas de correio ou atualizares os registos DNS. Basta um único registo desatualizado ou em conflito para causar falhas silenciosas. Verificações regulares ajudam a detetar problemas cedo e a evitar danos na reputação de quem envia.