Entregabilidade de EmailExemplo de Registo DMARC: Modelos para Todas as PolíticasExemplos de registos DMARC para p=none, quarantine e reject - além do erro de alinhamento que estraga a autenticação mesmo quando o SPF e o DKIM passam. Prontos a copiar e colar para quem envia em B2B.
O Risotto lidera em Zero Trust focado em runtime com monitorização eBPF, aplicação dinâmica de privilégios mínimos e automação de conformidade.
O Risotto lidera em Zero Trust focado em runtime com monitorização eBPF, aplicação dinâmica de privilégios mínimos e automação de conformidade.
O Risotto lidera em Zero Trust focado em runtime com monitorização eBPF, aplicação dinâmica de privilégios mínimos e automação de conformidade.
Eis o DMARC record mais simples que funciona:
Publica-o como um registo TXT em _dmarc.yourdomain.com. E pronto. O teu domínio tem agora um registo DMARC válido que cumpre o requisito mínimo da Google, Yahoo e Microsoft.
Se tens pressa, esse registo é tudo o que precisas agora. Volta ao resto deste guia quando estiveres pronto para perceber o que cada tag faz, como passar a políticas mais restritas sem estragar o teu correio, e porque é que o DMARC ainda pode falhar mesmo quando o SPF e o DKIM passam.
Para todos os outros: vamos ver o que o registo DMARC significa realmente, o que cada nível de política faz, o erro de alinhamento que apanha a maioria dos remetentes e como o DMARC se enquadra na tua configuração de entregabilidade mais ampla enquanto remetente B2B.
Um registo DMARC é um único registo DNS TXT publicado num subdomínio específico do teu domínio:
O registo útil mais simples tem este ar:
Três partes. É tudo o de que precisas para começar.
Isto define a versão. Todos os registos DMARC têm de começar com isto. Tem de aparecer primeiro, exatamente como está escrito. Nada antes disso.
Esta é a política. Indica aos servidores de correio recetores o que devem fazer com as mensagens que falham o DMARC. Com p=none, a resposta é: nada. O correio flui normalmente. Recolhes dados. Nenhum email é bloqueado ou filtrado por causa deste registo.
É exatamente por isso que é o ponto de partida certo. Estás a ativar a monitorização sem mexer na entrega.
Isto indica aos fornecedores de caixas de correio para onde devem enviar os teus relatórios DMARC agregados - resumos diários em XML que mostram quais os sistemas que estão a enviar email com o teu domínio e se estão a passar na autenticação. Substitui o endereço por um que consultes realmente.
Sem rua=, não tens visibilidade. O registo funciona, mas estás a voar às cegas.
Cada registo DMARC inclui uma tag de política (p=) que indica aos servidores de receção o que fazer quando um email falha na autenticação. Tens três opções. Vê como é cada uma e quando deves usá-la. Para saberes mais sobre como o SPF, o DKIM e o DMARC funcionam em conjunto, consulta o nosso guia sobre como implementar SPF, DKIM e DMARC.
Não é tomada nenhuma ação em relação às mensagens que falham. O email continua a fluir normalmente. Vais receber relatórios diários a mostrar todos os sistemas que enviam emails com o teu domínio, se estão a passar na autenticação e de onde vêm as falhas.
Usa p=none quando:
Este é também o requisito mínimo exigido pela Google e pela Yahoo para quem envia em massa (mais de 5.000 emails por dia), e pela Microsoft desde maio de 2025 para endereços do Outlook, Hotmail e Live.
As mensagens que falham são tratadas como suspeitas. A maioria dos servidores de receção envia-as para a pasta de spam ou lixo eletrónico em vez de as bloquear totalmente.
Usa p=quarantine quando:
p=reject - Aplicação Total
As mensagens que falham são rejeitadas antes de chegarem ao destinatário. Esta é a proteção mais forte que existe contra o spoofing.
Usa p=reject apenas quando:
Este é o problema de DMARC mais comum que vemos, e é aquele que os concorrentes ou escondem num apêndice ou ignoram por completo. Por isso, vamos abordá-lo diretamente.
Passar no SPF e no DKIM não chega. Para o DMARC passar, pelo menos um desses resultados também tem de estar alinhado com o domínio que os teus destinatários veem no campo De: (From).
Eis o que o alinhamento significa na prática:
O gatilho mais comum: ligas um CRM, helpdesk, ferramenta de cold outreach ou plataforma de marketing. Essa plataforma envia emails usando o teu domínio no campo De:, mas autentica-se com o seu próprio domínio nos bastidores. O SPF e o DKIM passam para o domínio da plataforma. Mas não estão alinhados com o teu domínio do campo De:. O DMARC falha.
Visto isto constantemente quando as equipas adicionam novas ferramentas sem atualizar a configuração DNS. A solução passa por configurar cada plataforma de envio para se autenticar especificamente sob o teu domínio - e não sob a sua própria infraestrutura partilhada.
Um registo DKIM por Email Service Provider (ESP), e não por ferramenta. Se um ESP enviar emails para várias ferramentas na tua stack, precisas de uma entrada DKIM para esse ESP, configurada para assinar com o teu domínio.
Como diagnosticar uma falha de alinhamento:
Se estás a deparar-te com falhas de DMARC sem sentido, o nosso guia sobre como resolver falhas de DMARC explica passo a passo as causas específicas e as soluções.
A maioria dos domínios pode começar com o exemplo básico p=none acima. Mas há situações que exigem uma abordagem diferente.
Se um domínio nunca envia emails — domínios estacionados, registos defensivos, domínios de proteção de marca — o registo DMARC correto é uma rejeição estrita, sem ser necessário qualquer endereço de relatórios:
Isto diz a todos os fornecedores de caixas de correio para rejeitarem qualquer email que alegue vir deste domínio. Como nunca deve sair nada legítimo daqui, não há o risco de interromper o correio real.
Este é o caso de uso que a maioria dos guias de DMARC ignora por completo.
Se fazes cold outreach B2B, deves usar domínios secundários e não subdomínios do teu domínio principal. Os subdomínios partilham a reputação com o domínio principal. Um problema de deliverability num subdomínio afeta o teu domínio principal também. Os domínios secundários (asuaempresa.co, asuaempresa.io) são totalmente separados e constroem a sua própria reputação de forma independente.
Fica-te pelas extensões mais conhecidas: .com, .co, .io. Evita TLDs exóticos. Isso gera desconfiança antes sequer de o teu email chegar.
Cada domínio secundário precisa da sua própria configuração de autenticação completa:
Para cold outreach B2B, o DMARC é apenas a camada de autenticação. A camada de reputação é o que realmente tira os emails do spam e os leva para a caixa de entrada. Vê como o email warmup constrói a reputação de remetente de que os teus domínios secundários precisam.
Por predefinição, os subdomínios herdam a política DMARC do domínio principal. Se quiseres um controlo explícito, usa a tag sp=:
O p= aplica-se ao teu domínio organizacional. O sp= aplica-se a todos os subdomínios. Se tens subdomínios desativados que nunca devem enviar emails, bloqueá-los com sp=reject evita que sejam explorados para spoofing.
O registo DMARC demora minutos a publicar. A implementação demora semanas. As equipas que têm problemas são quase sempre aquelas que passam à frente a fase de monitorização e só dão por falta de remetentes quando os emails legítimos começam a dar erro.
Eis a sequência que resulta:
Mantém isto ativo durante pelo menos duas a quatro semanas. Confirma se os relatórios estão a chegar. Analisa-os.
É aqui que a maioria das empresas é apanhada de surpresa. Para além do teu fornecedor de email principal, verifica:
Os relatórios DMARC são frequentemente o primeiro sítio onde as equipas descobrem sistemas de envio de cuja existência se tinham esquecido.
Para cada plataforma de envio que encontrares:
Muda para aqui apenas depois de os teus relatórios mostrarem uma autenticação limpa em todos os teus remetentes. Continua a monitorizar. Fica atento a qualquer email legítimo que vá parar ao lixo eletrónico.
Passa para p=reject apenas após meses de relatórios limpos, com cada remetente verificado, todos os problemas de alinhamento resolvidos e um processo implementado para avaliar novas ferramentas antes de começarem a enviar.
Uma nota sobre a tag pct=: podes ver registos DMARC que utilizam pct=10 ou pct=25 para aplicar a aplicação apenas a uma percentagem de mensagens. A orientação moderna desaconselha confiar nisto - os fornecedores de caixas de correio não o implementam de forma consistente. Uma implementação faseada através de p=none para p=quarantine e depois p=reject é mais fiável.
Os relatórios DMARC servem para veres o que está a acontecer depois do teu registo ficar ativo. Se não ativares os relatórios, podes aplicar políticas, mas não vais saber que sistemas estão a passar, a falhar ou a tentar enviar emails em teu nome usando o teu domínio.
Os relatórios agregados são resumos diários em XML enviados pelos fornecedores de caixas de correio participantes. Mostram-te quem está a enviar emails com o teu domínio, que IPs estão envolvidos e se estão a passar ou a falhar no SPF, DKIM e DMARC.
Este é o que precisas. Para a maioria das organizações, apenas o rua= chega.
v=DMARC1; p=none; rua=mailto:dmarc-reports@yourdomain.com
Aponta para uma caixa de correio dedicada que realmente vás monitorizar. Os fornecedores costumam enviar relatórios uma vez por dia. Põe-te à espera de ficheiros XML que exigem análise manual ou uma ferramenta de relatórios para leitura fácil.
Os relatórios forenses contêm detalhes sobre falhas de autenticação individuais. São opcionais, não são enviados consistentemente por todos os fornecedores e levantam questões de privacidade em algumas regiões. Para a maioria dos remetentes, apenas rua= já é a configuração certa.
Se o teu endereço rua= usar um domínio diferente do teu domínio de envio, o domínio recetor tem de publicar um registo DNS que o autorize a receber relatórios em teu nome. Sem isto, os relatórios podem simplesmente não ser entregues, sem aviso prévio.
Verifica sempre se os relatórios estão a chegar poucos dias depois de publicares o teu registo DMARC. Se não estiverem, começa por verificar este requisito de autorização.
O DMARC é necessário. Não é suficiente.
O Google, o Yahoo e a Microsoft utilizam o alinhamento SPF, DKIM e DMARC para decidir se uma mensagem está devidamente autenticada. Para quem envia em grande volume, esta camada de autenticação é agora o requisito mínimo. Sem ela, os seus emails têm muito mais probabilidades de ir parar ao lixo, serem rejeitados ou tratados como suspeitos antes sequer de o conteúdo e a reputação serem avaliados. Mas isso não garante a caixa de entrada. Essa decisão depende de três pilares:
A autenticação é o requisito mínimo. É o que te permite entrar no jogo. A reputação é o que faz com que os teus emails saiam do spam e cheguem à caixa de entrada.
No que diz respeito ao cold outreach em B2B, isto importa imenso. Estás a enviar mensagens a pessoas que não te conhecem. Não existe relação prévia, histórico de engagement ou reconhecimento de marca junto do seu fornecedor de email. Um registo DMARC limpo diz aos fornecedores que o teu email é legitimamente teu. Não serve para lhes dizer que o teu email merece ser lido.
É por isso que cada domínio de outreach secundário precisa de email warmup — e não apenas de autenticação. O MailReach melhora a tua reputação de envio através de interações positivas e relevantes com uma rede de mais de 30.000 caixas de entrada reais do Google Workspace e Microsoft 365. É a camada de reputação que trabalha em conjunto com a autenticação para colocar os teus emails na caixa de entrada. Vê como o email warmup funciona e porque é que a qualidade da rede distingue um warmup eficaz dos restantes.
O exemplo mais simples é v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com, publicado como um registo TXT em _dmarc.yourdomain.com. O v=DMARC1 define a versão, o p=none indica aos recetores para monitorizarem sem tomar medidas, e o rua= é para onde vão os teus relatórios agregados. Este é o mínimo exigido pela Google, Yahoo e Microsoft para remetentes em massa.
Para começar e cumprir os requisitos dos fornecedores de caixas de entrada, sim. O p=none é também o ponto de partida correto porque te dá visibilidade sem perturbar o correio. Para ambientes de envio complexos com várias plataformas e fornecedores, um p=quarantine bem monitorizado costuma ser o destino certo a longo prazo. Não te apresses para o p=reject antes de os teus relatórios confirmarem que cada remetente está limpo.
Alinhamento. A passagem do SPF e do DKIM não chega – o domínio autenticado também tem de coincidir com o domínio no teu endereço De: visível. Isto falha mais frequentemente quando uma ferramenta de terceiros (CRM, helpdesk, plataforma de outreach) autentica o email sob o seu próprio domínio em vez do teu. A solução é configurar cada plataforma para assinar e autenticar usando especificamente o teu domínio.
Normalmente, não. Um registo no teu domínio organizacional rege os subdomínios por predefinição. Usa a tag sp= para definir uma política explícita para subdomínios – por exemplo, sp=reject para bloquear subdomínios de onde nunca envias emails. No entanto, os domínios de outreach secundários são totalmente separados e cada um precisa do seu próprio registo DMARC.
Sim. Aponta rua=mailto: para qualquer caixa de correio que controles e vais receber relatórios agregados gratuitamente. O senão é que chegam em XML bruto, o que é viável para um domínio pequeno, mas torna-se difícil de analisar à escala. Para um único domínio de envio com atividade limitada, a tua própria caixa de correio chega.
O DMARC é necessário, mas não suficiente. Sem ele, o Google, o Yahoo e a Microsoft podem rejeitar ou enviar o teu email para o spam antes mesmo de ser avaliado. Mas tê-lo não garante a caixa de entrada; isso depende da reputação do remetente e do conteúdo. O DMARC resolve o pilar da autenticação. A colocação na caixa de entrada depende dos três. Vê o nosso guia sobre como melhorar a entregabilidade de email para ficares a saber tudo.
Sim. Desde 5 de maio de 2025, a Microsoft exige SPF, DKIM e uma política DMARC mínima de p=none para remetentes em massa (mais de 5.000 emails/dia) para endereços Outlook.com, Hotmail.com e Live.com. As mensagens que não cumprem os requisitos vão inicialmente para o lixo eletrónico, sendo depois rejeitadas. O Google e o Yahoo adotaram regras semelhantes em fevereiro de 2024. Os três principais fornecedores de caixas de entrada exigem agora DMARC para emails em massa.
Cada email no spam equivale a um potencial cliente perdido. Começa hoje a melhorar a tua colocação no inbox com os testes de spam e o warmup do MailReach.
Seguir as regras não chega — descobre onde vão parar os teus emails e o que os está a impedir de avançar. Verifica a tua pontuação de spam com o nosso teste gratuito e melhora a deliverability com o warmup do MailReach.
Sem o email warmup adequado, as tuas melhores campanhas não servem para nada. Podes começar por testar a colocação na caixa de entrada e melhorá-la hoje mesmo.
Exemplo de Registo DMARC: Modelos para Todas as Políticas
.avif)
O que são as Diretrizes de Remetente do Gmail? (Guia 2026)
Vamos revelar a estratégia de envio e aquecimento mais eficiente para cold emails, para evitares parar no spam. Prepara-te, isto é super poderoso para melhorares a deliverability dos teus cold emails e conseguires óptimos resultados nas campanhas.
Deliverability de Email do SendGrid: O que os Remetentes de Cold Emails B2B Precisam de Saber em 2026
Rotação de Chaves DKIM: O Guia Sincero (E Porque é que a Maioria dos Remetentes de Cold Emails Não Precisa Dela)
Smart DMARC: A Chave para uma Melhor Deliverability e Proteção de Email
