Como configurar o DKIM e, finalmente, fazer com que os seus e-mails não solicitados cheguem às caixas de entrada

Se estiver a configurar um novo domínio para o envio de e-mails não solicitados e o seu endereço de e-mail for algo como outreach.suaempresa.com, a primeira coisa que precisa de fazer é autenticá-lo corretamente. 

Sem isso, os fornecedores de serviços de e-mail, como o Gmail e o Outlook, provavelmente irão considerar os seus e-mails como suspeitos. E com os filtros a tornarem-se mais rigorosos em 2024, até mesmo os remetentes com baixo volume de envios estão a ver e-mails legítimos a acabar na pasta de spam.

A configuração do DKIM permite comprovar que os seus e-mails são autênticos, não falsificados nem adulterados.

Se não estiver presente, talvez já estejas a ver:

❌ Erros do tipo «DKIM em falta» na sua ferramenta de aquecimento 

❌ Os cabeçalhos do Gmail apresentam «dkim=fail»

❌ Campanhas com desempenho insatisfatório, caracterizadas por baixas taxas de abertura, elevada classificação como spam e ausência de respostas

Neste guia, vamos explicar-lhe, passo a passo, como configurar o DKIM, consoante a sua configuração:

• Se estiver a utilizar o Google Workspace, vamos mostrar-lhe como gerar e ativar o DKIM na consola de administração

• Se estiver a utilizar o Microsoft 365, vamos explicar-lhe como configurá-lo no portal do Defender

• Se utilizar um domínio personalizado no GoDaddy ou no Cloudflare, vamos mostrar-lhe como adicionar manualmente os registos corretos, mesmo que nunca tenha lidado com o DNS anteriormente

Introdução rápida: Escolha o seu método DKIM

• Utiliza o Gmail (Google Workspace)? Configure-o na Consola de Administração do Google
  
• Utiliza o Outlook (Microsoft 365)? Configure-o no Microsoft Defender + DNS
  
• Está a utilizar um domínio personalizado com ferramentas como o Instantly, o Smartlead ou o ActiveCampaign? Adicione registos DKIM no seu fornecedor de DNS (como o GoDaddy)

Como funciona o DKIM

Sempre que envia um e-mail, o DKIM adiciona-lhe uma assinatura digital invisível. Essa assinatura comprova duas coisas:

1. O e-mail veio mesmo do teu domínio
   
2. O conteúdo não foi alterado depois de teres clicado em «Enviar»

Eis como funciona, em termos simples:

• O seu sistema de e-mail utiliza uma chave privada para «assinar» cada e-mail nos bastidores.
  
• Essa assinatura está anexada ao cabeçalho do e-mail (não a vês, mas os servidores de e-mail sim).
  
• Quando o e-mail é recebido, o servidor de e-mail procura a sua chave pública, que está armazenada nos registos DNS do seu domínio.
  
• Utiliza a chave pública para verificar a assinatura.
  
  
  • Se a verificação for bem-sucedida: o e-mail passa na verificação DKIM
    
  • Se isso não acontecer: pode ser sinalizado como suspeito
    

É frequente veres isto aparecer nos cabeçalhos dos teus e-mails com um formato semelhante a este:
dkim=pass header.i=@yourcompany.com

Se essa linha não estiver presente ou indicar «dkim=fail», é mais provável que os seus e-mails sejam encaminhados para a pasta de spam ou sejam totalmente bloqueados.

Por que é que o DKIM é mais importante do que nunca

Em 2024, o Gmail e o Yahoo começaram a aplicar requisitos rigorosos a quem enviasse mais de 5 000 e-mails por dia, incluindo contactos não solicitados e tráfego de aquecimento. O DKIM já não é opcional se quiser que os seus e-mails cheguem ao destino.

Mesmo que envie menos de 5 000 e-mails, não passar nas verificações DKIM continua a colocá-lo no caminho certo para o spam. É por isso que ferramentas de entregabilidade como o MailReach verificam se existe um registo DKIM válido.

Se estiver a ver um erro «DKIM em falta» no MailReach, isso significa que os seus e-mails não estão assinados e que caixas de entrada como o Gmail não conseguem verificar se são realmente seus.

Enquanto isso não for resolvido, as suas comunicações serão invisíveis ou marcadas como não fiáveis. O DKIM é um dos primeiros e mais importantes passos para que sejam vistas.

Antes de configurar o DKIM: o que vai precisar

1. Acesso às definições de DNS do seu domínio

Terá de iniciar sessão no seu fornecedor de DNS, como o GoDaddy, o Cloudflare ou o Namecheap, para adicionar um registo TXT ou CNAME. Se não tiver acesso, peça-o à pessoa responsável pela gestão do seu domínio.

2. Acesso à sua plataforma de envio de e-mails

As chaves DKIM são geradas na plataforma que envia os seus e-mails, seja o Google Workspace, o Microsoft 365, o Zoho ou o Mailgun. 

Essa plataforma tem de estar configurada para assinar os seus e-mails antes de adicionar o registo DNS.

3. Clareza sobre quem está a enviar e-mails a partir do seu domínio

Os e-mails de abordagem a frio podem ser enviados através de ferramentas como o Instantly, o Smartlead ou o Lemlist. Os e-mails de marketing podem ser enviados a partir do Mailchimp ou do Brevo.

Os e-mails transacionais podem ser encaminhados através do SendGrid, do Postmark ou do Amazon SES.

Cada uma delas necessita, normalmente, do seu próprio registo DKIM com um seletor único. Se estiver a utilizar várias ferramentas, terá de adicionar vários registos.

4. Uma forma de verificar se está a funcionar

Não dês simplesmente por certo que está a funcionar depois de publicares o registo. É aconselhável verificares se os e-mails estão, de facto, a ser assinados.

Utilize o Verificador DKIM gratuito do MailReach para o fazer depois de concluir a configuração. Explicamos como fazê-lo mais adiante neste artigo (desça até ao final da página). 

Como configurar o DKIM

A configuração do DKIM varia consoante o seu fornecedor de e-mail. Abaixo encontram-se as plataformas mais comuns. Escolha a que utiliza e siga os passos à risca. 

Configurar o DKIM no Google Workspace (Gmail)

1. Inicie sessão na Consola de Administração do Google utilizando uma conta de superadministrador. Esta é a conta de administrador principal utilizada para configurar o Google Workspace para o seu domínio. Se não tiver acesso a essa conta, terá de pedir ajuda ao seu administrador de TI ou ao gestor do domínio.

Assim que estiver a entrar, aceda a: Aplicações → Google Workspace → Gmail → Autenticar e-mail
Aqui, irá ver uma lista de domínios associados à sua conta. Selecione o domínio que utiliza para enviar e-mails (como yourcompany.com). Se o DKIM ainda não estiver configurado, irá ver um botão com a indicação «Gerar novo registo». Clique nesse botão.

 2. Ser-lhe-á agora pedido que escolha duas opções:

• Um nome de seletor (basta usar o «google», que é o predefinido. Não há necessidade de o personalizar, a menos que tenha um motivo específico)
• Um comprimento de chave (escolha 2048 bits, que é mais seguro e recomendado pela Google)
  
  

Clique em «Gerar». O Google irá, então, apresentar-lhe duas informações importantes:

• Um nome de anfitrião DNS (por exemplo, google._domainkey.yourcompany.com)
  
  
• Um valor de registo TXT — uma cadeia de caracteres muito longa que começa por v=DKIM1; k=rsa; p=... Esta é a sua chave pública DKIM e, agora, tem de a publicar para que os servidores de e-mail a possam encontrar.

3. Abra o painel de controlo do seu fornecedor de DNS. É aqui que o seu domínio está alojado. Os mais comuns são o GoDaddy, o Cloudflare, o Namecheap ou o Google Domains. Vai adicionar aí um registo TXT, o que pode parecer intimidante, mas é apenas uma tarefa de copiar e colar.

4. No seu painel de controlo de DNS, clique em «Adicionar novo registo» e escolha:

• Tipo: TXT
  
• Nome / Anfitrião: google._domainkey (não inclua o seu domínio completo, a menos que o seu fornecedor o exija — muitos preenchem automaticamente esta parte)
  
• Valor: cole a sequência completa da chave que o Google lhe forneceu
  

Guarde o registo. As alterações no DNS costumam propagar-se no prazo de 5 a 30 minutos, mas, em casos raros, podem demorar até 24 horas.

5. Agora, volte à Consola de Administração do Google e clique em «Iniciar autenticação». Isto indica ao Google para começar a assinar todos os seus e-mails enviados com essa chave DKIM. Se aparecer um erro, é provável que seja porque o registo DNS ainda não se propagou. Aguarde 10 a 30 minutos e tente novamente.

6. Assim que a autenticação começar, o Google apresentará o estado «A autenticar e-mail com DKIM». Isso significa que está ativo.

7. Para confirmar que tudo está a funcionar, envie um e-mail de teste a partir do seu domínio para uma conta do Gmail (como a sua conta pessoal). Abra o e-mail, clique nos três pontos no canto superior direito e selecione «Mostrar original». Desça a página e procure esta linha:

dkim=pass header.i=@yourcompany.com

Se vir isso, está tudo pronto. O seu domínio está agora protegido por DKIM e é mais provável que os seus e-mails cheguem à caixa de entrada, em vez de irem para a pasta de spam.

Só precisa de fazer isto uma vez por domínio e está tudo resolvido. O DKIM não sofre alterações frequentes, mas recomendamos que faça um teste rápido de spam de e-mail semanalmente ou após alterações no DNS. Isto ajuda a detetar problemas acidentais antes que afetem a capacidade de entrega.

✅ Configurar o DKIM no Microsoft 365 (Outlook / Office 365)

Se o seu e-mail profissional funciona com o Microsoft 365 (por exemplo, o Outlook), as suas mensagens são, por predefinição, assinadas com a chave DKIM partilhada da Microsoft associada a onmicrosoft.com, o que não é o ideal, especialmente se estiver a fazer contactos não solicitados. É aconselhável utilizar a chave DKIM do seu próprio domínio para que as suas mensagens pareçam legítimas e fiáveis, especialmente para o Gmail e outros filtros de spam.

1. Comece por iniciar sessão no portal do Microsoft 365 Defender como administrador:
   
   
2. Aceda a https://security.microsoft.com → e, em seguida, aceda a:
   E-mail e Colaboração → Políticas e Regras → Políticas de Ameaças → DKIM
   
   
3. Aqui, irá ver uma lista dos seus domínios de e-mail. Encontre o domínio a partir do qual envia e-mails (por exemplo, yourcompany.com) e clique nele.
   
   
4. Se o DKIM ainda não tiver sido configurado, irá ver uma opção para «Criar chaves DKIM». Clique nessa opção. A Microsoft irá agora gerar dois registos DNS que terá de adicionar às definições DNS do seu domínio. Trata-se de registos CNAME, e não TXT — e terá de adicionar ambos.
   
   
5. A Microsoft irá indicar-lhe os valores a utilizar. Para cada um deles, irá obter:

• Um nome/host do tipo selector1._domainkey.yourcompany.com
  
  
• A Points to / Value like: selector1-yourcompany-com._domainkey.<region>.onmicrosoft.com
  
  

6. Copie estes dois registos: um para o selector1 e outro para o selector2.
7. Em seguida, aceda ao seu fornecedor de DNS (por exemplo, GoDaddy, Cloudflare, Namecheap — onde quer que o seu domínio seja gerido).
8. Adicione dois novos registos CNAME, utilizando os nomes e valores exatos fornecidos pela Microsoft:
   
   

• Tipo: CNAME
  
  
• Nome: selector1._domainkey
  
  
• Value: selector1-yourcompany-com._domainkey.<region>.onmicrosoft.com
  

• Tipo: CNAME
  
  
• Nome: selector2._domainkey
  
  
• Value: selector2-yourcompany-com._domainkey.<region>.onmicrosoft.com
  Save both records. Make sure to replace <region> with what Microsoft shows (like europe or us), and match your actual domain. Once added, give the records some time to propagate—5 minutes to a few hours depending on your DNS provider.
  
  

9. Assim que os registos estiverem guardados e tiverem tido algum tempo para serem propagados, volte ao portal do Microsoft Defender onde criou as chaves.
10. Aí, irá ver agora um botão que diz algo como «Assinar mensagens para este domínio com assinaturas DKIM». Coloque o botão na posição «Ligado».

Se tudo estiver configurado corretamente, a Microsoft irá confirmar que o DKIM está agora ativo. A partir desse momento, todos os e-mails enviados a partir do seu domínio através do Microsoft 365 serão assinados utilizando as chaves DKIM próprias do seu domínio.

Para verificar se tudo está a funcionar corretamente:

• Enviar um e-mail de teste para uma caixa de entrada do Gmail ou do Yahoo
  
  
• Abra a mensagem → clique no menu com os três pontos →«Mostrar original»
  
  
• Procure esta linha:
  dkim=pass header.i=@yourcompany.com
  
  

Se vir «dkim=pass», parabéns, está tudo a funcionar.

Assim que estiver concluído, não terá de voltar a mexer nisso, a menos que altere o seu DNS ou queira fazer a rotação das chaves por motivos de segurança. A Microsoft irá tratar da rotação das chaves automaticamente em segundo plano, utilizando esses dois seletores (selector1 e selector2), pelo que está protegido.

Por que é importante: sem esta configuração, os seus e-mails podem ser sinalizados como suspeitos, especialmente com as novas regras do Gmail relativas a remetentes em massa. O DKIM ajuda-o a construir uma reputação sólida como remetente, o que é fundamental se estiver a realizar campanhas de contacto a frio ou a preparar as caixas de entrada utilizando ferramentas de «email warmup », como o MailReach.

Configurar o DKIM com outros fornecedores de e-mail (GoDaddy, Zoho, Mailchimp)

Mesmo que não utilize o Google Workspace ou o Microsoft 365 para enviar e-mails, terá de configurar o DKIM

A maioria dos fornecedores, incluindo o serviço de alojamento de e-mail da GoDaddy, o Zoho Mail, o Mailchimp, o SendGrid ou o Brevo, gera um DKIM que terá de copiar e colar nas definições do seu domínio.

Vamos explicar-lhe três das configurações mais comuns que não envolvem o Google nem a Microsoft:

Alojamento de e-mail da GoDaddy (cPanel ou GoDaddy Webmail)

Se comprou o seu domínio e o seu e-mail através da GoDaddy e utiliza o serviço de e-mail integrado (Webmail ou baseado no cPanel), eis o que deve fazer:

1. Inicie sessão na sua conta GoDaddy e abra o painel do cPanel (para planos com cPanel) ou o painel do Email & Office (para o GoDaddy Webmail).
   
2. No cPanel, procure uma secção chamada Capacidade de entrega de e-mails ou Autenticação de e-mail.
   É aqui que encontrará as definições de DKIM, caso existam.
   
   
   • Se o DKIM já estiver ativado, o cPanel irá mostrar o registo TXT existente e indicar se este está a funcionar.
     
   • Se não for o caso, clique em «Ativar DKIM» ou «Reparar».
     
3. Se a GoDaddy fornecer o registo DKIM manualmente:
   
   • Copie o Nome / Host (algo como default._domainkey.yourdomain.com)
     
   • Copie o valor do ficheiro TXT (começa com v=DKIM1; k=rsa; p=...)
     
4. Vai ao teu Definições de DNS do GoDaddy (Os meus produtos → Domínio → Gerir DNS).
   
   • Clique em «Adicionar» → Selecione «TXT»
     
   • Host: o seletor + _domainkey (por exemplo, default._domainkey)
     
   • Valor: cole a sequência de caracteres da chave, do passo 3
     
   • Guarde e aguarde. O DNS costuma atualizar-se em poucos minutos, mas pode demorar até 48 horas

Zoho Mail

O Zoho Mail é muito utilizado por startups e pequenas empresas. Eis como configurar o DKIM no Zoho:

1. Aceda à Consola de Administração do Zoho Mail
   
2. Aceda a:
   Administração de e-mail > Domínios > [o seu domínio] > DKIM
   
3. Clique em «Adicionar seletor» e escolha um nome para o seletor — algo como «zoho» ou «padrão» serve perfeitamente.
   
4. O Zoho irá, então, mostrar-lhe o registo DNS a publicar:
   
   • Host: zoho._domainkey.yourdomain.com (ou inclua o domínio completo, se necessário)
     
   • Tipo: TXT
     
   • Valor: uma cadeia de caracteres longa que começa com v=DKIM1; p=...
     
5. Aceda ao seu fornecedor de DNS e adicione um TXT gravar com:
   
   
   • Anfitrião: zoho._domainkey
     
   • Valor: colar a chave do Zoho
     
6. De volta ao Zoho Admin, clique em «Verificar» assim que o registo tiver sido propagado.
   

✅ Após a verificação, o Zoho começará a assinar todos os e-mails enviados com DKIM.

Plataformas de marketing por e-mail e transações (Mailchimp, SendGrid, Brevo, etc.)

Estas plataformas normalmente disponibilizam vários registos DNS para publicar para os registos DKIM (e SPF ou DMARC). O formato mais comum envolve dois registos CNAME:

1. No painel de controlo da sua ferramenta de e-mail, aceda à secção «Autenticação de domínio » ou «Verificação do remetente ».
   (No Mailchimp: Website > Domínios > Autenticar)
   
   
2. Adicione o seu domínio e a ferramenta irá gerar os registos necessários.
   
   • Normalmente, isto inclui 1 a 2 registos CNAME para o DKIM
     
   • Por vezes, inclui também um registo TXT para o SPF
     
3. Copie cada registo e adicione-os às definições DNS do seu domínio.
   
   Exemplo (Mailchimp)
   
   
   • CNAME 1: k1._domainkey.yourdomain.com → dkim.mailchimp.com
     
   • CNAME 2: k2._domainkey.yourdomain.com → dkim2.mailchimp.com
     
4. Depois de adicionado, volte à plataforma e clique em «Verificar » ou «Autenticar»
   

• No caso da SendGrid, da Brevo e da maioria das outras plataformas, a configuração é semelhante: apresentam pares de host/valor, frequentemente mte1._domainkey / dkim1, etc., que deve introduzir como CNAMEs no seu painel de DNS

SPF vs DKIM vs DMARC: Qual é a diferença?

Estas três siglas surgem frequentemente em conjunto e funcionam melhor quando utilizadas em conjunto. Eis o que significam:

Precisas dos três?

Sim, idealmente. Mas o DKIM é frequentemente o mais importante no que diz respeito à capacidade de entrega e à confiança no domínio, especialmente no caso do Gmail e do Outlook.

Se estiver a começar do zero, comece pelo DKIM e pelo SPF. Depois, adicione o DMARC quando estiver pronto para monitorizar e aplicar a política.

Não deixes que uma configuração perfeita acabe em spam   

A esta altura, já superaste as partes mais difíceis: configuraste o DKIM, autenticaste o teu domínio e começaste a «aquecer» a tua caixa de entrada. Essa é a base.

Mas a capacidade de entrega consistente é um processo contínuo.

O que é que a mantém forte?

• Padrões de envio estáveis (sem picos repentinos de volume)

• Sinais de interação consistentes (aberturas, respostas, baixo nível de spam)

• Comportamento adequado do remetente (sem listas de remetentes indesejados nem links na lista negra)

O MailReach monitoriza tudo isto nos bastidores. Se a reputação da sua caixa de entrada começar a deteriorar-se, saberá o que está errado antes que isso prejudique as suas campanhas. 

Utilize o MailReach para se manter na caixa de entrada, e não apenas para lá chegar uma vez.

Inscreva-se já no MailReach.