Melhores práticas de e-mailConfigurar o DKIM no Office 365: Guia passo a passo Configure o DKIM no Office 365 em apenas 5 minutos. Siga este guia passo a passo de 2026 para publicar registos CNAME, ativar o DKIM e corrigir facilmente erros de configuração.
A Risotto é líder na abordagem «runtime-first» do Zero Trust, com monitorização via eBPF, aplicação dinâmica do princípio do privilégio mínimo e automatização da conformidade.
A Risotto é líder na abordagem «runtime-first» do Zero Trust, com monitorização via eBPF, aplicação dinâmica do princípio do privilégio mínimo e automatização da conformidade.
A Risotto é líder na abordagem «runtime-first» do Zero Trust, com monitorização via eBPF, aplicação dinâmica do princípio do privilégio mínimo e automatização da conformidade.
Uma configuração incorreta do DKIM é uma das causas mais comuns de falhas na entrega de e-mails em ambientes do Microsoft 365 (anteriormente Office 365).
Sem isso, as suas mensagens enviadas podem passar pelo SPF, mas continuar a ser assinaladas como não autenticadas. Isto aciona os filtros de spam, faz com que o alinhamento DMARC falhe e aumenta a exposição a falsificação de identidade e phishing.
A configuração do DKIM da Microsoft abrange vários portais de administração e, muitas vezes, requer o PowerShell para ser concluída.
Essa complexidade leva a configurações incompletas ou a longos atrasos na implementação de uma autenticação de domínio adequada.
Este guia simplifica o processo em seis passos claros e práticos. Irá aprender a gerar registos DKIM, publicar registos CNAME, ativar a assinatura e verificar se o seu domínio personalizado está a autenticar o correio eletrónico corretamente.
Antes de começar, certifique-se de que todas as configurações necessárias relativas ao domínio e à administração foram verificadas. Dedicar alguns minutos a verificar estes aspetos agora pode evitar horas de resolução de problemas mais tarde
Esta secção contém os passos essenciais para ativar a assinatura DKIM no seu domínio do Office 365. Siga cuidadosamente estes seis passos para garantir uma configuração correta, desde que tenha cumprido os pré-requisitos
Só irá ver os domínios que foram verificados no seu inquilino do Microsoft 365. Se o seu domínio não constar da lista, é provável que ainda não tenha sido adicionado ou verificado no Centro de Administração do Microsoft 365.
Assim que clicar nas definições de DKIM do seu domínio, a Microsoft irá apresentar dois registos CNAME obrigatórios; estes são as chaves públicas do seu domínio.
Normalmente, chamam-se:
Apontam para pontos finais de chaves DKIM alojados pela Microsoft, tais como:
Estes valores são gerados dinamicamente, pelo que deve copiá-los sempre exatamente como aparecem. Nunca os altere nem faça aproximações manualmente.
Nota: A interface de utilizador do DNS varia consoante o fornecedor, mas os nomes dos seletores seguem sempre este padrão:
Aviso do proxy da Cloudflare: Defina estas opções como «Apenas DNS». Não as encaminhe através do proxy, caso contrário a Microsoft não conseguirá validar os registos.
Além disso, se o DKIM já tiver sido configurado anteriormente (com outro fornecedor de e-mail), verifique primeiro se existem registos «selector1/2._domainkey» em conflito e elimine-os.
Após guardar os registos, inicia-se a propagação do DNS. Este processo pode demorar:
Pode verificar se os registos estão ativos utilizando ferramentas como:
Se for detetado o DNS, verá que o estado passa a ser «A assinar». Se a ativação falhar ou se receber um erro do tipo «Não existe um registo CNAME para esta configuração», é possível que o DNS ainda não se tenha propagado; por isso, tente novamente daqui a algumas horas.
Resultados da autenticação: ... dkim=pass ...
Além disso, certifique-se de que o domínio indicado em «d=» no cabeçalho «DKIM-Signature» corresponde ao seu domínio personalizado.
O DMARC é outro registo importante que precisa de configurar. Leia o nosso guia sobre o DMARC para uma configuração rápida.
Utilize esta secção para identificar e resolver rapidamente os problemas mais comuns relacionados com a configuração do DKIM, sem ter de interpretar erros pouco claros da Microsoft nem ter de adivinhar.
A Microsoft não consegue detetar os registos «selector1» e «selector2» necessários.
O DKIM está tecnicamente ativo, mas a Microsoft continua a utilizar o domínio predefinido do inquilino em vez do seu domínio personalizado.
O DNS está ativo, mas os cabeçalhos dos e-mails apresentam «dkim=fail» ou não apresentam qualquer assinatura.
O e-mail está a ser enviado a partir de um domínio que não tem o DKIM ativado.
Para confirmar se tudo está a funcionar corretamente, envie um e-mail de teste e submeta-o ao teste de spam do MailReach. Este irá indicar imediatamente se o DKIM está a ser aprovado e assinalar quaisquer problemas de DNS ou de assinatura antes que estes afetem a entrega na caixa de entrada.
Este método destina-se a administradores que gerem vários domínios, automatizam a configuração entre inquilinos ou gerem domínios que não estão visíveis na interface do utilizador. Se estiver a gerir um único domínio, o portal do Defender é mais rápido e fiável, enquanto o PowerShell oferece um maior controlo administrativo.
Comece por estabelecer ligação ao PowerShell do Exchange Online utilizando as suas credenciais de administrador do Microsoft 365. Isto permite-lhe visualizar e gerir configurações DKIM em grande escala.
Execute um comando para listar todas as configurações DKIM no seu tenant. Isto ajuda-o a identificar quais os domínios que já têm o DKIM configurado e quais os que ainda necessitam de atenção.
Se o seu domínio não constar da lista, terá de inicializar o DKIM manualmente. Isto cria a configuração e indica à Microsoft para preparar as chaves DKIM para o seu domínio personalizado.
Depois de inicializados, pode recuperar os registos CNAME exatos «selector1» e «selector2» para esse domínio. Estes têm de ser publicados nas suas definições de DNS, tal como no método padrão.
Depois de confirmar que os registos foram propagados, ative a assinatura DKIM para o domínio. Isto ativa a configuração e dá início à assinatura dos e-mails enviados.
A Microsoft suporta a rotação de chaves para uma maior segurança. Se necessário, pode iniciar uma rotação através de um único comando do PowerShell. Desde que ambos os seletores permaneçam no DNS, a transição é imperceptível.
O PowerShell é uma opção eficaz para integrar vários domínios ou gerir um inquilino global.
Mesmo com a automatização, o DKIM representa apenas um dos componentes da sua estratégia de autenticação de e-mail. O MailReach ajuda-o a monitorizar a reputação do domínio e a classificação de spam em grande escala, especialmente quando gere grandes volumes para várias marcas ou clientes.
Estabeleça expectativas realistas quanto aos prazos. A configuração do DKIM é rápida da sua parte, mas os fornecedores de caixas de correio podem não reconhecer as alterações de imediato
Assim que publicar os registos CNAME no seu DNS, estes podem entrar em vigor em poucos minutos ou, em alguns casos, demorar até dois dias inteiros. Isso depende dos valores de TTL e do ciclo de atualização do seu fornecedor de serviços DNS.
Até que os registos se propaguem globalmente, a Microsoft não permite ativar o DKIM. Se continuar a observar erros de DNS após a publicação dos registos, trata-se normalmente de um atraso na propagação e não de uma configuração incorreta.
Depois de ativar o DKIM no portal do Microsoft 365 e de o sistema detetar os seus registos, a assinatura entra em vigor imediatamente. A partir desse momento, todas as novas mensagens enviadas incluirão uma assinatura DKIM.
No entanto, o DKIM não se aplica retroativamente. Qualquer e-mail enviado antes da ativação do DKIM permanecerá sem assinatura.
Ao alternar as chaves DKIM, preveja um período de tempo adicional para a transição. A Microsoft poderá adiar a assinatura ativa com o novo seletor por um período de até quatro dias, a fim de garantir que as alterações no DNS sejam totalmente reconhecidas.
Os registos «selector1» e «selector2» devem permanecer no DNS para evitar qualquer interrupção durante a renovação da chave.
Nas primeiras 24 horas após a configuração, os fornecedores de serviços de e-mail, como o Gmail ou o Outlook, poderão ainda considerar o seu domínio como não verificado, especialmente se ainda não conseguirem detetar os registos DKIM. Se observar uma distribuição mista na caixa de entrada ou taxas de abertura mais baixas durante este período, não entre em pânico.
Estes são hábitos práticos e de longo prazo para manter a sua configuração DKIM em bom estado, especialmente quando gere a capacidade de entrega em várias caixas de correio ou unidades de negócio. Cada um inclui um exemplo prático para que saiba quando é importante.
O Microsoft 365 (anteriormente Office 365) utiliza, por predefinição, chaves DKIM de 2048 bits. Recomenda-se manter esta configuração. Alguns sistemas mais antigos ainda utilizam chaves de 1024 bits, mas muitos fornecedores (incluindo o Gmail) consideram-nas agora pouco seguras.
Exemplo: Se o seu domínio tiver sido configurado anteriormente com DKIM de 1024 bits noutra plataforma (como o cPanel), mude para 2048 bits ao migrar para o Office 365. Uma incompatibilidade na força da chave pode causar problemas de entrega durante a fase de aquecimento ou ao aplicar o DMARC.
A rotação de chaves reduz o risco de violação de segurança e ajuda a manter a conformidade com as normas aplicáveis.
Exemplo: Se estiver a enviar e-mails transacionais ou sujeitos a regulamentação (em setores como o financeiro, a saúde ou a educação), a rotação das chaves DKIM a cada 6 a 12 meses pode satisfazer as auditorias internas e as análises de segurança. Além disso, reduz a exposição de chaves desatualizadas durante transições de domínio ou de TI.
Para que o DKIM seja aprovado na verificação de alinhamento do DMARC, o domínio na assinatura DKIM (d=) deve corresponder ao domínio no seu endereço «De».
Exemplo: Se enviar a partir de marketing@brand.com, mas o seu DKIM continuar a ser assinado por onmicrosoft.com, o DMARC irá falhar. Isto acontece frequentemente quando os administradores ignoram o último passo da ativação do DKIM para o domínio personalizado. Esta situação deve ser corrigida antes de aplicar uma política DMARC com p=reject.
Mesmo depois de ativar o DKIM, mantenha os registos CNAME no seu DNS. O Microsoft 365 utiliza ambos os seletores para permitir uma rotação de chaves sem interrupções.
Exemplo: Um membro júnior da equipa pode eliminar o «selector1._domainkey», pensando que é redundante. Isto interrompe a renovação da chave e pode fazer com que a assinatura falhe sem aviso prévio. Deixe sempre ambos os registos publicados, a menos que a Microsoft indique explicitamente o contrário.
O DKIM é uma das componentes do perfil de confiança do seu domínio. Para garantir que os e-mails cheguem à caixa de entrada, combine-o com:
Exemplo: Se estiver a iniciar uma campanha de contacto não solicitado a partir de um novo domínio, o DKIM, por si só, não impedirá a filtragem de spam. A sua combinação com o SPF, um registo DMARC (p=none para começar) e uma ferramenta de «aquecimento» de e-mail proporciona aos fornecedores de caixas de correio sinais consistentes ao longo do tempo. Isto é especialmente importante se os seus volumes de envio aumentarem rapidamente.
A autenticação forte é a sua base técnica, mas é apenas uma parte do processo de colocação na caixa de entrada. O MailReach ajuda-o a mantê-la através de testes diários de spam, acompanhamento da reputação do domínio e um processo de aquecimento automatizado que respeita as suas configurações de DKIM, SPF e DMARC.
Configurar o DKIM no Office 365 é rápido, mas o seu impacto vai-se acumulando ao longo do tempo. Acabou de adicionar uma camada essencial de autenticação que os fornecedores de caixas de correio verificam ao determinar se os seus e-mails não solicitados vão parar à caixa de entrada ou à pasta de spam.
O DKIM constitui a sua base técnica e verifica a identidade do seu domínio. No entanto, construir uma reputação de remetente requer um esforço contínuo.
O verdadeiro desafio começa após a configuração. Novos domínios, novas caixas de entrada ou picos repentinos de volume podem continuar a ativar os filtros de spam, mesmo com o DKIM implementado. Sem testes e monitorização consistentes, não saberá se a sua reputação está a melhorar ou a deteriorar-se silenciosamente.
É aqui que podemos ajudar. Está pronto para dar o próximo passo?
O MailReach automatiza o processo de aquecimento da caixa de entrada, os testes DKIM e SPF e a monitorização do estado dos domínios junto de vários fornecedores de e-mail, para garantir que os e-mails são entregues nas caixas de entrada dos seus potenciais clientes.
Cada e-mail que vai parar à pasta de spam equivale a um potencial cliente perdido. Comece hoje mesmo a melhorar a sua colocação na caixa de entrada com os testes de spam e o processo de aquecimento do MailReach.
Seguir as regras não é suficiente — saiba onde é que os seus e-mails vão parar e o que é que os está a impedir de chegar ao destino. Verifique a sua pontuação de spam com o nosso teste gratuito e melhore a capacidade de entrega com o processo de aquecimento do MailReach.
Sem um aquecimento adequado, as suas melhores campanhas não servem de nada. Pode começar por testar a localização na caixa de entrada e começar a melhorá-la ainda hoje.
O facto de o seu endereço estar na lista não significa que a sua capacidade de entrega esteja comprometida. Faça um teste de spam para verificar se os seus e-mails estão realmente a chegar ao destino — ou se estão a ser bloqueados.
Métodos de autenticação de e-mail explicados: SPF, DKIM, DMARC e muito mais (Guia de 2026)
Deve incluir um link para cancelar a subscrição nos e-mails não solicitados?
5 passos para configurar o registo MX do Google Workspace em 2026
Configurar o DKIM no Office 365: Guia passo a passo
7 passos práticos para configurar registos MX para o Office 365
As 5 melhores ferramentas de colocação na caixa de entrada para reduzir a taxa de spam em 2026
