Melhores Práticas de EmailConfigurar DKIM no Office 365: Guia Passo a Passo Configura o DKIM no Office 365 em apenas 5 minutos. Segue este guia passo a passo para 2026 para publicar registos CNAME, ativar o DKIM e corrigir erros de configuração facilmente.
O Risotto lidera em Zero Trust focado em runtime com monitorização eBPF, aplicação dinâmica de privilégios mínimos e automação de conformidade.
O Risotto lidera em Zero Trust focado em runtime com monitorização eBPF, aplicação dinâmica de privilégios mínimos e automação de conformidade.
O Risotto lidera em Zero Trust focado em runtime com monitorização eBPF, aplicação dinâmica de privilégios mínimos e automação de conformidade.
Um DKIM mal configurado é uma das causas mais comuns de falhas na entregabilidade de emails em ambientes Microsoft 365 (antigo Office 365).
Sem ele, as tuas mensagens de saída podem passar no SPF, mas continuar a ser sinalizadas como não autenticadas. Isto aciona os filtros de spam, falha o alinhamento de DMARC e aumenta a exposição a spoofing e phishing.
A configuração de DKIM da Microsoft abrange vários portais de administração e muitas vezes requer o PowerShell para ser concluída.
Essa complexidade resulta em configurações incompletas ou em grandes atrasos na implementação da autenticação de domínio adequada.
Este guia simplifica o processo em seis passos claros e práticos. Vais aprender a gerar registos DKIM, publicar CNAMEs, ativar a assinatura e verificar se o teu domínio personalizado está a autenticar os emails corretamente.
Antes de começares, certifica-te de que todas as definições de domínio e de administrador necessárias estão verificadas. Perder alguns minutos a verificar isto agora pode evitar horas de resolução de problemas mais tarde
Esta secção contém os passos essenciais para ativar a assinatura DKIM no teu domínio do Office 365. Segue estes seis passos com atenção para garantir a configuração correta, desde que tenhas concluído os pré-requisitos
Só vais ver os domínios que foram verificados no teu tenant do Microsoft 365. Se o teu domínio não aparecer, é provável que ainda não tenha sido adicionado ou verificado no centro de administração do Microsoft 365.
Assim que clicares nas definições de DKIM do teu domínio, a Microsoft vai mostrar dois registos CNAME obrigatórios; estas são as chaves públicas do teu domínio.
Normalmente têm o nome:
Apontam para endpoints de chaves DKIM alojados na Microsoft, tais como:
Estes valores são gerados de forma dinâmica, por isso copia-os sempre exatamente como aparecem. Nunca os modifiques nem tentes aproximá-los manualmente.
Nota: A interface de DNS de cada fornecedor é diferente, mas os nomes dos seletores seguem sempre este padrão:
Aviso do Proxy da Cloudflare: Define estes para 'Apenas DNS' (DNS Only). Não uses proxy neles, caso contrário a Microsoft não conseguirá validar os registos.
Além disso, se o DKIM já tiver sido configurado anteriormente (com outro fornecedor de email), verifica e remove primeiro quaisquer registos selector1/2._domainkey em conflito.
Depois de guardares os registos, a propagação do DNS começa. Isto pode demorar:
Podes verificar se os registos estão ativos usando ferramentas como:
Se o DNS for detetado, vais ver o estado a mudar para “A assinar”. Se o botão falhar ou se receberes um erro do tipo “O registo CNAME não existe para esta configuração,” pode ser que o DNS ainda não se tenha propagado, por isso tenta novamente daqui a algumas horas.
Authentication-Results: ... dkim=pass ...
Confirma também se o domínio indicado em d= no cabeçalho DKIM-Signature corresponde ao teu domínio personalizado.
O DMARC é outro registo importante que precisas de configurar. Lê o nosso guia de DMARC para uma configuração rápida.
Usa esta secção para identificar e resolver rapidamente os problemas mais comuns de configuração de DKIM, sem teres de decifrar erros pouco claros da Microsoft ou adivinhar.
A Microsoft não conseguedetetar os registos selector1 e selector2 necessários.
O DKIM está tecnicamente ativo, mas a Microsoft continua a usar o domínio de inquilino predefinido em vez do teu domínio personalizado.
O DNS está ativo, mas os cabeçalhos dos emails mostram dkim=fail ou nenhuma assinatura.
O email está a ser enviado a partir de um domínio que não tem o DKIM ativado.
Para confirmar que está tudo a funcionar corretamente, envia um email de teste e passa-o pelo teste de spam da MailReach. Ele vai indicar imediatamente se o DKIM está a passar e sinalizar quaisquer problemas de DNS ou de assinatura antes que afetem a entrega na caixa de entrada.
Este método destina-se a administradores que gerem vários domínios, automatizam a configuração entre tenants ou gerem domínios que não aparecem na interface. Se estás a gerir apenas um domínio, o portal do Defender é mais rápido e fiável, enquanto o PowerShell dá-te maior controlo administrativo.
Começa por te ligar ao Exchange Online PowerShell usando as tuas credenciais de administrador do Microsoft 365. Isto permite-te ver e gerir as configurações de DKIM à escala.
Executa um comando para listar todas as configurações DKIM no teu tenant. Isto ajuda-te a identificar quais os domínios que já têm o DKIM configurado e quais os que ainda precisam de atenção.
Se o teu domínio não aparecer na lista, terás de inicializar o DKIM manualmente. Isto cria a configuração e diz à Microsoft para preparar as chaves DKIM para o teu domínio personalizado.
Assim que estiver inicializado, podes obter os registos CNAME exatos de selector1 e selector2 para esse domínio. Estes precisam de ser publicados nas tuas definições de DNS, tal como no método standard.
Depois de confirmares que os registos foram propagados, ativa a assinatura DKIM para o domínio. Isto ativa a configuração e começa a assinar o correio de saída.
A Microsoft suporta a rotação de chaves para uma segurança reforçada. Se precisares, podes acionar uma rotação com um único comando do PowerShell. Contanto que ambos os seletores permaneçam no DNS, a transição é totalmente fluida.
O PowerShell é uma opção muito útil para integrar vários domínios ou gerir um tenant global.
Mesmo com automação, o DKIM é apenas uma parte da tua estratégia de autenticação de emails. O MailReach ajuda-te a monitorizar a reputação do domínio e a colocação no spam à escala, especialmente quando geres vários volumes em diferentes marcas ou clientes.
Define expectativas realistas quanto ao tempo. A configuração do DKIM é rápida do teu lado, mas os fornecedores de email podem não reconhecer as alterações de imediato
Assim que publicas os registos CNAME no teu DNS, podem demorar alguns minutos ou, em alguns casos, até dois dias inteiros a fazer efeito. Isto depende dos valores de TTL e do ciclo de atualização do teu fornecedor de DNS.
Até que os registos se propagem globalmente, a Microsoft não te vai deixar ativar o DKIM. Se continuares a ver erros de DNS depois de publicares os registos, normalmente deve-se a um atraso na propagação e não a um erro de configuração.
Depois de ativares o DKIM no portal do Microsoft 365 e o sistema detetar os teus registos, a assinatura começa a funcionar de imediato. A partir daí, todos os novos emails enviados incluirão uma assinatura DKIM.
No entanto, o DKIM não se aplica de forma retroativa. Qualquer email enviado antes de ativares o DKIM continuará sem assinatura.
Ao fazeres a rotação das chaves DKIM, dá um margen de tempo extra para a transição. A Microsoft pode atrasar a assinatura ativa com o novo seletor até quatro dias para garantir que as alterações de DNS são totalmente reconhecidas.
Tanto o registo selector1 como o selector2 devem permanecer no DNS para evitar qualquer interrupção durante a substituição das chaves.
Nas primeiras 24 horas após a configuração, os fornecedores de email como o Gmail ou o Outlook ainda podem tratar o teu domínio como não verificado, sobretudo se ainda não conseguirem detetar os registos DKIM. Se reparares numa colocação mista no inbox ou em taxas de abertura mais baixas durante este período, não entres em pânico.
Estes são hábitos práticos e de longo prazo para manter a tua configuração de DKIM saudável, especialmente quando estás a gerir a deliverability em várias caixas de correio ou unidades de negócio. Cada um inclui um exemplo prático para saberes quando é que isso importa.
O Microsoft 365 (antigo Office 365) usa chaves DKIM de 2048-bit por predefinição. É recomendado manter esta definição. Alguns sistemas antigos ainda usam chaves de 1024-bit, mas muitos fornecedores (incluindo o Gmail) já consideram essas fracas.
Exemplo: Se o teu domínio foi configurado anteriormente com DKIM de 1024-bit noutra plataforma (como o cPanel), muda para 2048-bit ao migrar para o Office 365. Uma diferença na força da chave pode causar problemas de deliverability durante o warm-up ou ao aplicar o DMARC.
A rotação de chaves reduz o risco de comprometimento e ajuda a manter o alinhamento com as normas de conformidade.
Exemplo: Se estás a enviar emails transacionais ou regulados (em áreas como finanças, saúde, educação), rodar as chaves DKIM a cada 6–12 meses pode ajudar a passar em auditorias internas e revisões de segurança. Também reduz a exposição de chaves antigas durante transições de domínio ou de TI.
Para que o DKIM passe no alinhamento DMARC, o domínio na assinatura DKIM (d=) tem de coincidir com o domínio no teu endereço From.
Exemplo: Se envias a partir de marketing@brand.com mas o teu DKIM continua a ser assinado por onmicrosoft.com, o DMARC vai falhar. Isto acontece frequentemente quando os administradores ignoram o último passo de ativar o DKIM para o domínio personalizado. Isto deve ser corrigido antes de aplicares uma política DMARC p=reject.
Mesmo depois de o DKIM estar ativado, deixa os CNAMEs no teu DNS. O Microsoft 365 usa ambos os seletores para permitir uma rotação de chaves sem interrupções.
Exemplo: Um elemento mais novo da equipa pode remover o selector1._domainkey, a pensar que é redundante. Isto estraga a rotação de chaves e pode fazer com que a assinatura falhe silenciosamente. Deixa sempre ambos os registos publicados, a menos que a Microsoft diga explicitamente o contrário.
O DKIM é apenas uma parte do perfil de confiança do teu domínio. Para proteger a colocação na inbox, combina-o com:
Exemplo: Se estás a lançar cold outreach a partir de um novo domínio, só o DKIM não vai evitar os filtros de spam. Juntá-lo ao SPF, a um registo DMARC (p=none para começar) e a uma ferramenta de email warm-up dá aos fornecedores de caixa de correio sinais consistentes ao longo do tempo. Isto é especialmente importante se os teus volumes de envio aumentarem rapidamente.
Uma autenticação forte é a tua base técnica, mas é apenas parte do caminho para chegar ao inbox. O MailReach ajuda-te a mantê-la com testes de spam diários, monitorização da reputação do domínio e um aquecimento automático que respeita as tuas definições de DKIM, SPF e DMARC.
Configurar o DKIM no Office 365 é rápido, mas o seu impacto acumula-se com o tempo. Acabaste de adicionar uma camada-chave de autenticação que os fornecedores de caixa de correio verificam para decidir se os teus cold emails vão parar ao inbox ou à pasta de spam.
O DKIM serve como a tua base técnica e verifica a identidade do teu domínio. No entanto, construir uma reputação de remetente exige esforço contínuo.
O verdadeiro desafio começa após a configuração. Novos domínios, novos inboxes ou picos repentinos no volume de envio ainda podem ativar os filtros de spam, mesmo com o DKIM configurado. Sem testes e monitorização constantes, não vais saber se a tua reputação está a melhorar ou a piorar em silêncio.
É aqui que podemos ajudar. Preparado para ir mais longe?
O MailReach automatiza o warm-up de inboxes, os testes de DKIM e SPF, e a monitorização da saúde do domínio em vários fornecedores de email para garantir que as tuas mensagens chegam ao inbox dos teus potenciais clientes.
Cada email no spam equivale a um potencial cliente perdido. Começa hoje a melhorar a tua colocação no inbox com os testes de spam e o warmup do MailReach.
Seguir as regras não chega — descobre onde vão parar os teus emails e o que os está a impedir de avançar. Verifica a tua pontuação de spam com o nosso teste gratuito e melhora a deliverability com o warmup do MailReach.
Sem o email warmup adequado, as tuas melhores campanhas não servem para nada. Podes começar por testar a colocação na caixa de entrada e melhorá-la hoje mesmo.
Explicação dos Métodos de Autenticação de Email: SPF, DKIM, DMARC e Mais (Guia de 2026)
Deve incluir um link de cancelamento de subscrição em emails frios?
5 Passos para Configurar o Registo MX no Google Workspace em 2026
Configurar DKIM no Office 365: Guia Passo a Passo
7 Passos Práticos para Definir Registos MX para o Office 365
As 5 Principais Ferramentas de Colocação na Caixa de Entrada para Reduzir a Taxa de Spam em 2026
