Fundamentos de EmailO que são SPF, DKIM, DMARC e como implementá-los?Descobre o básico da autenticação de emails com SPF, DKIM e DMARC. Aprende a implementar estes protocolos para uma comunicação por email segura.
O Risotto lidera em Zero Trust focado em runtime com monitorização eBPF, aplicação dinâmica de privilégios mínimos e automação de conformidade.
O Risotto lidera em Zero Trust focado em runtime com monitorização eBPF, aplicação dinâmica de privilégios mínimos e automação de conformidade.
O Risotto lidera em Zero Trust focado em runtime com monitorização eBPF, aplicação dinâmica de privilégios mínimos e automação de conformidade.
Este guia foi feito para desmistificar o complexo tema dos protocolos de autenticação de emails, incluindo o SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) e DMARC (Domain-based Message Authentication, Reporting, and Conformance).
Vamos focar-nos no papel crucial que estes protocolos desempenham no reforço da segurança do email, na redução de fraudes e na melhoria da deliverability, incluindo os passos práticos a seguir para implementar com sucesso o SPF, DKIM e DMARC nas tuas comunicações por email.
O SPF, ou Sender Policy Framework, é um protocolo de autenticação de emails essencial, desenhado para reduzir o email spoofing e o uso não autorizado de domínios. O SPF funciona como uma estrutura robusta que permite aos proprietários de domínios declarar quais os servidores de email autorizados a enviar mensagens em seu nome. Por outras palavras, a sua principal função é evitar que pessoas mal intencionadas finjam enviar emails em nome do teu domínio.
Isto é conseguido através da criação de um registo DNS (Domain Name System) que lista os servidores de email aprovados, funcionando essencialmente como um "remetente" digital para os emails originados nesse domínio. Portanto, enquanto proprietário do domínio, crias uma lista especial através do DNS (Domain Name System), a tua caderneta de endereços digital. Esta lista inclui os endereços IP dos servidores autorizados a enviar emails a partir de um determinado domínio – pensa nisto como um "remetente" de confiança.
O conceito básico passa por associar um endereço IP específico ou intervalo de endereços IP a um determinado domínio. Depois, quando um email que diz ser de um determinado domínio chega ao destino, o servidor de email do destinatário verifica o registo SPF no DNS para confirmar se o servidor de envio está de facto autorizado.
Quando um email afirma ser de um determinado domínio, o servidor de email do destinatário verifica esta caderneta de endereços digital (o registo SPF) para ver se o servidor de envio tem mesmo permissão para enviar emails pelo teu domínio. Funciona como uma verificação de segurança.
Um dos principais papéis do SPF é prevenir o email spoofing, um ato em que cibercriminosos manipulam o cabeçalho do email para parecer que a mensagem foi enviada por uma fonte de confiança quando, na realidade, não foi. Ao estabelecer uma associação clara e autenticada entre servidores de email autorizados e um domínio, o SPF cria uma linha de defesa na linha da frente contra entidades não autorizadas que tentam explorar a credibilidade de um domínio.
O processo de SPF envolve vários passos, tais como:
Iniciação: Quando um email chega ao destino, o servidor de email do destinatário identifica o suposto domínio de envio a partir do cabeçalho do email; Consulta DNS: O servidor realiza então uma consulta DNS para obter o registo SPF (a caderneta de endereços digital do domínio) associado ao domínio de envio. Este registo SPF é essencialmente um conjunto de regras especificadas pelo proprietário do domínio; Verificação: O registo SPF obtido lista os endereços IP ou intervalos autorizados a enviar emails em nome do domínio, incluindo a reputação do remetente. O servidor de email do destinatário cruza o endereço IP de origem do email recebido com a informação no registo SPF (o servidor compara esta informação com o endereço IP de origem do email recebido, verificando se coincidem); Ponto de Decisão: Com base nesta comparação, o servidor toma uma decisão crucial. Se o IP de origem coincidir com o registo SPF, o email é legítimo e passa na verificação SPF. Se houver uma discrepância, sugerindo que o email não vem de um servidor autorizado, a verificação SPF falha.
Portanto, deves saber que a base do SPF reside na criação de registos SPF dentro da configuração DNS de um domínio. Aqui tens alguns exemplos dos componentes principais:
v=spf1: Esta tag indica o início do registo SPF e é geralmente seguida pelos mecanismos que definem as regras; Mecanismos: São as regras que especificam quais os endereços IP autorizados a enviar emails em nome do domínio. Os mecanismos comuns incluem "a" (permitindo o registo A do domínio), "mx" (permitindo o registo MX do domínio) e "ip4" ou "ip6" (especificando endereços IP ou intervalos específicos); Modificadores: Podem ser incluídas instruções adicionais, conhecidas como modificadores, para afinar a política de SPF e permitir futuras extensões da estrutura. Por exemplo, "-all" indica uma política rigorosa em que todas as outras fontes são consideradas não autorizadas.
O DKIM, ou DomainKeys Identified Mail, é uma técnica de autenticação de emails criada para verificar a autenticidade das mensagens. Podes entendê-lo como um notário digital para os teus emails, garantindo que são genuínos e que não foram alterados.
No fundo, o DKIM usa assinaturas digitais para assegurar que um email não foi modificado durante o envio e que vem mesmo do remetente certo.
Podes imaginar o DKIM como um selo digital colocado em cada email que envias. Este selo, criado com chaves criptográficas, serve como um identificador único e prova que o email foi autorizado pelo domínio de envio. Assim, este processo ajuda a criar confiança entre quem envia e quem recebe, garantindo a este último que o email é legítimo e não foi adulterado.
O principal objetivo do DKIM é reforçar a segurança dos emails, focando-se nestes pontos importantes :
Integridade da Mensagem : O DKIM evita que pessoas mal-intencionadas alterem o conteúdo de um email enquanto este viaja pela internet. A assinatura digital que acompanha o email funciona como um selo de autenticidade, garantindo a quem recebe que a mensagem está intacta e sem alterações ; Autenticação do Remetente : O DKIM autentica a identidade de quem envia, reduzindo os riscos associados à falsificação de emails. Ao validar a origem do email, o DKIM ajuda a diminuir as tentativas de phishing e garante que os destinatários podem confiar na legitimidade do remetente.
No centro do funcionamento do DKIM está o conceito de assinaturas digitais integradas nos cabeçalhos dos emails :
Processo de Assinatura : Quando um email é enviado, o servidor de envio aplica uma assinatura digital ao cabeçalho do email usando uma chave privada que pertence apenas ao domínio de envio. Esta assinatura funciona como um carimbo criptográfico, semelhante a uma assinatura à mão numa carta, indicando que o remetente é autêntico ; Campos do Cabeçalho : A assinatura DKIM é normalmente adicionada a campos específicos no cabeçalho do email, como o campo "DKIM-Signature". Este campo contém a informação essencial para que os destinatários possam verificar a assinatura.
Perceber como o DKIM usa chaves públicas e privadas também é fundamental para entender totalmente o seu funcionamento. O domínio de envio tem uma chave privada, guardada em segurança e conhecida apenas pelo dono do domínio ou pelas entidades autorizadas. Esta chave privada é usada para gerar a assinatura digital durante o processo de envio.
Por outro lado, a chave pública, tal como o nome indica, é disponibilizada publicamente nos registos DNS do domínio de envio, para que os destinatários possam aceder a ela e verificar a assinatura digital anexada ao email.
O DMARC, ou Domain-based Message Authentication, Reporting & Conformance, junta a força do SPF e do DKIM para tornar a autenticação de emails ainda mais forte. Vamos explorar esta sinergia :
Integração com o SPF : O DMARC tira partido do SPF ao permitir que quem envia defina nos seus registos DMARC como o SPF deve ser tratado. Isto garante que o alinhamento entre o domínio do remetente e a autenticação SPF é totalmente verificado, reforçando o processo de autenticação de emails ; Integração com o DKIM : Tal como o SPF, o DMARC funciona em harmonia com o DKIM. Permite que os remetentes definam o que deve acontecer quando o alinhamento do DKIM falha, reforçando a validação da identidade de quem envia.
Isto significa que, ao juntar o SPF e o DKIM numa estrutura coesa, o DMARC melhora a segurança geral das comunicações por email, oferecendo uma proteção completa contra o uso não autorizado de um domínio.
O DMARC também traz um mecanismo claro e eficaz para definir políticas que fortalecem a autenticação de emails. Aqui tens um resumo simples :
Opções de Política: O DMARC oferece três opções de política para lidar com emails que falham as verificações de SPF ou DKIM : 'none', 'quarantine' e 'reject'. 'None' : Esta opção é uma fase inicial de monitorização onde o DMARC envia relatórios sem tomar medidas. Permite aos remetentes avaliar o impacto nos emails legítimos ; 'Quarantine' : Nesta fase, os emails suspeitos vão diretamente para a pasta de spam ou quarentena do destinatário, o que é uma abordagem mais cautelosa face a potenciais ameaças ; 'Reject' : A opção mais restrita, 'reject', garante que os emails que falham a autenticação são rejeitados de imediato, reduzindo ao mínimo o risco de atividades fraudulentas. Mecanismo de Relatório : O DMARC traz um mecanismo de relatórios robusto, gerando feedback sobre o processo de autenticação de emails. Este feedback valioso ajuda os remetentes a afinar a configuração da autenticação de emails e a resolver qualquer problema que possa surgir.
O DMARC tem uma forte influência no encaminhamento de emails, traçando um caminho que melhora a tua entregabilidade. Na prática, o DMARC analisa o alinhamento entre o domínio no cabeçalho "From" e os domínios autenticados através do SPF e do DKIM. Quando o alinhamento é confirmado, indica aos fornecedores de serviços de email (ESPs) que o email é legítimo e pode ser entregue.
Com base na política definida pelo remetente ('none', 'quarantine' ou 'reject'), o DMARC diz ao ESP como deve lidar com os emails que falham a autenticação. Esta decisão influencia bastante a probabilidade de os emails chegarem à caixa de entrada do destinatário.
No que diz respeito aos relatórios e à conformidade, deves ter em mente que o DMARC gera relatórios detalhados, dando informações preciosas sobre o estado do alinhamento, os resultados da autenticação e até o destino dos emails. Este ciclo de feedback permite aos remetentes identificar problemas, como falhas de autenticação ou potenciais abusos do seu domínio.
Além disso, através dos relatórios do DMARC, quem envia também consegue ver como os seus emails cumprem o SPF e o DKIM, alinhando-se com as políticas e definições de autenticação escolhidas para garantir uma entregabilidade ideal.
A criação de um ecossistema de email seguro começa com a configuração cuidadosa do SPF (Sender Policy Framework). Vamos simplificar o processo em passos práticos para uma implementação eficaz do SPF :
Passo 1: Lista os teus Email Service Providers. Antes de mergulhares na configuração do SPF, faz uma lista completa de todos os ESPs que usas para enviar emails. Este passo é fundamental para garantir que o teu registo SPF inclui todas as fontes autorizadas.
Passo 2: Vai às definições de DNS do teu domínio. Acede às definições do Domain Name System (DNS) do teu domínio. Pensa nisto como a caderneta de endereços virtual que direciona o tráfego da internet.
Passo 3: Cria ou atualiza o teu registo SPF. Nas definições de DNS, procura a zona reservada aos registos SPF. Se o teu domínio ainda não tiver nenhum registo SPF, cria um de raiz. Se já tiveres um, atualiza-o para incluir a informação de todos os teus ESPs.
Passo 4: Guarda e espera 48 horas. Depois de configurar ou atualizar o teu registo SPF, guarda as alterações nas tuas definições de DNS. É importante ter em conta que as alterações aos registos DNS podem demorar algum tempo a propagar-se pela internet. Dá uma margem de pelo menos 48 horas para o registo SPF atualizado começar a funcionar.
Aqui tens um exemplo de formatação:
v=spf1 include:_spf.example.com include:_spf.anotherprovider.com -all
e depois substitui "example.com" e "anotherprovider.com" pelos registos SPF reais dos teus ESPs.
Se usares vários ESPs, junta as respetivas instruções "include" num único registo SPF para evitar potenciais conflitos.
Para tirares o máximo partido do teu SPF, tem em conta estas boas práticas:
Analisa e atualiza regularmente o teu registo SPF para refletires qualquer alteração na tua infraestrutura de email e completa a tua checklist de deliverability de email, evita ultrapassar o limite de consultas de DNS (10) imposto pelo SPF para prevenir problemas de autenticação, e testa o teu registo SPF com ferramentas como o SPF Checker da MailReach para garantir que está correto e a funcionar.
Proteger a tua comunicação por email também passa por implementar o DKIM (DomainKeys Identified Mail), através de passos muito semelhantes aos do SPF:
Passo 1: Lista os teus Email Service Providers. Primeiro, tens de fazer uma lista dos Email Service Providers (ESPs) que usas para enviar emails. Ao contrário do SPF, o DKIM exige um registo separado para cada ESP.
Passo 2: Localiza as definições de DNS do teu domínio. A seguir, acede às definições do Domain Name System (DNS) específicas do teu domínio. Normalmente, encontras isto no portal de gestão do domínio em secções como "Definições de DNS", "Gerir DNS" ou nomes parecidos.
Passo 3: Gera a(s) chave(s) DKIM para o(s) teu(s) fornecedor(es). Para cada ESP, começa o processo de geração de uma chave DKIM. Os passos exatos podem mudar consoante o fornecedor, por isso pesquisa algo específico para o teu ESP, como "configurar DKIM para [o teu fornecedor]", e segue as instruções que te dão para gerar a chave DKIM necessária (Google Workspace, Outlook / Office365, Mailgun, Brevo, Amazon SES...).
Passo 4: Adiciona o DKIM ao teu DNS. Nas definições de DNS do teu domínio, cria um novo registo TXT para colocar os detalhes da chave DKIM fornecidos pelo teu ESP.
Passo 5: Guarda e espera 48 horas. Depois de adicionares os registos DKIM ao teu DNS, guarda as alterações e deixa passar um período de propagação de pelo menos 48 horas para que as novas configurações DKIM fiquem ativas em toda a internet.
Imagina que o teu domínio é omeudominio.com:
Por exemplo, se usas o Google Workspace para enviar os teus emails do dia a dia e o Brevo para enviar newsletters aos teus subscritores, vais ter de configurar dois registos DKIM diferentes.
Um para o Gmail (Google Workspace) e outro para o Brevo.
A seguir, acede às definições do Domain Name System (DNS) específicas do teu domínio (Definições de DNS).
Cria um novo registo TXT para incluir os detalhes da chave DKIM fornecidos pelo teu ESP, ficando assim:
Nome/Host/Alias: o seletor do teu fornecedor, muitas vezes apresentado como selector._domainkey, Valor/Resposta/Destino: a chave pública disponibilizada pelo teu fornecedor.
Para implementar o DMARC, o processo começa por ires às definições de DNS do teu domínio, tal como fizeste para o SPF e o DKIM. Nestas definições, vais criar um novo registo TXT de DNS para guardar a tua política DMARC.
Aqui tens um exemplo:
Um exemplo de um registo DMARC simples, ideal para quem prefere começar com o mínimo de intervenção, é o seguinte:
v=DMARC1; p=none;
Este registo predefinido ativa o DMARC sem tomar medidas imediatas em mensagens com falhas, oferecendo um ponto de partida acessível para quem quer manter as coisas simples.
Além desta definição predefinida, podes personalizar a tua política DMARC ajustando vários parâmetros no registo TXT:
Por exemplo, definir p=none indica aos recetores de email para enviarem relatórios DMARC sem tomar medidas imediatas sobre as mensagens com falhas. Além disso, especificar os endereços de email rua e ruf determina para onde são enviados os relatórios agregados e forenses, respetivamente.
No que diz respeito à monitorização e análise dos relatórios DMARC, podes verificar regularmente os endereços de email especificados em rua e ruf para obteres informações valiosas sobre os resultados da autenticação, ajudando-te a identificar e resolver potenciais problemas.
Os protocolos SPF, DKIM e DMARC exigem um certo nível de precisão e uma compreensão clara dos potenciais obstáculos. Quando te deparares com desafios de autenticação, podes ponderar os erros comuns de configuração e tirar partido das ferramentas e recursos disponíveis para diagnóstico.
Podes verificar se o teu registo SPF cumpre as tuas práticas de envio de emails. Se estiveres a usar o Email Warmer da MailReach, verifica se o teu registo SPF corresponde ao fornecedor escolhido durante a configuração do MailReach. Uma ligação do Gmail, por exemplo, requer um registo SPF que inclua o Gmail. Para uma maior compatibilidade, usa a opção "Any other SMTP" e verifica a configuração necessária com o respetivo fornecedor.
Além disso, analisa bem os teus registos SPF para eliminar erros e consolidar vários fornecedores num único registo SPF. A sintaxe correta, que começa com "v=spf1" e incorpora as instruções "include" relevantes, é fundamental. Eis um exemplo de um registo SPF para o Gmail:
v=spf1 include:_spf.google.com ~all
Para uma configuração DKIM eficaz, ajusta os teus registos DKIM para estarem em sintonia com o fornecedor escolhido durante a configuração do MailReach. Quer estejas a usar o Email Warmer ou o DKIM Checker gratuito, é importante teres um registo DKIM distinto que corresponda ao fornecedor. Se os problemas persistirem, faz alterações e, mais uma vez, aguarda o período de 48 horas para as alterações de DNS e a verificação do MailReach.
Em suma, o SPF, o DKIM e o DMARC são guardiões fundamentais da integridade do email, fortalecendo coletivamente os teus canais de comunicação e proporcionando uma defesa robusta contra acessos não autorizados e fraudes por email.
Ao implementares estes protocolos de autenticação, consegues maximizar em simultâneo a segurança e a deliverability dos teus emails.
Cada email no spam equivale a um potencial cliente perdido. Começa hoje a melhorar a tua colocação no inbox com os testes de spam e o warmup do MailReach.
Seguir as regras não chega — descobre onde vão parar os teus emails e o que os está a impedir de avançar. Verifica a tua pontuação de spam com o nosso teste gratuito e melhora a deliverability com o warmup do MailReach.
Sem o email warmup adequado, as tuas melhores campanhas não servem para nada. Podes começar por testar a colocação na caixa de entrada e melhorá-la hoje mesmo.
Autenticação de Email no Outlook: Configuração de SPF, DKIM e DMARC
Quais são os Requisitos de DMARC do Outlook? (Guia de 2026)
Análise do Apollo.io 2026: Funcionalidades, Preços, Prós e Contras
Preços da Folderly em 2026: o que estás realmente a pagar (e se vale a pena)
Email Marketing vs Cold Email: Diferenças Principais para a Deliverability
Como ler um relatório DMARC (Passo a passo para remetentes B2B)
