Noções básicas sobre e-mailO que são o SPF, o DKIM e o DMARC e como se implementam?Descubra os conceitos básicos da autenticação de e-mail com SPF, DKIM e DMARC. Saiba como implementar estes protocolos para garantir uma comunicação segura por e-mail.
A Risotto é líder na abordagem «runtime-first» do Zero Trust, com monitorização via eBPF, aplicação dinâmica do princípio do privilégio mínimo e automatização da conformidade.
A Risotto é líder na abordagem «runtime-first» do Zero Trust, com monitorização via eBPF, aplicação dinâmica do princípio do privilégio mínimo e automatização da conformidade.
A Risotto é líder na abordagem «runtime-first» do Zero Trust, com monitorização via eBPF, aplicação dinâmica do princípio do privilégio mínimo e automatização da conformidade.
Este guia foi elaborado para esclarecer o tema complexo dos protocolos de autenticação de e-mail, incluindo o SPF (Sender Policy Framework), o DKIM (DomainKeys Identified Mail) e o DMARC (Domain-based Message Authentication, Reporting, and Conformance).
Iremos centrar-nos no papel fundamental que estes protocolos desempenham no reforço da segurança do correio eletrónico, na redução da fraude e na melhoria da capacidade de entrega, incluindo os passos práticos a seguir para implementar com sucesso o SPF, o DKIM e o DMARC nas suas comunicações por correio eletrónico.
O SPF, ou Sender Policy Framework, é um protocolo crucial de autenticação de e-mail concebido para reduzir a falsificação de e-mails e a utilização não autorizada de domínios. O SPF funciona como uma estrutura robusta que permite aos proprietários de domínios declarar quais os servidores de e-mail autorizados a enviar e-mails em nome do seu domínio. Por outras palavras, a sua principal função é impedir que agentes mal-intencionados se façam passar por remetentes do seu domínio.
Isto é conseguido através da criação de um registo DNS (Sistema de Nomes de Domínio) que enumera os servidores de correio aprovados, funcionando essencialmente como um «endereço de remetente» digital para os e-mails provenientes desse domínio. Assim, enquanto proprietário de um domínio, cria uma lista especial utilizando o DNS (Sistema de Nomes de Domínio), a sua agenda de endereços digital. Esta lista inclui os endereços IP dos servidores autorizados a enviar e-mails a partir de um determinado domínio — pense nela como um «endereço de remetente» fiável.
O conceito básico consiste em associar um endereço IP específico ou um intervalo de endereços IP a um determinado domínio. Assim, quando um e-mail que alega ser proveniente de um determinado domínio chega ao seu destino, o servidor de e-mail do destinatário verifica o registo SPF no DNS para confirmar se o servidor remetente está, de facto, autorizado.
Quando um e-mail alega ser proveniente de um determinado domínio, o servidor de e-mail do destinatário consulta esta lista de contactos digital (o registo SPF) para verificar se o servidor remetente está realmente autorizado a enviar e-mails em nome desse domínio. Funciona como uma verificação de segurança.
Uma das principais funções do SPF é prevenir a falsificação de e-mails, uma prática em que os cibercriminosos manipulam o cabeçalho do e-mail para fazer parecer que a mensagem foi enviada por uma fonte fiável, quando, na realidade, não é esse o caso. Ao estabelecer uma associação clara e autenticada entre servidores de e-mail autorizados e um domínio, o SPF cria uma linha de defesa de primeira linha contra entidades não autorizadas que tentam explorar a credibilidade de um domínio.
O processo SPF envolve várias etapas, tais como:
Início: Quando um e-mail chega ao seu destino, o servidor de e-mail do destinatário identifica o domínio de origem indicado no cabeçalho do e-mail; Pesquisa DNS: O servidor efetua então uma pesquisa DNS para recuperar o registo SPF (a lista de endereços digital do domínio) associado ao domínio de origem. Este registo SPF é, essencialmente, um conjunto de regras especificadas pelo proprietário do domínio; Verificação: O registo SPF recuperado lista os endereços IP ou intervalos de endereços IP autorizados a enviar e-mails em nome do domínio, incluindo a reputação do remetente. O servidor de e-mail do destinatário cruza o endereço IP de origem do e-mail recebido com a informação contida no registo SPF (o servidor compara esta informação com o endereço IP de origem do e-mail recebido, verificando se correspondem); Ponto de decisão: Com base nesta comparação, o servidor toma uma decisão crucial. Se o IP de origem corresponder ao registo SPF, o e-mail é legítimo e passa na verificação SPF. Se houver uma discrepância, sugerindo que o e-mail não provém de um servidor autorizado, a verificação SPF falha.
Por isso, é importante saber que a base do SPF reside na criação de registos SPF na configuração DNS de um domínio. Aqui ficam alguns exemplos dos principais componentes:
v=spf1: Esta etiqueta indica o início do registo SPF e é geralmente seguida pelos mecanismos que definem as regras; Mecanismos: São as regras que especificam quais os endereços IP autorizados a enviar e-mails em nome do domínio. Os mecanismos comuns incluem «a» (que permite o registo A do domínio), «mx» (que permite o registo MX do domínio) e «ip4» ou «ip6» (que especificam endereços IP ou intervalos específicos); Modificadores: Podem ser incluídas instruções adicionais, conhecidas como modificadores, para aperfeiçoar a política SPF e permitir futuras extensões da estrutura. Por exemplo, «-all» indica uma política rigorosa em que todas as outras fontes são consideradas não autorizadas.
O DKIM, ou DomainKeys Identified Mail, é uma técnica de autenticação de e-mail concebida para verificar a autenticidade das mensagens de e-mail. Pode ser descrito como um notário digital para os seus e-mails, garantindo que são genuínos e que não foram alterados.
Na sua essência, o DKIM utiliza assinaturas digitais para garantir que um e-mail não foi alterado durante o seu trânsito e que provém do remetente correto.
Pode imaginar o DKIM como um selo digital aposto em cada e-mail enviado. Este selo, criado através de chaves criptográficas, funciona como um identificador único e atesta que o e-mail foi autorizado pelo domínio remetente. Desta forma, este processo contribui para estabelecer confiança entre o remetente e o destinatário, garantindo a este último que o e-mail é legítimo e não foi adulterado.
O principal objetivo do DKIM é reforçar a segurança do correio eletrónico, abordando os seguintes aspetos fundamentais:
Integridade da mensagem: O DKIM impede que agentes maliciosos alterem o conteúdo de um e-mail enquanto este circula pela Internet. A assinatura digital que acompanha o e-mail funciona como um selo de autenticidade, garantindo ao destinatário que a mensagem permanece intacta e inalterada; Autenticação do remetente: O DKIM autentica a identidade do remetente, mitigando os riscos associados à falsificação de e-mails. Ao validar a origem do e-mail, o DKIM ajuda a reduzir as tentativas de phishing e garante que os destinatários possam confiar na legitimidade do remetente.
No cerne do mecanismo do DKIM está o conceito de assinaturas digitais integradas nos cabeçalhos dos e-mails:
Processo de assinatura: Quando um e-mail é enviado, o servidor de envio aplica uma assinatura digital ao cabeçalho do e-mail utilizando uma chave privada exclusiva do domínio de origem. Esta assinatura funciona como um selo criptográfico, semelhante a uma assinatura manuscrita numa carta, e indica a autenticidade do remetente; Campos do cabeçalho: A assinatura DKIM é normalmente adicionada a campos específicos do cabeçalho do e-mail, tais como o campo «DKIM-Signature». Este campo contém as informações essenciais de que os destinatários necessitam para verificar a assinatura.
Compreender a utilização de chaves públicas e privadas pelo DKIM é também fundamental para compreender plenamente o seu mecanismo. O domínio remetente possui uma chave privada, armazenada de forma segura e conhecida apenas pelo proprietário do domínio ou pelas suas entidades autorizadas. Esta chave privada é utilizada para gerar a assinatura digital durante o processo de assinatura.
Por outro lado, a chave pública, tal como o próprio nome sugere, é disponibilizada publicamente nos registos DNS do domínio remetente, para que os destinatários possam aceder a essa chave pública e verificar a assinatura digital anexada ao e-mail.
O DMARC (Domain-based Message Authentication, Reporting & Conformance) combina os recursos do SPF e do DKIM para tornar a autenticação de e-mail ainda mais robusta. Vamos aprofundar esta sinergia:
Integração com o SPF: O DMARC tira partido do SPF, permitindo que os remetentes especifiquem nos seus registos DMARC como o SPF deve ser tratado. Isto garante que a correspondência entre o domínio do remetente e a autenticação SPF seja totalmente verificada, reforçando o processo de autenticação de e-mail; Integração com o DKIM: À semelhança do SPF, o DMARC integra-se com o DKIM. Permite que os remetentes definam o tratamento pretendido quando a correspondência DKIM falha, reforçando a validação da identidade do remetente.
Isto significa que, ao integrar o SPF e o DKIM numa estrutura coesa, o DMARC reforça a segurança global das comunicações por e-mail, oferecendo uma proteção abrangente contra a utilização não autorizada de um domínio.
O DMARC introduz também um mecanismo claro e eficaz de definição de políticas para reforçar a autenticação do e-mail. Eis um resumo simplificado:
Opções de política: O DMARC disponibiliza três opções de política para lidar com e-mails que não passam nas verificações SPF ou DKIM: «none», «quarantine» e «reject». «None»: Esta opção corresponde a uma fase inicial de monitorização, na qual o DMARC envia relatórios sem tomar medidas. Permite que os remetentes avaliem o impacto nos e-mails legítimos; «Quarentena»: nesta fase, os e-mails suspeitos são encaminhados diretamente para a pasta de spam ou de quarentena do destinatário, o que constitui uma abordagem cautelosa face a potenciais ameaças; «Rejeitar»: a opção mais rigorosa, «rejeitar», garante que os e-mails que não passam nas verificações de autenticação sejam rejeitados de imediato, minimizando o risco de atividades fraudulentas.Mecanismo de relatórios: O DMARC introduz um mecanismo de relatórios robusto, gerando feedback sobre o processo de autenticação de e-mails. Este feedback valioso ajuda os remetentes a aperfeiçoar a sua configuração de autenticação de e-mails e a resolver quaisquer problemas que possam surgir.
O DMARC exerce uma forte influência no encaminhamento de e-mails, definindo um caminho que melhora a capacidade de entrega dos seus e-mails. Na prática, o DMARC verifica se existe correspondência entre o domínio no cabeçalho «De» e os domínios autenticados através do SPF e do DKIM. Quando essa correspondência é confirmada, o DMARC indica aos prestadores de serviços de e-mail (ESPs) que o e-mail é legítimo e pode ser entregue.
Com base na política definida pelo remetente («nenhuma», «quarentena» ou «rejeitar»), o DMARC indica ao ESP como deve tratar os e-mails que não passam na autenticação. Esta decisão influencia significativamente as hipóteses de os e-mails chegarem à caixa de entrada do destinatário.
No que diz respeito aos aspetos relacionados com a geração de relatórios e a conformidade, é importante ter em conta que o DMARC gera relatórios detalhados, fornecendo informações valiosas sobre o estado de conformidade, os resultados da autenticação e até mesmo o destino dos e-mails. Este ciclo de feedback permite que os remetentes identifiquem problemas, tais como falhas na autenticação ou potenciais abusos do seu domínio.
Além disso, através dos relatórios DMARC, os remetentes podem também obter informações sobre o grau de conformidade dos seus e-mails com as normas SPF e DKIM, bem como sobre as políticas e definições de autenticação especificadas, de modo a garantir uma capacidade de entrega ideal.
A criação de um ecossistema de e-mail seguro começa com a configuração meticulosa do SPF (Sender Policy Framework). Vamos simplificar o processo em passos práticos para uma implementação eficaz do SPF:
Passo 1: Faça uma lista dos seus fornecedores de serviços de e-mail. Antes de avançar com a configuração do SPF, elabore uma lista exaustiva de todos os fornecedores de serviços de e-mail (ESPs) que utiliza para enviar e-mails. Este passo é crucial para garantir que o seu registo SPF abrange todas as fontes autorizadas.
Passo 2: Aceda às definições de DNS do seu domínio. Aceda às definições do Sistema de Nomes de Domínio (DNS) do seu domínio. Trata-se da lista de endereços virtual que direciona o fluxo de tráfego da Internet.
Passo 3: Crie ou atualize o seu registo SPF. Nas definições de DNS, localize a secção destinada aos registos SPF. Se o seu domínio não tiver um registo SPF, crie um novo. Se já tiver um, atualize-o para incluir as informações de todos os seus ESPs.
Passo 4: Guarde e aguarde 48 horas. Após configurar ou atualizar o seu registo SPF, guarde as alterações nas suas definições de DNS. É importante ter em conta que as alterações aos registos DNS podem demorar algum tempo a propagar-se pela Internet. Aguarde um período de carência de, pelo menos, 48 horas para que o registo SPF atualizado entre em vigor.
Eis um exemplo de formatação:
v=spf1 include:_spf.example.com include:_spf.anotherprovider.com -all
e, em seguida, substitua «example.com» e «anotherprovider.com» pelos registos SPF reais dos seus ESPs.
Se utilizar vários ESPs, consolide as suas instruções «include» num único registo SPF para evitar possíveis conflitos.
Para maximizar a eficácia do seu FPS, tenha em conta estas boas práticas:
Revise e atualize regularmente o seu registo SPF para refletir quaisquer alterações na sua infraestrutura de e-mail e preencha a sua lista de verificação de entregabilidade de e-mail. Evite exceder o limite de consultas DNS (10) imposto pelo SPF para prevenir problemas de autenticação e teste o seu registo SPF utilizando ferramentas como o SPF Checker da MailReach para garantir a sua precisão e eficácia.
A proteção da sua comunicação por e-mail envolve também a implementação do DKIM (DomainKeys Identified Mail), através de passos bastante semelhantes aos do SPF:
Passo 1: Faça uma lista dos seus fornecedores de serviços de e-mail. Em primeiro lugar, deve elaborar uma lista dos fornecedores de serviços de e-mail (ESPs) que utiliza para enviar e-mails. Ao contrário do SPF, o DKIM requer um registo separado para cada ESP.
Passo 2: Localize as definições de DNS do seu domínio. Em seguida, aceda às definições do Sistema de Nomes de Domínio (DNS) específicas do seu domínio. Normalmente, estas podem ser encontradas no portal de gestão do domínio, em secções como «Definições de DNS», «Gerir DNS» ou títulos semelhantes.
Passo 3: Gerar chaves DKIM para o(s) seu(s) fornecedor(es). Para cada ESP, inicie o processo de geração de uma chave DKIM. Os passos exatos podem variar consoante o fornecedor, por isso, faça uma pesquisa específica para o seu ESP, como «configurar DKIM para [o seu fornecedor]», e siga as orientações fornecidas pelo seu ESP para gerar a chave DKIM necessária (Google Workspace, Outlook / Office 365, Mailgun, Brevo, Amazon SES…).
Passo 4: Adicione o DKIM ao seu DNS. Nas definições de DNS do seu domínio, crie um novo registo TXT para incluir os dados da chave DKIM fornecidos pelo seu ESP.
Passo 5: Guarde e aguarde 48 horas. Depois de adicionar os registos DKIM ao seu DNS, guarde as alterações para permitir um período de propagação de, pelo menos, 48 horas, para que as novas configurações DKIM entrem em vigor na Internet.
Suponhamos que o seu domínio seja mydomain.com:
Por exemplo, se utilizar o Google Workspace para enviar os seus e-mails do dia-a-dia e o Brevo para enviar newsletters aos seus assinantes, terá de configurar dois registos DKIM diferentes.
Um para o Gmail (Google Workspace) e outro para o Brevo.
Em seguida, aceda às definições do Sistema de Nomes de Domínio (DNS) específicas do seu domínio (Definições de DNS).
Crie um novo registo TXT para incluir os detalhes da chave DKIM fornecidos pelo seu ESP, da seguinte forma:
Nome/Host/Alias: o seletor do seu fornecedor, frequentemente apresentado como selector._domainkey; Valor/Resposta/Destino: a chave pública fornecida pelo seu fornecedor.
Para implementar o DMARC, o processo começa por aceder às definições de DNS do seu domínio, tal como fez para o SPF e o DKIM. Nestas definições, irá criar um novo registo TXT de DNS para alojar a sua política DMARC.
Eis um exemplo:
Um exemplo de um registo DMARC simples, adequado para quem prefere começar com uma intervenção mínima, tem o seguinte aspeto:
v=DMARC1; p=none;
Este registo predefinido ativa o DMARC sem tomar medidas imediatas relativamente às mensagens com falha, oferecendo um ponto de entrada intuitivo para quem pretende manter as coisas simples.
Para além desta configuração predefinida, pode personalizar a sua política DMARC ajustando vários parâmetros no registo TXT:
Por exemplo, definir p=none indica aos destinatários de e-mail que devem enviar relatórios DMARC sem tomarem medidas imediatas relativamente às mensagens com falha. Além disso, a especificação dos endereços de e-mail rua e ruf determina para onde são enviados, respetivamente, os relatórios agregados e forenses.
No que diz respeito à monitorização e à análise dos relatórios DMARC, pode verificar regularmente os endereços de e-mail especificados em rua e ruf para aceder a informações valiosas sobre os resultados da autenticação, o que o ajudará a identificar e a resolver potenciais problemas.
Os protocolos SPF, DKIM e DMARC exigem um certo nível de precisão e uma compreensão clara das potenciais dificuldades. Ao deparar-se com desafios de autenticação, pode ter em conta os erros de configuração mais comuns e recorrer às ferramentas e recursos disponíveis para o diagnóstico.
Pode verificar se o seu registo SPF está em conformidade com as suas práticas de envio de e-mail. Se estiver a utilizar o Email Warmer da MailReach, verifique se o seu registo SPF corresponde ao fornecedor escolhido durante a configuração da MailReach. Uma ligação ao Gmail, por exemplo, requer um registo SPF que inclua o Gmail. Para uma compatibilidade mais ampla, utilize a opção «Qualquer outro SMTP» e verifique a configuração necessária junto do respetivo fornecedor.
Além disso, analise cuidadosamente os seus registos SPF para eliminar erros e consolidar vários fornecedores num único registo SPF. É fundamental utilizar a sintaxe correta, começando por «v=spf1» e incluindo as instruções «include» relevantes. Aqui está um exemplo de um registo SPF para o Gmail:
v=spf1 include:_spf.google.com ~all
Para uma configuração eficaz do DKIM, adapte os seus registos DKIM de forma a corresponderem ao fornecedor que escolheu durante a configuração do MailReach. Quer utilize o Email Warmer ou o DKIM Checker gratuito, é importante que exista um registo DKIM específico que corresponda ao fornecedor. Se os problemas persistirem, efetue as alterações e, mais uma vez, aguarde o período de 48 horas para que as alterações no DNS sejam aplicadas e o MailReach realize a verificação.
Em resumo, o SPF, o DKIM e o DMARC constituem guardiões essenciais da integridade do e-mail, reforçando, em conjunto, os seus canais de comunicação e proporcionando uma defesa sólida contra o acesso não autorizado e a fraude por e-mail.
Ao implementar estes protocolos de autenticação, poderá maximizar, ao mesmo tempo, a segurança e a capacidade de entrega dos seus e-mails.
Cada e-mail que vai parar à pasta de spam equivale a um potencial cliente perdido. Comece hoje mesmo a melhorar a sua colocação na caixa de entrada com os testes de spam e o processo de aquecimento do MailReach.
Seguir as regras não é suficiente — saiba onde é que os seus e-mails vão parar e o que é que os está a impedir de chegar ao destino. Verifique a sua pontuação de spam com o nosso teste gratuito e melhore a capacidade de entrega com o processo de aquecimento do MailReach.
Sem um aquecimento adequado, as suas melhores campanhas não servem de nada. Pode começar por testar a localização na caixa de entrada e começar a melhorá-la ainda hoje.
O facto de o seu endereço estar na lista não significa que a sua capacidade de entrega esteja comprometida. Faça um teste de spam para verificar se os seus e-mails estão realmente a chegar ao destino — ou se estão a ser bloqueados.
Autenticação de e-mail no Outlook: configuração de SPF, DKIM e DMARC
Quais são os requisitos do DMARC para o Outlook? (Guia de 2026)
Análise do Apollo.io 2026: Funcionalidades, Preços, Prós e Contras
Preços do Folderly em 2026: o que está realmente a pagar (e se vale a pena)
Marketing por e-mail vs. e-mail não solicitado: diferenças fundamentais para a capacidade de entrega
Como ler um relatório DMARC (guia passo a passo para remetentes B2B)
