Guias · E-mail e domínios

SPF, DKIM e DMARC explicados: por que os seus e-mails caem no spam

Escrito por Aldo · threat hunter em um blue team
Última atualização: 9 de novembro de 2026 · 5 min de leitura

As suas faturas chegam na caixa de spam dos clientes, ou simplesmente voltam. Em nove de cada dez casos, o problema não é o conteúdo. Os servidores que recebem só não conseguem confirmar que o e-mail veio mesmo do seu domínio. Três registros DNS decidem isso.

Os três registros em palavras simples

SPF: quem pode enviar

O SPF é um registro TXT do seu domínio que lista os servidores autorizados a enviar os e-mails dele. Um típico, para uma empresa que usa Google Workspace e uma ferramenta de newsletter:

v=spf1 include:_spf.google.com include:servers.mcsv.net ~all

Cada include: puxa a lista de um provedor. O final diz o que fazer com todo o resto: -all significa “rejeitar”, ~all significa “tratar com desconfiança”. O SPF confere o remetente oculto do envelope (o Return-Path), não a linha From que as pessoas veem, e por isso ele sozinho não basta.

A armadilha: o SPF permite no máximo dez consultas DNS durante a avaliação. Contam cada include, a, mx e exists, inclusive os que estão dentro das listas dos provedores. Acrescente um serviço a mais e o SPF falha para todas as mensagens, sem aviso.

DKIM: uma assinatura em cada mensagem

O seu serviço de e-mail assina cada mensagem que sai com uma chave privada e publica a chave pública no DNS sob um seletor, em seletor._domainkey.seudominio. O destinatário confere a assinatura; se ela bater, a mensagem passou mesmo por um servidor que tem a sua chave e não foi alterada no caminho. Você não escreve registros DKIM à mão: cada serviço de e-mail fornece o registro a publicar, e você ativa a assinatura nas configurações dele.

DMARC: amarrar ao endereço From e definir uma política

O DMARC fica em _dmarc.seudominio. Ele diz: uma mensagem só passa se o SPF ou o DKIM passar para o mesmo domínio do endereço From (isso se chama alinhamento), e é isto que deve ser feito quando não passar.

v=DMARC1; p=none; rua=mailto:dmarc-reports@seudominio

p=none só coleta relatórios; p=quarantine manda as falhas para o spam; p=reject as recusa. O endereço rua recebe relatórios-resumo diários dos grandes destinatários, com cada servidor que enviou e-mail dizendo ser você. É com esses relatórios que você descobre os serviços esquecidos.

Um exemplo real: um domínio que não envia e-mail nenhum

Rodamos a análise de domínio do iplover em example.com, o domínio de documentação, em 9 de novembro de 2026. A seção de e-mail, como apareceu:

É assim que deve ficar um domínio que nunca envia e-mail, e vale copiar para qualquer domínio seu que não seja usado para e-mail:

• v=spf1 -all não autoriza servidor nenhum, então qualquer mensagem que diga vir dele falha no SPF.
• p=reject com sp=reject pede aos destinatários que recusem as falhas do domínio e dos subdomínios. adkim=s e aspf=s exigem alinhamento exato (estrito) em vez de aceitar subdomínios.
• Um registro MX nulo diz que o domínio também não aceita e-mail.

A observação sobre o DKIM é honesta quanto ao limite: nenhuma chave nos seletores que testamos. Um domínio que não envia nada não tem por que publicar uma. Num domínio que envia, “nenhuma chave” também pode significar um seletor que não adivinhamos; os cabeçalhos de uma mensagem enviada por você (procure s= na linha DKIM-Signature) dizem qual é o verdadeiro.

Confira o seu próprio domínio

dig +short TXT seudominio.com.br | grep spf1
dig +short TXT _dmarc.seudominio.com.br
dig +short TXT seletor._domainkey.seudominio.com.br   # use o seu seletor real

No Windows: nslookup -type=TXT _dmarc.seudominio.com.br. Ou rode a análise de domínio, que faz tudo isso e conta as consultas do SPF para você.

O melhor teste de todos: envie uma mensagem para uma conta do Gmail que você controla, abra-a, escolha Mostrar original e leia as linhas SPF, DKIM e DMARC no topo. É exatamente o que o destinatário concluiu sobre você.

Se os seus e-mails caem no spam: a lista de correções

Quando os relatórios mostrarem só os seus próprios serviços passando, aperte o DMARC aos poucos: p=quarantine e depois p=reject. Ir direto para o reject antes de encontrar todos os remetentes é como empresas perdem as próprias faturas.

O que esses registros não conseguem fazer

SPF, DKIM e DMARC protegem o seu domínio exato contra falsificação. Eles não impedem alguém de registrar um domínio parecido, não tornam bem-vindo um e-mail com cara de spam e não dizem nada sobre a honestidade do conteúdo de uma mensagem. São o mínimo para os destinatários confiarem no seu domínio, não uma garantia de chegar à caixa de entrada.