Guia passo a passo para configurar SPF, DKIM e DMARC no seu domínio

Os grandes provedores de e-mail, como Gmail, Outlook e Yahoo, verificam se a mensagem foi autorizada pelo dono do domínio. Desde 2024, Google e Yahoo exigem autenticação de quem envia muitas mensagens, e desde maio de 2025 a Microsoft aplica regra parecida às caixas Outlook.com, Hotmail e Live para quem envia mais de 5 mil mensagens por dia. Domínios sem autenticação têm mais chance de cair no spam.

A configuração tem três partes, nesta ordem: o SPF diz quais servidores podem enviar pelo seu domínio, o DKIM assina as mensagens e o DMARC diz aos provedores o que fazer quando as duas verificações falham.

1. SPF: quem pode enviar pelo seu domínio

O SPF é um registro TXT na raiz do domínio que lista os servidores autorizados a enviar e-mail em nome dele. Só pode existir um registro SPF por domínio: se você usa mais de um serviço de envio, todos entram no mesmo registro.

exemplo.com.br.  TXT  "v=spf1 +a +mx include:_spf.provedor-de-envio.com ~all"

O final ~all diz que outros servidores não estão autorizados, mas pede tolerância (softfail). Depois de confirmar que tudo funciona, você pode usar -all, que é mais rígido. Cuidado com o tamanho: a especificação do SPF limita a verificação a 10 consultas de DNS, e cada include conta; passou disso, o SPF falha.

2. DKIM: a assinatura das mensagens

O DKIM assina cada mensagem com uma chave privada guardada no servidor de envio. A chave pública fica publicada no DNS, em um nome como default._domainkey.exemplo.com.br, e quem recebe usa essa chave para conferir se a mensagem não foi alterada no caminho.

Na hospedagem com cPanel, a ferramenta de entregabilidade de e-mail (Email Deliverability, na seção E-mail) mostra se o SPF e o DKIM do domínio estão corretos e qual registro usar. Se o DNS do domínio está em outro lugar, copie os valores sugeridos para lá.

3. DMARC: o que fazer quando a verificação falha

O DMARC é um registro TXT em _dmarc.seudominio que diz aos provedores o que fazer com mensagens que falham no SPF e no DKIM, e para onde mandar relatórios. Comece só monitorando:

_dmarc.exemplo.com.br.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@exemplo.com.br"

• p=none: nada é bloqueado; você só recebe relatórios. É o ponto de partida.
• p=quarantine: mensagens que falham vão para o spam.
• p=reject: mensagens que falham são recusadas.
• rua: endereço que recebe os relatórios diários, em XML, enviados pelos provedores.
• t=y: modo de teste. Quem recebe aplica a política um nível abaixo da publicada: com p=quarantine, aplica none; com p=reject, aplica quarantine. Serve para ensaiar a passagem para uma política mais rígida.
• np: política para subdomínios que não existem, útil contra golpes com nomes inventados, como pagamento.exemplo.com.br.

As tags t e np vêm da especificação atual do DMARC, a RFC 9989, publicada em maio de 2026 no lugar da RFC 7489. A nova versão tirou a tag pct, que aplicava a política a uma porcentagem das mensagens: se o seu registro ainda tem pct, troque por t=y enquanto testa e retire a tag quando quiser a política valendo para tudo.

Alinhamento: o detalhe que mais derruba o DMARC

Para o DMARC passar, o domínio que aparece no remetente (o From que a pessoa vê) precisa coincidir com o domínio verificado pelo SPF ou pelo DKIM. É comum o SPF passar, mas para o domínio da plataforma de envio, e não para o seu. Por isso, configure o DKIM com o seu domínio em cada serviço que envia mensagens por você: formulários do site, plataforma de newsletter, sistema de faturamento.

Um roteiro seguro

1. Liste todos os serviços que enviam e-mail com o seu domínio.
2. Publique um único SPF que inclua todos eles.
3. Ative o DKIM em cada serviço.
4. Publique o DMARC com p=none e acompanhe os relatórios por algumas semanas.
5. Corrija as fontes legítimas que aparecem falhando.
6. Passe para p=quarantine, se quiser primeiro com t=y, e, quando não houver mais falhas legítimas, para p=reject.

Perguntas frequentes

O que é o registro DMARC?

É um registro TXT publicado em _dmarc.seudominio que diz aos provedores de e-mail o que fazer com mensagens que usam o seu domínio e falham no SPF e no DKIM: entregar, mandar para o spam ou recusar. Ele também indica para onde os provedores devem enviar relatórios sobre essas mensagens.

Qual política DMARC usar no começo?

Comece com p=none, que não bloqueia nada e só gera relatórios. Depois de algumas semanas, com todas as fontes legítimas passando no SPF ou no DKIM, avance para p=quarantine e, por fim, para p=reject.

Posso ter dois registros SPF no mesmo domínio?

Não. Com dois registros SPF, a verificação dá erro. Junte todos os serviços num único registro, com um include para cada um, e fique de olho no limite de 10 consultas de DNS.

Por que o DMARC falha se o SPF passa?

Porque o SPF passou para outro domínio, em geral o da plataforma de envio, e não para o domínio que aparece no remetente. O DMARC exige esse alinhamento; a solução costuma ser ativar o DKIM com o seu domínio no serviço que envia as mensagens.