Configurar SPF, DKIM e DMARC do domínio
Como conferir e criar os registros que provam que os e-mails do seu domínio são legítimos
Portal Web
Última atualização há 21 dias
O SPF, o DKIM e o DMARC são três registros do DNS que provam aos provedores de e-mail (Gmail, Outlook, Yahoo) que as mensagens enviadas pelo seu domínio são mesmo suas. Sem eles, os seus e-mails têm mais chance de cair no spam. Este tutorial explica como conferir e criar cada um, inclusive quando o DNS do domínio fica em outro serviço, como o Cloudflare.
Antes de começar
- Você precisa ter o domínio funcionando na hospedagem e ao menos uma conta de e-mail. Veja Contas de E-mail.
- Descubra onde o DNS do seu domínio é editado. Se os servidores de nomes (nameservers) são os da hospedagem, você edita em Gerenciar DNS. Se são de outro serviço (Cloudflare, Registro.br etc.), edite lá.
O que cada registro faz
- SPF: um registro TXT no próprio domínio que lista quem pode enviar e-mail em nome dele. Começa com v=spf1.
- DKIM: uma assinatura digital. O servidor assina cada mensagem com uma chave privada, e o DNS guarda a chave pública para o destinatário conferir. Fica em um registro TXT chamado x._domainkey e começa com v=DKIM1.
- DMARC: um registro TXT chamado _dmarc que diz ao destinatário o que fazer quando o SPF e o DKIM falham, e para onde enviar os relatórios.
Passo 1: confira o que já existe
Quando o DNS do domínio fica na hospedagem, o painel cria o SPF e o DKIM sozinho. Abra Gerenciar DNS e procure os registros do tipo TXT.
Em Contas de E-mail, confira também se o botão do DKIM mostra que ele está ativado. Deixe ativado.
Passo 2: se o seu DNS fica em outro serviço (Cloudflare e outros)
Os registros criados pela hospedagem não existem no outro serviço, então você precisa copiá-los para lá:
1. No painel da hospedagem, abra Gerenciar DNS e copie o valor completo do registro TXT do SPF e do registro x._domainkey (o DKIM).
2. No painel do serviço onde o seu DNS fica, crie dois registros do tipo TXT com os mesmos nomes e valores.
3. No Cloudflare, registros TXT não têm a opção de proxy (nuvem laranja). Se aparecer, deixe desligada.
Para o e-mail funcionar, o domínio também precisa dos registros MX e do registro "mail" apontando para a hospedagem. Veja Registros MX (DNS).
Passo 3: crie o DMARC
1. Onde o DNS é editado, adicione um registro do tipo TXT.
2. No nome, digite _dmarc.
3. No valor, digite: v=DMARC1; p=none; rua=mailto:[email protected] (troque pelo endereço que vai receber os relatórios).
O p=none só observa e relata, sem bloquear nada. É o ponto de partida seguro. Depois de algumas semanas de relatórios sem falhas, você pode trocar para p=quarantine (mensagens suspeitas vão para o spam) e, mais adiante, p=reject (mensagens suspeitas são recusadas). Só endureça a regra quando tiver certeza de que todos os serviços que enviam e-mail pelo seu domínio estão cadastrados no SPF.
Passo 4: se outro serviço também envia e-mail pelo seu domínio
Ferramentas de e-mail marketing, de atendimento ou de pedidos pedem que você acrescente o servidor delas ao SPF e crie registros DKIM próprios. Atenção: o domínio deve ter um único registro SPF. Para incluir outro serviço, acrescente o include: que ele informar dentro do mesmo registro, antes do final (por exemplo, v=spf1 ... include:servico.exemplo.com ~all), e não crie um segundo registro v=spf1. Dois registros SPF invalidam os dois.
Passo 5: teste
Envie uma mensagem para um Gmail e, na mensagem recebida, abra Mostrar original. Os campos SPF, DKIM e DMARC devem aparecer como PASS. Se algum aparecer como FAIL, o registro correspondente está errado, faltando ou ainda não propagou (pode levar de minutos a algumas horas).
Veja também