Você configurou o e-mail no seu domínio, disparou a primeira campanha e boa parte dela caiu no spam. Antes de reescrever o assunto, confira três registros de DNS: SPF, DKIM e DMARC. Eles não deixam o seu e-mail mais bonito — provam que ele é realmente seu. Sem essa prova, Gmail e Outlook tratam a mensagem como suspeita por padrão, e desde 2024 quem envia em volume não passa sem os três configurados.
Vale dizer de saída: autenticação não conserta uma lista ruim, ela é o pré-requisito. Depois de acertar o DNS, o passo seguinte é higienizar os contatos — um validador de e-mails gratuito mostra rapidamente quantos endereços da sua base sequer existem.
SPF: quais servidores podem enviar em seu nome
SPF é um registro TXT no domínio raiz que lista quem tem permissão para enviar usando o seu domínio. O servidor que recebe compara o IP de origem com essa lista e decide o que fazer.
Um registro mínimo e correto para quem usa Google Workspace se parece com isto: v=spf1 include:_spf.google.com ~all. Se você também envia por uma ferramenta de marketing, acrescente o include dela no mesmo registro. O final importa muito:
- ~all (softfail) marca como suspeito o que vier de fora da lista. É o recomendado enquanto você ainda mapeia quem envia por você.
- -all (hardfail) rejeita. Só depois de ter certeza de que nenhum sistema legítimo ficou de fora.
- +all autoriza o mundo inteiro. Nunca use.
DKIM: a assinatura criptográfica
DKIM assina cada mensagem com uma chave privada guardada no servidor de envio. A chave pública correspondente fica publicada no seu DNS, em um registro TXT com nome de seletor — algo como seletor._domainkey.seudominio.com.br — cujo conteúdo começa com v=DKIM1; k=rsa; p= seguido de uma sequência longa.
Quem recebe pega a chave pública, recalcula a assinatura e confirma que o corpo e os cabeçalhos principais não foram alterados no caminho. É a parte mais robusta do conjunto: diferente do SPF, a assinatura DKIM sobrevive a encaminhamentos, porque não depende do IP de quem entrega. Use chaves de 2048 bits e gere um seletor novo a cada rotação, em vez de sobrescrever o antigo.
DMARC: a política que amarra tudo
SPF e DKIM dizem "isto passou" ou "isto falhou", mas não dizem o que fazer em seguida. Esse é o papel do DMARC. Ele vive em um registro TXT no nome _dmarc.seudominio.com.br e no início pode ser tão simples quanto v=DMARC1; p=none; rua=mailto:relatorios@seudominio.com.br.
As três políticas possíveis são p=none (não faça nada, só me mande relatórios), p=quarantine (mande para o spam) e p=reject (recuse na porta). O caminho saudável é começar em none, ler por algumas semanas os relatórios agregados que chegam no endereço do rua, identificar todo remetente legítimo que ainda falha e só então avançar para quarantine e, por fim, reject.
Alinhamento: o detalhe que derruba quem achou que terminou
Aqui mora o erro mais frustrante. O DMARC não pergunta apenas se o SPF ou o DKIM passaram; pergunta se passaram para o mesmo domínio que aparece no campo De.
- Alinhamento SPF: o domínio do Return-Path precisa bater com o do remetente visível. Muita ferramenta usa um Return-Path próprio — por isso elas pedem que você crie um subdomínio com CNAME.
- Alinhamento DKIM: o valor da tag d= na assinatura precisa bater com o domínio do De.
Basta um dos dois alinhar para o DMARC passar. Mas se o SPF está verde no teste e o DMARC continua falhando, o alinhamento é o culpado.
Os erros que mais aparecem
- Dois registros SPF no mesmo domínio. Isso invalida os dois. Junte tudo em um registro único com vários includes.
- Mais de 10 consultas de DNS. O SPF tem limite rígido de dez lookups; passou disso, o resultado é permerror. Cada include, a, mx e redirect conta.
- Ficar em p=none para sempre. Uma política none nunca bloqueou falsificação: é um estágio, não um destino.
- Pular direto para p=reject. O oposto, e igualmente caro: você derruba a fatura automática do sistema que ninguém lembrava que existia.
- Esquecer os subdomínios. Sem a tag sp=, eles herdam a política do domínio pai; se quiser tratamento diferente, declare.
- Quebrar a chave DKIM ao colar. Registros longos são divididos em pedaços entre aspas; um espaço a mais e a assinatura para de validar.
- Nunca abrir os relatórios. É no rua que aparecem os remetentes esquecidos e as tentativas de falsificação.
Como conferir os seus registros
Consulte o DNS com dig TXT seudominio.com.br e dig TXT _dmarc.seudominio.com.br (no Windows, nslookup com tipo TXT resolve). Depois mande um teste para uma caixa no Gmail, abra "Mostrar original" e confira as três linhas de cabeçalho: spf, dkim e dmarc precisam estar em PASS. Para testar o fluxo de cadastro do seu próprio produto sem sujar a caixa principal, um endereço temporário do 1mail.lt recebe a mensagem em segundos.
A ordem certa: autenticar, limpar, enviar
Autenticação resolve identidade, não reputação. Um domínio perfeitamente autenticado que dispara para endereços comprados continua indo para o spam — e agora o provedor sabe exatamente de quem é a culpa. Fechados SPF, DKIM e DMARC, tire da lista os endereços inválidos passando a base por um verificador de endereços de e-mail, porque cada retorno duro corrói a sua reputação. Entender a diferença entre bounce permanente e temporário ajuda a decidir o que remover de vez, e saber o que é uma armadilha de spam explica por que listas antigas são tão perigosas.
Perguntas frequentes
Preciso dos três registros ou dá para escolher?
Precisa dos três. SPF e DKIM não dizem ao provedor o que fazer quando falham, e o DMARC sem eles não tem nada para avaliar. Os grandes provedores já exigem o conjunto completo de quem envia em volume.
Quanto tempo leva para o DNS propagar?
De minutos a poucas horas, conforme o TTL do registro. Antes de uma alteração importante, reduza o TTL para 300 segundos com um dia de antecedência.
Posso usar p=reject desde o primeiro dia?
Tecnicamente pode, mas é arriscado. Rode de quatro a seis semanas em p=none lendo os relatórios, passe por quarantine e só então vá para reject.
Configurei tudo e ainda caio no spam. E agora?
Autenticação virou pré-requisito, não selo de qualidade. O que sobra é reputação: volume crescendo devagar, baixa taxa de retorno, poucas marcações de spam e uma lista limpa.
