Um orçamento que não chega, uma fatura encontrada na pasta de spam: quando seus e-mails caem no spam, a causa está escrita no cabeçalho da mensagem recebida. Três registros de seu domínio, SPF, DKIM e DMARC, provam aos serviços de e-mail que seus envios vêm mesmo de você. Este guia os configura na ordem.
Authentication-Results dá o resultado de SPF, DKIM e DMARC._dmarc.seu-dominio.com, começando com p=none e um endereço para os relatórios.p=quarantine e, por fim, para p=reject.Cada serviço de e-mail que recebe uma mensagem verifica de onde ela vem e registra o resultado no cabeçalho. Para lê-lo, envie um e-mail de seu endereço profissional para um endereço do Gmail, abra a mensagem e clique em Mais (os três pontos) e depois em Mostrar original. Procure a linha Authentication-Results:
Authentication-Results: mx.google.com;
dkim=pass header.i=@seu-dominio.com header.s=google;
spf=pass (google.com: domain of contato@seu-dominio.com designates 203.0.113.25 as permitted sender) smtp.mailfrom=contato@seu-dominio.com;
dmarc=pass (p=NONE sp=NONE dis=NONE) header.from=seu-dominio.com| Você lê | O que significa | A seção a seguir |
|---|---|---|
spf=fail ou spf=softfail | O servidor que enviou a mensagem não está na lista SPF do domínio. | 1. SPF |
spf=permerror | O registro SPF é inválido: dois registros para um mesmo domínio, ou mais de dez consultas DNS. | 1. SPF |
dkim=none ou dkim=fail | A mensagem não está assinada, ou a chave publicada no DNS não corresponde à assinatura. | 2. DKIM |
dmarc=fail | Nem o SPF nem o DKIM validam o domínio do endereço de remetente que o destinatário vê. | 3. DMARC, e o formulário do site |
Tudo está em pass | A autenticação está em ordem: a causa está em outro lugar, na reputação, no volume ou no conteúdo. | Quando tudo passa |
Essas três configurações não estão presentes em toda parte na mesma medida. Entre os 1.730 domínios de PMEs que recebem e-mail em nosso levantamento mensal, 96 % publicam um SPF, e 71 % não têm nenhuma política DMARC que atue sobre o resultado.
O SPF é um registro TXT colocado na raiz do domínio. Ele começa com v=spf1, nomeia os servidores autorizados a enviar pelo domínio e termina com o que pensar de todos os outros. Os dois serviços de e-mail mais usados publicam o valor a utilizar:
v=spf1 include:_spf.google.com ~allv=spf1 include:spf.protection.outlook.com -allCada outro serviço que envia com seu domínio entra nesse mesmo registro: ferramenta de e-mail marketing, sistema de faturamento, CRM, e o servidor de seu site se os formulários enviam e-mails por conta própria. Cada um indica na documentação o include: a acrescentar; um servidor é declarado pelo endereço, com ip4::
v=spf1 include:_spf.google.com ip4:203.0.113.25 ~allv=spf1 tornam o SPF inválido (permerror): junte-os em um só.include, a, mx, ptr, exists e redirect conta, inclusive os que estão dentro dos include. Acima de dez, o SPF é inválido. ip4 e ip6 não contam.-all declara qualquer outro servidor não autorizado, ~all o sinaliza sem declará-lo ilegítimo. O Google propõe ~all na documentação, a Microsoft -all. Com o DMARC em funcionamento, é a política dele que decide o destino de uma mensagem que falha.O DKIM acrescenta a cada mensagem uma assinatura, que o serviço de e-mail do destinatário verifica com uma chave pública publicada em seu DNS, sob um nome da forma seletor._domainkey.seu-dominio.com. A assinatura é gerada no serviço que envia; seu papel é publicar a chave que ele fornece.
google, e o Google recomenda uma chave de 2.048 bits. Publique o registro TXT google._domainkey e depois volte para clicar em “Iniciar autenticação”.https://security.microsoft.com/authentication?viewid=DKIM). Ali o DKIM usa dois registros CNAME, selector1._domainkey e selector2._domainkey, cujos valores exatos o portal mostra para seu domínio: copie-os como estão e depois ative a assinatura.O Gmail aceita chaves de 1.024 bits ou mais; 2.048 bits é o tamanho recomendado pelo padrão. Conte até 48 horas para que a chave publicada fique visível em toda parte.
O DMARC liga o SPF e o DKIM ao endereço que o destinatário vê, o do campo From. Uma mensagem passa no DMARC se o SPF ou o DKIM for válido para o domínio desse endereço: é o alinhamento. O registro também diz o que fazer com uma mensagem que falha, e para onde enviar os relatórios.
v=DMARC1; p=none; rua=mailto:dmarc@seu-dominio.com| Política | O que o domínio pede | Quando escolher |
|---|---|---|
p=none | Nenhuma ação: os serviços de e-mail só enviam relatórios. | No começo, para mapear tudo o que envia com seu domínio. |
p=quarantine | Colocar na pasta de spam as mensagens que falham. | Quando os relatórios só mostram envios legítimos, e todos passam. |
p=reject | Recusar as mensagens que falham. | Quando quarantine já funciona há algumas semanas sem perda de mensagem legítima. |
p=none com um endereço rua. Os grandes serviços de e-mail enviam para ele todos os dias um relatório agregado, um arquivo XML compactado que lista os servidores que enviaram com seu domínio e o resultado de cada um.p=quarantine e depois, após algumas semanas sem perdas, para p=reject. Se suas equipes escrevem em listas de discussão, fique em quarantine: o padrão desaconselha reject para esses domínios, porque as listas modificam as mensagens que redistribuem.Guias mais antigos propõem uma subida gradual com a tag pct. A versão atual do padrão DMARC, a RFC 9989, publicada em maio de 2026, não reconhece mais essa tag: a progressão se faz pela própria política.
Muitos formulários de site enviam a mensagem com o endereço do visitante como remetente. O servidor do site não tem nenhuma autorização sobre o domínio desse visitante: SPF e DKIM não conseguem se alinhar, e o DMARC falha. Se o serviço de e-mail do visitante publica uma política estrita (yahoo.com publica p=reject), a mensagem é recusada ou vai para o spam antes de chegar a você.
formulario@seu-dominio.com.Reply-To): o endereço do visitante, para que o botão Responder escreva diretamente para ele.https://check.spamhaus.org/, verifica gratuitamente um endereço IP ou um domínio.p=none, o alinhamento, o cancelamento da inscrição com um clique e uma taxa de spam denunciado abaixo de 0,3 %. Desde novembro de 2025, o Gmail recusa parte das mensagens que não seguem essas regras. O Yahoo aplica exigências parecidas sem publicar um limite, e o Outlook.com recusa desde 5 de maio de 2025 as mensagens dos domínios que enviam mais de 5 mil mensagens por dia sem SPF, DKIM e DMARC.postmaster.google.com) mostra a reputação de seu domínio e a taxa de spam no Gmail, depois que o domínio é verificado por um registro DNS. Os painéis são preenchidos a partir de um volume de envio suficiente.A Simafri Suite reúne o e-mail, o calendário, os contatos e os arquivos de toda a sua equipe em seu nome de domínio, instalados, protegidos e acompanhados pela Simafri. Uma conta, usuários ilimitados, sem fidelidade.
Cada serviço de e-mail aplica os próprios filtros e a própria leitura de SPF, DKIM e DMARC. Uma mensagem pode chegar à caixa de entrada em um serviço e ir para o spam em outro, em particular se a autenticação estiver incompleta. O cabeçalho Authentication-Results da mensagem recebida dá o resultado do serviço em questão.
Um domínio tem um único registro SPF. Com dois registros que começam com v=spf1, a verificação SPF retorna um erro permanente (permerror). Junte os dois em um único registro que reúna todos os include e todos os endereços.
O tempo de propagação do registro, conforme a duração de vida dele (TTL): de alguns minutos a 48 horas. O Google indica até 48 horas para SPF e DKIM. Depois, verifique com um novo envio para o Gmail e o comando Mostrar original.
p=none pede apenas relatórios: os serviços de e-mail não aplicam nenhuma medida às mensagens que falham. Essa etapa serve para mapear os serviços que enviam com seu domínio. A proteção contra a falsificação vem com p=quarantine e depois p=reject.
Simafri
Vamos falar de seu site
Conte para a gente sobre seu projeto em poucas palavras: responderemos rapidamente.
Obrigado! O seu pedido foi enviado. Responderemos em breve.
Prefere o e-mail? Escreva para a gente em support@simafri.com.