SPF, DKIM e DMARC são três registros no DNS do seu domínio que provam aos provedores de e-mail que uma mensagem com o seu endereço foi mesmo enviada por você. O SPF diz quem pode mandar em seu nome; o DKIM põe uma assinatura em cada e-mail; o DMARC diz o que fazer quando algo não confere. Sem os três, Gmail e Yahoo tendem a mandar seus e-mails para o spam — e, para quem envia volume, é exigência desde 2024.
Por que isso existe
Qualquer pessoa pode escrever um e-mail e colocar no campo "De" o endereço que quiser — inclusive o seu. É assim que funcionam muitos golpes. Os três registros são o jeito de o provedor que recebe perguntar ao seu domínio: "esse e-mail é seu mesmo?".
SPF: a lista de quem pode mandar
Analogia: é a lista de funcionários autorizados na portaria do prédio.
O SPF é um registro de texto no DNS do domínio que lista quais servidores podem mandar e-mail em nome dele. Quando o Gmail recebe um e-mail de "[email protected]", ele olha o SPF de "suaempresa.com.br" e confere se o servidor que mandou está na lista.
Um SPF tem mais ou menos esta cara:
v=spf1 include:_spf.google.com ~all
Que quer dizer: "os servidores do Google podem mandar por mim; os outros, desconfie".
Cuidado comum: só pode existir um registro SPF por domínio. Se você usa dois serviços (por exemplo, o Google para os e-mails do dia a dia e outro para avisos do sistema), os dois entram no mesmo registro.
DKIM: a assinatura em cada e-mail
Analogia: o lacre com carimbo num envelope — se alguém abrir e mexer, o lacre quebra.
O DKIM coloca uma assinatura digital invisível em cada e-mail enviado. O domínio publica no DNS a "chave" para conferir essa assinatura. Quem recebe confere: se bate, o e-mail veio mesmo do seu domínio e não foi alterado no caminho.
Quem gera a assinatura é o serviço de e-mail que você usa (Google, Microsoft, outro). Ele te dá um registro para copiar no DNS — geralmente com um nome como "google._domainkey".
DMARC: o que fazer quando algo falha
Analogia: a instrução que você deixa na portaria — "se aparecer alguém dizendo que é da minha empresa e não estiver na lista, não deixe entrar".
O DMARC diz aos provedores o que fazer com e-mails que falham no SPF e no DKIM, e para onde mandar relatórios. Ele tem três níveis:
| Política | O que pede | Quando usar |
|---|---|---|
| p=none | Só observar e mandar relatório | No começo, para ver se tudo passa |
| p=quarantine | Mandar para o spam | Quando tudo já está certo |
| p=reject | Recusar | Proteção máxima contra quem finge ser você |
Um DMARC simples para começar:
v=DMARC1; p=none; rua=mailto:[email protected]
O que o Gmail e o Yahoo exigem
Desde 2024, quem manda e-mails em volume para contas do Gmail e do Yahoo precisa, entre outras coisas:
- ter SPF e DKIM configurados;
- ter DMARC publicado;
- manter a taxa de denúncia de spam baixa;
- facilitar a saída para quem não quer receber.
Para prospecção, isso não é burocracia: é a diferença entre chegar na caixa de entrada ou no spam. Veja por que o e-mail de prospecção cai no spam.
Como conferir se está tudo certo
O jeito mais simples, sem ferramenta nenhuma:
- Mande um e-mail do seu domínio para uma conta pessoal do Gmail.
- Abra o e-mail, clique nos três pontinhos e em "Mostrar original".
- No topo aparecem SPF, DKIM e DMARC. Os três devem estar como PASS.
Se algum aparecer como FAIL ou não aparecer, falta configurar ou há um erro no registro.
Onde ficam esses registros
No DNS do seu domínio — no painel de onde ele está hospedado (Registro.br, Cloudflare, a empresa de hospedagem). São registros do tipo TXT (às vezes CNAME, para o DKIM). Quem configura costuma ser a pessoa de TI ou o suporte da hospedagem; o serviço de e-mail que você usa dá os valores exatos para copiar.
E se eu tiver mais de um domínio?
Cada domínio precisa dos seus próprios SPF, DKIM e DMARC. Isso vale especialmente para os domínios separados de prospecção: cada um é configurado e aquecido antes de mandar o primeiro e-mail.
Perguntas frequentes
O que é SPF?
É a lista de quem pode mandar e-mail em nome do seu domínio. Fica num registro no DNS.
O que é DKIM?
É uma assinatura digital em cada e-mail, que prova que ele saiu mesmo do seu domínio e não foi alterado no caminho.
O que é DMARC?
É a regra que diz o que o provedor deve fazer quando o SPF ou o DKIM falham: deixar passar, mandar para o spam ou recusar. O Gmail exige os três de quem manda muito e-mail.
Onde o Captaqui entra
Nos planos com e-mail, o Captaqui cuida dessa parte técnica nos domínios de envio: configura SPF, DKIM e DMARC de cada um, confere que passam e só depois começa o aquecimento. O domínio principal da sua empresa não é usado para prospectar — e não precisa ser mexido.