SPF, DKIM e DMARC são três registros DNS que respondem a uma única pergunta para todo provedor de e-mail para o qual você envia: esta mensagem vem mesmo de quem diz vir? Acerte-os e os provedores confiam o suficiente no seu e-mail para considerá-lo para a caixa de entrada. Erre-os — ou pule-os — e, desde 2024, os grandes provedores vão rejeitá-lo cada vez mais de imediato. Veja o que cada um faz, em termos claros.
A resposta curta#
Os três registros dividem entre si o trabalho de comprovar sua identidade:
- SPF diz quais servidores têm permissão para enviar e-mail em nome do seu domínio.
- DKIM adiciona uma assinatura criptográfica que comprova que a mensagem não foi forjada nem alterada em trânsito.
- DMARC vincula os dois ao endereço "De" visível, diz aos provedores o que fazer quando uma mensagem falha, e envia relatórios de volta a você.
Juntos, eles permitem que um destinatário confirme que seu e-mail é genuinamente seu. Desde as exigências para remetentes de 2024 do Google e do Yahoo, remetentes em massa precisam ter os três — isso não é mais opcional. Mas a autenticação apenas faz seu e-mail ser considerado para a caixa de entrada; a reputação e a higiene da lista decidem se você chega lá.
SPF: quem tem permissão para enviar#
O SPF (Sender Policy Framework) é um registro TXT que lista os servidores e serviços autorizados a enviar e-mail usando o seu domínio. Quando um destinatário recebe uma mensagem, ele verifica o IP do servidor de envio contra o seu registro SPF:
example.com. TXT "v=spf1 include:_spf.google.com include:sendgrid.net ~all"
O ~all no final é um soft-fail (aceita, mas marca como suspeito); -all é um
hard-fail (rejeita remetentes não autorizados de imediato). Todo serviço que envia
em seu nome precisa do próprio mecanismo include: nesse registro, então
gere o registro SPF exato do seu provedor em vez de
editar a string à mão. Um detalhe que vale conhecer: o SPF verifica o remetente do
envelope, não o "De" visível, e quebra quando o e-mail é encaminhado, porque o
servidor de encaminhamento não está no seu registro. É exatamente essa fragilidade
que faz o DKIM e o DMARC existirem ao lado dele.
DKIM: uma assinatura que comprova a integridade#
O DKIM (DomainKeys Identified Mail) anexa uma assinatura criptográfica a cada mensagem. Seu sistema de envio assina a mensagem com uma chave privada; você publica a chave pública correspondente no DNS em um seletor nomeado:
selector1._domainkey.example.com. TXT "v=DKIM1; k=rsa; p=MIGfMA0G..."
O destinatário busca a chave pública, verifica a assinatura e descobre duas coisas: a mensagem veio mesmo do seu domínio e não foi alterada em trânsito. Ao contrário do SPF, a assinatura DKIM viaja junto com a mensagem, então costuma sobreviver ao encaminhamento — o que a torna a mais robusta das duas verificações.
DMARC: a política que amarra tudo#
O DMARC (Domain-based Message Authentication, Reporting and Conformance) é o registro que dá sentido ao SPF e ao DKIM. Ele faz três coisas: define uma política para mensagens que falham, exige alinhamento entre o domínio autenticado e o "De" visível, e envia relatórios a você.
_dmarc.example.com. TXT "v=DMARC1; p=none; rua=mailto:dmarc@example.com"
O valor de p é a instrução para os destinatários:
p=none— apenas monitora; não toma nenhuma ação, só envia relatórios. Comece aqui.p=quarantine— envia as mensagens que falham para o spam.p=reject— recusa de imediato as mensagens que falham.
O alinhamento é a parte que barra o spoofing: uma mensagem passa no DMARC somente se
o domínio que passou no SPF ou no DKIM corresponder ao domínio no cabeçalho "De".
Tanto o SPF quanto o DKIM devem estar configurados, mas basta um deles alinhar.
Comece em p=none, leia os relatórios agregados até ter certeza de que todo fluxo
legítimo autentica e, então, aperte para quarantine e, por fim, reject.
Por que isso agora é obrigatório#
A autenticação já foi uma boa prática; desde 2024, é uma barreira. Sob as
exigências para remetentes do Google,
todos que enviam para o Gmail precisam de ao menos SPF ou DKIM e devem manter a taxa
de spam no Postmaster Tools abaixo de 0,3%, e remetentes em massa — mais de
5.000 mensagens por dia para o Gmail — precisam ter SPF, DKIM e DMARC (com
alinhamento), além de cancelamento de inscrição em um clique nos e-mails de
marketing. O Yahoo introduziu exigências equivalentes na mesma época, e o Google vem
intensificando a fiscalização — incluindo rejeições de e-mails fora de conformidade
— desde o fim de 2025. Requirements above last verified against Google's guidelines, July 2026.
A conclusão prática: se você envia e-mail de marketing ou transacional em qualquer volume, os três registros são o mínimo necessário agora, não um diferencial.
Autenticação não é entregabilidade#
Aqui está o limite honesto, porque isso confunde muita gente. Passar no SPF, no DKIM e no DMARC comprova quem você é — não comprova que você é um bom remetente. Uma mensagem perfeitamente autenticada, de um domínio com uma reputação de remetente ruim, uma lista cheia de spam traps ou uma taxa de bounce em alta ainda vai cair no spam. Os provedores verificam a autenticação primeiro — sem ela não há confiança — e, então, pesam a reputação e o engajamento para decidir o posicionamento.
Portanto, trate a autenticação como o ingresso de entrada, não como o jogo inteiro. Configure os três registros corretamente e, então, faça o trabalho que de fato conquista a caixa de entrada: verifique sua lista para não enviar a endereços mortos, mantenha bounces e reclamações baixos e envie para pessoas que querem receber seu e-mail. O guia de entregabilidade cobre as demais alavancas.
Perguntas frequentes#
Preciso dos três: SPF, DKIM e DMARC?#
Para qualquer volume de envio real, sim. Desde 2024, o Google e o Yahoo exigem SPF ou DKIM de todo remetente e os três de remetentes em massa (5.000+ mensagens por dia), e o DMARC é o que torna os outros dois aplicáveis contra spoofing. Mesmo abaixo do limite de envio em massa, ter os três já é o patamar mínimo que os provedores esperam.
Qual é a diferença entre SPF e DKIM?#
O SPF autoriza quais servidores podem enviar em nome do seu domínio e é verificado contra o IP de envio; o DKIM assina a mensagem criptograficamente para que o destinatário confirme que ela veio de você e não foi alterada. O SPF é mais simples, mas quebra no encaminhamento; o DKIM viaja junto com a mensagem e sobrevive a ele. Eles cobrem diferentes tipos de falha, e é por isso que você quer os dois.
O que significa DMARC p=none, e isso é suficiente?#
p=none diz aos destinatários para não tomarem nenhuma ação sobre mensagens que
falham e apenas enviarem relatórios a você — é o ponto de partida seguro para
monitoramento, mas não oferece proteção alguma contra spoofing. É um primeiro passo,
não um destino: use os relatórios para confirmar que seus e-mails legítimos
autenticam e, então, avance para p=quarantine e p=reject para de fato aplicar a
política.
Passar na autenticação garante que meu e-mail chegue à caixa de entrada?#
Não. A autenticação é necessária, mas não suficiente. Ela comprova sua identidade, o que faz seu e-mail ser considerado — mas o posicionamento é decidido pela reputação do remetente, pelo engajamento, pelas taxas de reclamação e pela qualidade da lista. Um remetente totalmente autenticado, com uma lista suja ou uma reputação ruim, ainda cai no spam.
A autenticação leva você até a porta; a higiene da lista ajuda a atravessá-la. O verificador de e-mail gratuito detecta domínios mortos e erros de digitação antes que resultem em bounce, e o plano gratuito roda o pipeline completo de verificação na sua lista — porque listas limpas e taxas de bounce baixas são o que transformam uma identidade confiável em posicionamento na caixa de entrada.
