Como configurar SPF, DKIM e DMARC na Bluehost

Configurar SPF, DKIM e DMARC na Bluehost é, na prática, uma única tarefa feita três vezes: você adiciona um registro TXT no editor de DNS da Bluehost, e a única coisa que muda a cada rodada é o que vai no campo de host e o valor que você cola. Os três registros em si não são específicos da Bluehost — SPF, DKIM e DMARC funcionam de forma idêntica, não importa quem administre o seu DNS. O que é específico da Bluehost é onde fica o editor, o que o campo de host/nome espera para o domínio raiz em comparação com o _dmarc ou com um seletor DKIM, e um detalhe que atrapalha muitos clientes da Bluehost: como a Bluehost hospeda tantos sites WordPress, o seu domínio muitas vezes já tem um registro SPF que você precisa mesclar em vez de duplicar. Este guia mostra o passo a passo dos três.

A versão curta#

Os três são registros TXT que você adiciona no mesmo lugar. O que muda é o nome do host e de onde vem o valor:

• SPF — um registro TXT no domínio raiz (host @), com valor começando por v=spf1. Monte-o com o gerador de registro SPF. Publique apenas um.
• DKIM — um registro TXT em <seletor>._domainkey, onde tanto o seletor quanto o valor longo são fornecidos pelo seu provedor de e-mail. Este você nunca escreve por conta própria.
• DMARC — um registro TXT em _dmarc, com valor começando por v=DMARC1. Monte-o com o gerador de registro DMARC e comece sempre com p=none.

Onde a Bluehost guarda seus registros DNS#

Faça login na sua conta Bluehost, abra a área de Domínios e selecione o domínio pelo qual você envia e-mails. Em algum lugar da tela de gerenciamento desse domínio há uma seção de DNS — a Bluehost já a chamou de DNS Zone Editor no passado e simplesmente de "DNS" no gerenciador de contas mais recente. Abra-a e você verá os registros existentes da zona: o registro A do seu site, os registros MX do e-mail e, muitas vezes, um ou dois registros TXT que já estão lá.

Ao adicionar um registro, a Bluehost mostra um pequeno formulário: um menu suspenso de Tipo (escolha TXT), um campo de Host ou Nome, o Valor TXT e um TTL. Deixe o TTL no padrão — ele só define por quanto tempo os resolvedores mantêm o registro em cache. Os dois campos que importam são o host e o valor, e acertar o host é o que decide tudo.

A Bluehost acrescenta o seu domínio a tudo o que você colocar no campo de host, então @ significa o próprio domínio raiz, e _dmarc vira _dmarc.seudominio.com. Não digite o domínio completo no campo de host ou você acabará com um nome duplicado, como _dmarc.seudominio.com.seudominio.com.

Adicionando seu registro SPF na Bluehost#

O SPF lista os servidores autorizados a enviar e-mails usando o seu domínio. É neste registro que o detalhe Bluehost/WordPress morde, então leia esta seção antes de mexer em qualquer coisa.

Primeiro, verifique se já existe um registro SPF. Na lista de DNS, procure um registro TXT no domínio raiz cujo valor comece com v=spf1. Na hospedagem da Bluehost, muitas vezes já existe um — a plataforma frequentemente provisiona um registro SPF para que o próprio e-mail do servidor (notificações do WordPress, mensagens de formulário de contato, e-mail do cPanel) seja autenticado. Ele costuma parecer com algo assim:

v=spf1 +a +mx +ip4:XXX.XXX.XXX.XXX ~all

Se esse registro existe e agora você quer enviar por meio de um provedor de e-mail — Google Workspace, um ESP de marketing, um serviço transacional — você precisa mesclar o include dele no registro que já tem. Não adicione um segundo registro SPF: um domínio pode publicar exatamente um, e um segundo torna ambos inválidos, fazendo o SPF falhar para todo mundo. Esse é o erro de SPF mais comum na Bluehost.

Um registro mesclado mantém os mecanismos existentes e adiciona o include do provedor antes do all final:

v=spf1 +a +mx +ip4:XXX.XXX.XXX.XXX include:_spf.google.com ~all

Se não existe um registro SPF, você está começando do zero: clique em Adicionar Registro, escolha TXT, defina o host como @ e cole um registro que liste apenas as fontes que você realmente usa. Deixe o gerador de registro SPF montá-lo — escolha seus provedores e ele gera um único registro válido, com os includes na ordem certa, o que é mais seguro do que editar à mão.

O ~all no final é um soft-fail (aceita, mas marca como suspeito); -all é um hard-fail. O soft-fail é o padrão seguro enquanto você confirma que todo remetente legítimo está listado.

Adicionando seu registro DKIM na Bluehost#

O DKIM publica uma chave pública para que os destinatários possam verificar uma assinatura que o seu provedor adiciona a cada mensagem. O importante é entender: tanto o seletor quanto o valor vêm do seu provedor de e-mail, e não da Bluehost, nem de você. Você não pode inventar um registro DKIM — ative o DKIM no console de administração do seu ESP ou provedor de caixa de e-mail e ele mostrará exatamente o que publicar.

O que o seu provedor lhe dá é um host e um valor parecidos com estes:

Host:  s1._domainkey
Value: v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQ…(chave longa)…

O seletor é a parte antes do ._domainkey — aqui s1, mas pode ser google, k1, dkim, selector1 ou qualquer outra coisa que o seu provedor tenha escolhido. Na Bluehost, clique em Adicionar Registro, escolha TXT, coloque toda a string de host (s1._domainkey) no campo Host/Nome e cole o valor do provedor exatamente como foi fornecido no campo Valor TXT. Copie a chave inteira — ela é longa, e uma chave truncada falha silenciosamente na verificação.

Se você envia por mais de um serviço, cada um lhe dá o próprio seletor, então ter dois ou três registros _domainkey separados é normal — ao contrário do SPF, o DKIM não se limita a um registro por domínio, porque cada um fica no seu próprio host de seletor.

Adicionando seu registro DMARC na Bluehost#

O DMARC amarra o SPF e o DKIM ao endereço "De" visível, diz aos destinatários o que fazer com mensagens que falham e envia relatórios para você. É um único registro TXT no host _dmarc.

Clique em Adicionar Registro, escolha TXT, defina o campo Host/Nome como _dmarc (a Bluehost acrescenta o seu domínio para formar _dmarc.seudominio.com) e cole um valor inicial:

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com

O p=none é intencional. Ele não muda nada na forma como o seu e-mail é tratado — apenas ativa os relatórios agregados diários para que você possa observar quais remetentes passam e quais falham antes de aplicar qualquer política. Publicar p=reject logo no primeiro dia, com o DKIM recém-adicionado e o SPF possivelmente ainda sem algum remetente, é como as pessoas acabam mandando o próprio e-mail para o spam sem querer. O gerador de registro DMARC montará um registro inicial correto e definirá o endereço de relatório para você.

Depois que os relatórios estiverem limpos por algumas semanas — cada fluxo legítimo passando com SPF ou DKIM alinhado — você eleva a política para p=quarantine e, por fim, p=reject. A sequência completa, incluindo como funciona o alinhamento e como evitar os erros clássicos, está no guia passo a passo de implementação do DMARC, e, assim que os relatórios começarem a chegar, como ler relatórios DMARC explica o que o XML está lhe dizendo.

Verifique se os registros resolvem#

As alterações de DNS na Bluehost costumam aparecer em minutos, mas podem levar algumas horas para se propagar, então não entre em pânico se uma consulta voltar vazia no começo. Quando estiver pronto, passe os três pelo verificador de SPF, DKIM e DMARC. Ele informa se cada registro foi encontrado, se está sintaticamente válido e — o que é crítico para o SPF — se você publicou mais de um registro por acidente ou estourou o limite de dez consultas DNS que includes em excesso podem disparar.

Algumas coisas que o verificador vai detectar e que passam despercebidas com facilidade na Bluehost:

• Um segundo registro SPF esquecido, o padrão da plataforma convivendo ao lado do que você adicionou. Mescle-os em um só.
• Uma chave DKIM que foi truncada ao colar, ou um seletor que não corresponde àquele com que o seu provedor está de fato assinando.
• Um host _dmarc que a Bluehost expandiu de forma estranha, deixando o registro no nome errado.

Por que se dar ao trabalho — a base de 2026#

Isto não é só arrumação. Sob os requisitos de remetente do Google e do Yahoo, todo remetente precisa de pelo menos SPF ou DKIM, e remetentes em massa — mais de 5.000 mensagens por dia para o Gmail — precisam ter os três, além de alinhamento e cancelamento de inscrição com um clique. Acertar os três na Bluehost é o que permite aos destinatários confiarem que o seu e-mail é realmente seu — mas isso é o ingresso de entrada, não o espetáculo inteiro. A autenticação comprova a identidade; a sua reputação de remetente e a qualidade da sua lista decidem se você chega à caixa de entrada.

Perguntas frequentes#

Onde adiciono os registros SPF, DKIM e DMARC na Bluehost?#

Os três vão no editor de DNS do seu domínio. Faça login, abra a área de Domínios, selecione o domínio e localize a seção de DNS ou Zone Editor, depois use Adicionar Registro e escolha TXT. Defina o Host/Nome como @ para o SPF, como selector._domainkey para o DKIM e como _dmarc para o DMARC, e cole cada valor. A Bluehost já reorganizou seu painel de controle mais de uma vez, então os rótulos exatos podem ser diferentes ou podem ter mudado de lugar, mas você sempre está procurando o editor de DNS por domínio e o tipo de registro TXT.

A Bluehost já tem um registro SPF — devo adicionar outro?#

Não. Um domínio pode publicar apenas um registro SPF, e um segundo invalida os dois. A Bluehost costuma provisionar um registro SPF padrão para o próprio e-mail do servidor, então, quando você adiciona um provedor de e-mail, você edita esse registro existente e mescla o include do provedor — por exemplo, adicionando include:_spf.google.com antes do ~all final. Use o gerador de registro SPF para montar um único registro correto e depois cole-o sobre o valor antigo, em vez de criar uma nova entrada.

O que devo colocar no campo de host do DMARC na Bluehost?#

Digite _dmarc no campo Host ou Nome. A Bluehost acrescenta automaticamente o seu domínio, produzindo _dmarc.seudominio.com, que é onde o registro deve ficar. Não digite o domínio completo você mesmo ou criará um nome duplicado. Comece o valor com v=DMARC1; p=none; e um endereço de relatório rua= para poder monitorar antes de aplicar a política.

De onde vem o valor do meu registro DKIM?#

Do seu provedor de e-mail, nunca da Bluehost. Ative o DKIM no console de administração do seu ESP ou provedor de caixa de e-mail e ele exibirá o seletor exato (a parte antes do ._domainkey) e o valor da chave pública a ser publicado. Você copia esse host e valor para um registro TXT na Bluehost exatamente como foram fornecidos. Se o provedor oferecer um CNAME em vez de uma chave inline, publique-o como CNAME — o ponto é que os valores de assinatura são sempre do provedor, e não algo que você escreve.

Depois que SPF, DKIM e DMARC estiverem ativos na Bluehost e o verificador mostrar os três passando, você comprovou a sua identidade — mas uma identidade limpa só chega à caixa de entrada se a lista por trás dela também estiver limpa. Passe seus endereços pelo verificador de e-mail gratuito para eliminar caixas mortas e erros de digitação antes que resultem em bounce, porque a autenticação abre a porta e a higiene da lista é o que leva você para dentro.