SPF, DKIM & DMARC para Brevo.

Por que autenticar o Brevo?

Autenticar seu domínio na Brevo não é mera burocracia — é o que decide se o seu e-mail chega à caixa de entrada, e a Brevo transformou isso em um requisito dentro do produto. Desde 1º de fevereiro de 2024, o Gmail e o Yahoo exigem que todo remetente em massa (aproximadamente 5.000+ mensagens por dia) passe em SPF, DKIM e DMARC com alinhamento, e a Microsoft anunciou em 5 de maio de 2025 que passaria a aplicar os mesmos padrões. O fluxo de autenticação da Brevo reflete isso: um domínio totalmente autenticado publica um registro DMARC junto ao DKIM, e o e-mail não autenticado é limitado ou rejeitado por esses provedores de caixa postal. Enquanto você não autentica, a Brevo envia a partir de uma infraestrutura compartilhada com o próprio domínio de envelope — os destinatários veem uma observação "via" ou "enviado em nome de", seu endereço From não alinha, o DMARC não passa, e a reputação de envio que você constrói fica agrupada com a de todos os outros remetentes não autenticados da Brevo. Concluir o código Brevo, mais os CNAMEs de DKIM, mais o DMARC resolve tudo isso: o DKIM alinha com o seu domínio, a tag "via" desaparece, o DMARC passa e a reputação passa a ser sua.

A realidade do SPF para o Brevo

Tecnicamente, a Brevo é um provedor de "include" — o spf.brevo.com é um registro SPF compartilhado real e ativo (uma lista plana de blocos ip4 que conta como uma única consulta DNS) — mas a verdade honesta é que a Brevo NÃO o exige, e seu fluxo padrão de autenticação de domínio gira em torno do código Brevo, do DKIM e do DMARC, e não do SPF. O motivo: em IPs compartilhados, o remetente de envelope (o Return-Path / MAIL FROM contra o qual o servidor receptor realmente verifica o SPF) é sempre um domínio pertencente à Brevo, historicamente sob sender-sib.com (e, na infraestrutura legada da Sendinblue, mailin.fr). Então, mesmo que você adicione include:spf.brevo.com ao SPF do seu domínio raiz, o SPF autentica contra a infraestrutura da Brevo, mas NÃO alinha com o seu domínio From visível — o que significa que ele não consegue satisfazer o DMARC sozinho. O alinhamento do DMARC vem inteiramente do DKIM: os CNAMEs de DKIM assinam com d=yourdomain.com (via delegação CNAME), fornecendo alinhamento DKIM relaxado que passa no DMARC. O único caso em que o SPF importa é um IP dedicado, no qual você pode definir um subdomínio de bounce/Return-Path personalizado no seu próprio domínio, e então o include:spf.brevo.com tanto autoriza quanto alinha esse remetente. Duas armadilhas de nomenclatura: use spf.brevo.com, não o descontinuado spf.sendinblue.com (o host antigo da Sendinblue pode continuar resolvendo por ora, mas está sendo aposentado), e nunca adicione um include:sendinblue.com isolado — esse não é o include de envio de clientes da Brevo, então adicioná-lo apenas traz remetentes não relacionados para o seu registro e desperdiça uma consulta.

Duas maneiras de configurar

Passo a passo

Registros a adicionar

O Brevo gera os valores exatos no seu assistente de configuração — estes mostram o formato do que você vai adicionar no seu provedor de DNS.

O limite de 10 consultas de DNS

O SPF tem um limite rígido de 10 consultas de DNS — se passar disso, ele retorna um permerror e para de validar em todo lugar. Veja quanto a configuração do Brevo consome desse limite.

Confirme que funcionou de verdade

Não confie apenas no selo do painel — confirme em uma mensagem real. Na Brevo, ao clicar em "Authenticate this email domain", aparece uma marca de verificação verde / "Value matched" por registro assim que cada um resolve. Depois, envie a si mesmo um teste a partir de um endereço no domínio autenticado, abra no Gmail e escolha o menu de três pontos e depois Show original: você quer ver DKIM: PASS exibindo o seu domínio e DMARC: PASS. Observe que o SPF muitas vezes mostrará um domínio de envelope da Brevo (algo sob sender-sib.com / mailin.fr) em vez do seu domínio — isso é esperado em um IP compartilhado e não importa, porque o DKIM é quem carrega o alinhamento. Passe seu domínio pela verificação de saúde de domínio da Qualisend para confirmar que o código Brevo, ambos os CNAMEs de DKIM e o seu registro DMARC resolvem, e assim que os relatórios agregados começarem a chegar, jogue um deles no analisador de relatórios DMARC — a Brevo deve aparecer como uma origem alinhada, aprovada no DKIM.

Pegadinhas comuns

• Cobertura

  O SPF é uma pista falsa na Brevo: adicionar include:spf.brevo.com não faz o DMARC passar em IPs compartilhados, porque o envelope é um domínio da Brevo (sender-sib.com). O DKIM é quem faz o alinhamento — não perca tempo depurando alinhamento de SPF.

• Configuração de DNS

  O CNAME flattening do Cloudflare quebra o DKIM: desative o "CNAME flattening" e defina os CNAMEs de DKIM como "DNS only" (nuvem cinza). Um CNAME achatado (flattened) ou com proxy de nuvem laranja resolve para os IPs do Cloudflare em vez do destino da Brevo, e a verificação falha.

• Configuração de DNS

  Use spf.brevo.com, não o descontinuado spf.sendinblue.com, e nunca adicione um include:sendinblue.com isolado — ele não é o include de envio de clientes da Brevo, então apenas traz remetentes não relacionados para o seu registro e queima uma consulta.

• Configuração de DNS

  Duplicação no campo de host: muitos registradores acrescentam o seu domínio automaticamente, então digitar brevo1._domainkey.yourdomain.com produz brevo1._domainkey.yourdomain.com.yourdomain.com. Digite apenas o rótulo (brevo1._domainkey / brevo2._domainkey, ou os nomes de seletor que a Brevo mostrar) quando o painel adicionar o domínio por você.

• Cobertura

  O DMARC agora faz parte do fluxo da Brevo: trate-o como obrigatório, adicione pelo menos p=none e mantenha apenas um registro _dmarc para o domínio.

• Cobertura

  Verificar um único remetente (um endereço From) não é autenticação de domínio — permite que você envie, mas ainda mostra a tag "via" e não dá alinhamento. Você precisa autenticar o domínio.

• Quebra a autenticação

  Mantenha exatamente um registro TXT de SPF: se você realmente adicionar o include para um IP dedicado, mescle-o no seu registro v=spf1 existente. Dois registros SPF são, por si só, um PermError.

• Configuração de DNS

  O TXT do código Brevo é apenas para verificação — não o exclua após a configuração. Removê-lo pode quebrar o status autenticado do domínio, mesmo que ele não assine o e-mail por si só.

Monte seu registro SPF

O Brevo não precisa de um include: de SPF no seu domínio raiz — use o gerador para montar um único registro limpo para os seus outros remetentes, e mantenha tudo em uma só linha.

SPF do Brevo — Perguntas frequentes

Leituras relacionadas

Depois de publicado, confirme se tudo resolve corretamente com o verificação de saúde do domínio e, em seguida, veja quem está enviando em seu nome com o analisador de relatórios DMARC. Explore todas as fontes de envio no gerador. A autenticação, porém, é só metade da entregabilidade — um IP ou domínio de envio que esteja listado ainda te joga no spam por mais limpo que seu SPF esteja, então vale a pena acompanhar as blacklists com o monitoramento de blacklists.