SPF, DKIM & DMARC para DreamHost.

Por que autenticar o DreamHost?

Acertar SPF, DKIM e DMARC na DreamHost decide se o seu e-mail chega à caixa de entrada. Desde fevereiro de 2024, o Gmail e o Yahoo exigem que todo remetente em massa (grosso modo, 5.000 ou mais mensagens por dia) passe em SPF, DKIM e DMARC com alinhamento, e a Microsoft começou a aplicar a mesma regra ao correio de alto volume enviado ao Outlook/Hotmail em 2025. A DreamHost é incomum entre as páginas de "provedores" porque você envia a partir das suas próprias caixas de correio: o remetente do envelope é o seu domínio, então o SPF alinha, e a DreamHost assina o DKIM como sendo do seu domínio, então o DKIM também alinha — um domínio DreamHost bem configurado passa no DMARC pelos dois mecanismos, a configuração resiliente que sobrevive a encaminhamentos. Mas duas particularidades da DreamHost quebram isso silenciosamente: scripts do site que enviam via mail()/sendmail do PHP em vez de SMTP autenticado não recebem assinatura DKIM, e editar o SPF descarta o registro gerenciado da DreamHost. Feche as duas brechas e a reputação de envio que você constrói passa a acumular a favor do seu próprio domínio em vez de escorrer como e-mail não autenticado.

A realidade do SPF para o DreamHost

A DreamHost é um autêntico provedor de "include", mas o include na verdade são dois includes mais um mx, e juntos eles SÃO todo o seu registro SPF raiz. Para um domínio cujo DNS reside na DreamHost, o painel publica automaticamente v=spf1 mx include:netblocks.dreamhost.com include:relay.mailchannels.net -all. netblocks.dreamhost.com contém as próprias faixas de IP de saída da DreamHost; relay.mailchannels.net está ali porque a DreamHost roteia o correio de saída pelo MailChannels (um relay de saída compartilhado) — ambos são obrigatórios, e remover qualquer um faz parte do seu correio falhar de vez no SPF (hard-fail). Como você envia a partir das suas próprias caixas de correio, o remetente do envelope SMTP é um endereço no seu domínio, então o SPF de fato ALINHA ao seu domínio organizacional aqui (ao contrário de um Mailchimp ou SendGrid, que é dono do Return-Path). O comportamento que confunde as pessoas: esse registro só permanece gerenciado enquanto você não o toca. Adicione ou edite um registro SPF TXT personalizado e a DreamHost remove o gerado automaticamente, então o seu substituto DEVE conter tanto include:netblocks.dreamhost.com quanto include:relay.mailchannels.net (além de qualquer include de terceiros que você esteja adicionando), tudo dentro de UM único registro v=spf1. O padrão termina em -all (hard fail), que é rigoroso — todo remetente legítimo precisa estar listado ou é rejeitado de imediato. E nunca publique dois registros SPF TXT no domínio; dois registros SPF já são, por si só, um PermError.

Duas maneiras de configurar

Passo a passo

Registros a adicionar

O DreamHost gera os valores exatos no seu assistente de configuração — estes mostram o formato do que você vai adicionar no seu provedor de DNS.

O limite de 10 consultas de DNS

O SPF tem um limite rígido de 10 consultas de DNS — se passar disso, ele retorna um permerror e para de validar em todo lugar. Veja quanto a configuração do DreamHost consome desse limite.

Confirme que funcionou de verdade

Não confie só no painel — confirme em uma mensagem real. Envie um teste de uma caixa de correio da DreamHost para um endereço do Gmail, abra-o e escolha ⋮ → Mostrar original: você quer ver SPF: PASS exibindo o seu domínio, DKIM: PASS com d=yourdomain.com e o seletor dreamhost, e DMARC: PASS. Se o DKIM estiver faltando, a mensagem quase certamente saiu via mail()/sendmail do PHP em vez de SMTP autenticado. Você pode conferir os registros brutos com dig TXT dreamhost._domainkey.yourdomain.com e dig TXT _dmarc.yourdomain.com, e confirmar que o registro SPF ainda contém os dois includes com dig TXT yourdomain.com. Depois, passe o domínio pela verificação de integridade de domínio da Qualisend para confirmar que todos os registros resolvem e que o SPF permanece dentro do limite de 10 consultas, e assim que os relatórios agregados de DMARC começarem a chegar, jogue um deles no analisador de relatórios DMARC — a DreamHost (e seu relay MailChannels) deve aparecer como uma origem alinhada e aprovada.

Pegadinhas comuns

• Configuração de DNS

  Editar o SPF remove o registro gerenciado da DreamHost — a armadilha nº 1 da DreamHost. No instante em que você salva um SPF TXT personalizado, a DreamHost descarta o gerado automaticamente, então o seu substituto DEVE conter tanto include:netblocks.dreamhost.com QUANTO include:relay.mailchannels.net ou parte do seu correio silenciosamente começa a falhar no SPF.

• Cobertura

  relay.mailchannels.net não é opcional. A DreamHost envia o correio de saída pelo MailChannels, então o correio roteado pelo relay dá hard-fail no SPF se você deixar esse include de fora (o registro termina em -all).

• Cobertura

  O correio do site via mail()/sendmail do PHP não recebe assinatura DKIM. Só o correio enviado por SMTP autenticado (smtp.dreamhost.com) é assinado; um formulário do WordPress ou mailer em PHP sem plugin de SMTP passa no SPF, mas não no DKIM, então não vai alinhar no DKIM.

• Cobertura

  O -all padrão é um hard fail, não um soft. O registro da DreamHost rejeita qualquer remetente que você esqueça de incluir, então adicione todo serviço legítimo antes de depender dele — ou afrouxe para ~all enquanto testa.

• Configuração de DNS

  Os registros automáticos só existem quando o seu DNS está hospedado na DreamHost. Se os seus nameservers apontarem para a Cloudflare ou um registrador, a DreamHost não publica nada — você mesmo precisa adicionar o registro SPF, copiar o TXT do DKIM dreamhost._domainkey e adicionar o DMARC no seu host de DNS real.

• Quebra a autenticação

  Nunca publique dois registros SPF. Se você adicionar outro serviço de e-mail, mescle o mecanismo dele na única linha v=spf1 — dois registros SPF TXT separados são um PermError que quebra o SPF por completo.

• Cobertura

  Deixe o campo Name em branco para o SPF raiz. A DreamHost representa a raiz do domínio com um campo Name vazio; inserir @ ou o nome do seu domínio o duplica em um host inválido.

• Cobertura

  O DMARC é responsabilidade sua. A DreamHost cuida automaticamente do SPF e do DKIM, mas nunca cria o DMARC — sem um registro _dmarc você reprova nos requisitos de remetente em massa do Gmail/Yahoo mesmo que o SPF e o DKIM passem.

Monte seu registro SPF

O DreamHost já vem pré-selecionado abaixo. Adicione as outras plataformas pelas quais você envia e publique o registro único e combinado.

SPF do DreamHost — Perguntas frequentes

Leituras relacionadas

Depois de publicado, confirme se tudo resolve corretamente com o verificação de saúde do domínio e, em seguida, veja quem está enviando em seu nome com o analisador de relatórios DMARC. Explore todas as fontes de envio no gerador. A autenticação, porém, é só metade da entregabilidade — um IP ou domínio de envio que esteja listado ainda te joga no spam por mais limpo que seu SPF esteja, então vale a pena acompanhar as blacklists com o monitoramento de blacklists.