SPF, DKIM & DMARC para Elastic Email.
Verificar um domínio no Elastic Email se resume a quatro registros DNS mais um clique no painel: um registro SPF TXT que adiciona o include compartilhado do Elastic Email, um registro DKIM TXT no seletor api, um CNAME de rastreamento que personaliza seus links de clique/abertura e um registro de política DMARC. O que há de incomum aqui é a chave DKIM — o Elastic Email entrega a todos os clientes a mesma chave pública compartilhada em vez de gerar uma por domínio, e seu include de SPF é uma consulta dinâmica por macro, não uma lista estática de IPs. Coloque os registros no ar e clique em Verify, e o Elastic Email passa a enviar totalmente autenticado como seu domínio — e libera o limite de 500 e-mails por dia que ele aplica a domínios não verificados.
Por que autenticar o Elastic Email?
Autenticar seu domínio no Elastic Email é o que tira você da penalidade de 500 mensagens por dia e do pool compartilhado. Enquanto um domínio não estiver verificado, o Elastic Email o limita a 500 e-mails por dia e envia seus e-mails apenas fracamente atribuídos a você. Desde fevereiro de 2024, o Gmail e o Yahoo passaram a exigir que todo remetente em massa (cerca de 5.000+ mensagens por dia) passe em SPF, DKIM e DMARC com alinhamento, e a Microsoft começou a aplicar o mesmo ao tráfego do Outlook/Hotmail/Live em 2025 — e como o Elastic Email é muito usado para envios de marketing e transacionais de alto volume, essa exigência se aplica exatamente aos e-mails que você envia por ele. Publicar SPF e DKIM (mais o CNAME de rastreamento e uma política DMARC) alinha seus e-mails ao seu próprio domínio, remove a marca genérica do Elastic Email dos links rastreados, libera o limite diário e faz com que a reputação de envio que você constrói seja acumulada no seu domínio, em vez de na infraestrutura que todas as contas da plataforma compartilham.
A realidade do SPF para o Elastic Email
O Elastic Email é um provedor de "include" genuíno: você adiciona um mecanismo compartilhado, include:_spf.elasticemail.com, ao único registro SPF TXT do seu domínio. A linha recomendada pelo próprio Elastic Email é v=spf1 a mx include:_spf.elasticemail.com ~all, mas a única parte que autoriza os servidores do Elastic Email é o include — o a e o mx são texto genérico padrão que autoriza seu próprio host de web/e-mail e são opcionais. O que torna esse include incomum é o que ele resolve: em vez de uma lista estática de faixas ip4:, o _spf.elasticemail.com publica v=spf1 exists:%{i}._spf.elasticemail.info ~all — uma checagem exists: baseada em macro que consulta o IP de envio exato (%{i}) no momento da verificação. Disso decorrem duas consequências práticas. Primeiro, o include custa DUAS das suas 10 consultas DNS de SPF, não uma: uma para o include em si e outra para o mecanismo exists aninhado (mantenha também o a e o mx e a linha recomendada do Elastic Email já chega a quatro consultas antes de você adicionar qualquer outro remetente). Segundo, como a autorização é calculada dinamicamente por IP, o Elastic Email pode adicionar ou aposentar IPs de envio sem que você precise editar o DNS de novo. Mantenha exatamente um registro SPF no domínio — se você já envia pelo Google Workspace, Microsoft 365, um CRM etc., mescle include:_spf.elasticemail.com nessa única linha v=spf1 em vez de publicar um segundo registro SPF (dois registros SPF geram um PermError). O Elastic Email entrega a linha com ~all (softfail) porque a maioria dos remetentes também envia por outros serviços; aperte para -all somente depois que toda fonte legítima estiver listada.
Passo a passo
- 1
Abra o Manage Domains
Faça login em app.elasticemail.com e vá em Settings → Domains → Manage Domains. Clique em Start Verification, digite o domínio de onde você envia e clique em Continue. O Elastic Email então gera os registros DNS exatos para esse domínio.
- 2
Leia os registros gerados
Na tela de verificação, o Elastic Email lista os registros a publicar: uma linha SPF TXT, um registro DKIM TXT no host api._domainkey, um CNAME de rastreamento (host tracking → api.elasticemail.com) e um registro DMARC sugerido. Mantenha esta aba aberta — você vai clicar em Verify aqui assim que o DNS estiver no ar.
- 3
Adicione ou mescle o registro SPF
No seu host de DNS, adicione um registro TXT no domínio raiz (host @ ou em branco) com v=spf1 a mx include:_spf.elasticemail.com ~all. Se já existir um registro SPF, NÃO crie um segundo — mescle include:_spf.elasticemail.com na linha v=spf1 existente. Você pode remover o a e o mx se não envia a partir do servidor de web/e-mail do seu próprio domínio.
- 4
Publique o registro DKIM TXT
Adicione um registro TXT com host api._domainkey e o valor mostrado no seu painel (ele começa com k=rsa; t=s; p=MIGf…). Esta é a chave DKIM compartilhada do Elastic Email — copie o valor literalmente de Manage Domains e não renomeie o host.
- 5
Adicione o CNAME de rastreamento
Adicione um registro CNAME com host tracking apontando para api.elasticemail.com. Isso personaliza seus links de rastreamento de abertura/clique com seu próprio subdomínio e faz parte da verificação completa do domínio. Na Cloudflare, configure como DNS only (nuvem cinza) para que ele resolva.
- 6
Publique o registro DMARC
Adicione um registro TXT no host _dmarc com v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. Comece em p=none (apenas monitoramento) para que nada seja afetado enquanto você confirma o alinhamento, e aperte depois.
- 7
Clique em Verify record
De volta à tela de verificação, clique em Verify record. Marcas de confirmação verdes aparecem ao lado de cada registro à medida que o Elastic Email o confirma no DNS. A propagação pode levar até 24–48 horas, então verifique de novo se um registro não for reconhecido de imediato.
- 8
Defina como remetente padrão
Depois de verificado, opcionalmente defina o domínio como seu remetente padrão para que novas campanhas e envios por API o usem automaticamente. A verificação também remove o limite de 500 e-mails por dia que se aplica a domínios não verificados.
- 9
Envie um teste e verifique os cabeçalhos
Envie uma mensagem de um endereço no domínio verificado, abra-a no Gmail e escolha ⋮ → Show original. Confirme DKIM: PASS signed-by yourdomain.com (seletor api), SPF: PASS e DMARC: PASS.
Registros a adicionar
O Elastic Email gera os valores exatos no seu assistente de configuração — estes mostram o formato do que você vai adicionar no seu provedor de DNS.
| Tipo | Host | Valor |
|---|---|---|
| TXT | @ | v=spf1 a mx include:_spf.elasticemail.com ~allSPF raiz — mantenha apenas um registro SPF e mescle o include nele. Só include:_spf.elasticemail.com autoriza o Elastic Email; o a e o mx são opcionais. O include custa 2 consultas DNS (include + uma macro exists aninhada). |
| TXT | api._domainkey | k=rsa; t=s; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQCbmGbQMzYeMvxw…Chave DKIM COMPARTILHADA do Elastic Email (seletor api) — toda conta publica o mesmo valor. Copie o valor completo literalmente de Manage Domains; ele se alinha ao seu domínio mesmo que a chave seja compartilhada. |
| CNAME | tracking | api.elasticemail.comRastreamento de abertura/clique personalizado. Parte da verificação completa. Na Cloudflare, configure como DNS only (nuvem cinza). |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comUm registro DMARC por domínio. Comece em p=none, depois aperte para quarantine/reject. |
Mantenha exatamente um registro TXT de SPF (v=spf1) no seu domínio raiz — combine todos os remetentes nele. Ter dois registros SPF já é, por si só, um erro.
O limite de 10 consultas de DNS
O SPF tem um limite rígido de 10 consultas de DNS — se passar disso, ele retorna um permerror e para de validar em todo lugar. Veja quanto a configuração do Elastic Email consome desse limite.
O Elastic Email usa 2 das suas 10 consultas; os mecanismos ip4: e ip6: são gratuitos.
DKIM
O DKIM no Elastic Email é uma única chave pública compartilhada com o seletor api — não uma chave por domínio que você gera. Todo cliente publica exatamente o mesmo registro TXT: host api._domainkey.yourdomain.com, valor k=rsa; t=s; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQ… (uma chave de 1024 bits). Você mesmo pode confirmar isso: api._domainkey.elasticemail.com resolve para o valor idêntico. O Elastic Email guarda a única chave privada correspondente e assina seu e-mail de saída com d=yourdomain.com, então, mesmo que a chave seja compartilhada, a assinatura ainda se ALINHA ao seu domínio — que é exatamente o que o DKIM precisa para contribuir com um DMARC pass. Por ser compartilhada, algumas coisas decorrem disso: você não pode rotacionar a chave sozinho, é uma chave de 1024 bits em vez do padrão moderno de 2048 bits, e você deve copiar o valor exato da sua própria tela Manage Domains em vez de colar um de um artigo de terceiros — se o Elastic Email um dia rotacionar a chave compartilhada, o painel é a fonte da verdade. Publique-a exatamente como mostrado: não renomeie o host api._domainkey, não o converta em um CNAME e não adicione nem remova caracteres (a flag t=s no valor é do Elastic Email, não um erro de digitação). Na prática, o DKIM é o mecanismo que sustenta o DMARC aqui — ele se alinha ao seu domínio em toda mensagem independentemente de encaminhamento, enquanto o SPF só ajuda quando seu domínio é o remetente do envelope.
DMARC
O DMARC é um registro TXT separado que você mesmo publica — o Elastic Email não o cria, embora seu fluxo de verificação solicite um. Adicione um registro em _dmarc.yourdomain.com começando com v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none é apenas monitoramento: não muda nada na entrega, mas pede aos receptores que enviem por e-mail relatórios agregados para você, de modo que possa confirmar que o e-mail do Elastic Email está passando no DKIM (e, onde seu domínio é o remetente do envelope, no SPF) alinhado ao seu domínio antes de você aplicar qualquer coisa. A própria tela de verificação do Elastic Email empurra você direto para p=quarantine ou p=reject, e ela tem razão em dizer que uma política de none oferece pouca proteção — mas avance com intenção: observe os relatórios rua por uma ou duas semanas, confirme que todo remetente legítimo (o Elastic Email mais quaisquer outras ferramentas no domínio) está alinhado, então aperte para quarantine e por fim reject. Mantenha exatamente um registro _dmarc para o domínio inteiro, não importa quantos remetentes você use; nunca publique um segundo registro DMARC só para o Elastic Email.
Confirme que funcionou de verdade
Não confie apenas nas marcas de confirmação verdes em Manage Domains — confirme em uma mensagem real. Envie um teste de um endereço no domínio verificado, abra-o no Gmail e escolha ⋮ → Show original: você quer DKIM: PASS signed-by yourdomain.com com o seletor api, SPF: PASS e DMARC: PASS. Se o SPF mostrar um domínio de envelope do Elastic Email em vez do seu, não entre em pânico — o DKIM é o que está carregando o DMARC pass, e isso está tudo bem. Você também pode conferir os registros brutos com dig TXT api._domainkey.yourdomain.com, dig TXT yourdomain.com (para a linha SPF), dig TXT _dmarc.yourdomain.com e dig CNAME tracking.yourdomain.com. Depois passe o domínio pela verificação de saúde do domínio da Qualisend para confirmar que todos os registros resolvem e que seu SPF permanece abaixo do limite de 10 consultas (lembre-se de que o include do Elastic Email vale duas delas), e assim que os relatórios agregados DMARC começarem a chegar, jogue um deles no analisador de relatórios DMARC para verificar que o Elastic Email aparece como uma fonte alinhada e aprovada.
Pegadinhas comuns
- Configuração de DNS
A chave DKIM do Elastic Email é compartilhada, não por domínio — toda conta publica o mesmo valor api._domainkey. Isso é esperado e ainda se alinha ao seu domínio, mas significa que você não pode rotacionar a chave sozinho, é uma chave de 1024 bits, e você deve copiar o valor exato de Manage Domains em vez de um artigo de terceiros, caso o Elastic Email a rotacione.
- Quebra a autenticação
O include custa DUAS consultas SPF, não uma: include:_spf.elasticemail.com mais a macro exists:%{i}._spf.elasticemail.info aninhada dentro dele. Mantenha o a e o mx sugeridos pelo Elastic Email e a linha recomendada já chega a ~4 consultas antes de você adicionar qualquer outro remetente — atenção ao limite de 10 consultas.
- Quebra a autenticação
Mantenha exatamente um registro SPF no domínio. Se você já envia pelo Google, Microsoft 365, um CRM etc., mescle include:_spf.elasticemail.com na linha v=spf1 existente — dois registros SPF separados geram um PermError que quebra o SPF por completo.
- Configuração de DNS
O a e o mx no SPF recomendado do Elastic Email são texto genérico padrão para o seu próprio host de web/e-mail, não para o Elastic Email. Se você não envia de fato e-mails do registro A ou dos servidores MX do seu domínio, remova-os e use v=spf1 include:_spf.elasticemail.com ~all para recuperar duas consultas.
- Configuração de DNS
Na Cloudflare, configure o CNAME de rastreamento como DNS only (nuvem cinza). Um CNAME proxied de nuvem laranja não vai resolver para api.elasticemail.com, então o rastreamento e a verificação completa falham.
- Configuração de DNS
Domínios não verificados são limitados a 500 e-mails por dia. Se seus envios estão sendo silenciosamente limitados, o domínio quase certamente não terminou de verificar — concluir SPF + DKIM + o CNAME de rastreamento e clicar em Verify é o que libera o limite.
- Configuração de DNS
Publique o registro DKIM exatamente no host api._domainkey, como um registro TXT, com o valor literal. Renomear o host, usar um CNAME ou adulterar a longa string p= fazem o DKIM falhar silenciosamente enquanto o painel ainda pode parecer parcialmente verde.
- Cobertura
Envia de um subdomínio (por exemplo, mail.yourdomain.com)? Coloque todos os registros no subdomínio — SPF no subdomínio, api._domainkey.mail, tracking.mail e _dmarc.mail. Os registros do domínio raiz não cobrem um subdomínio de envio.
Monte seu registro SPF
O Elastic Email já vem pré-selecionado abaixo. Adicione as outras plataformas pelas quais você envia e publique o registro único e combinado.
This domain's own servers
Authorize the domain itself, if it sends mail directly (not through a platform above).
Other senders & IPs
Anything not in the list — another provider's SPF host, or specific IP addresses.
We add the include: prefix — enter the hostname your provider documents.
Policy for everyone else
What receivers should do with mail from any server not listed above (the all mechanism).
- Publish it as a TXT record at your root domain — host @ (the bare domain), value the full string above.
- Keep only one SPF record per domain. Merge every sending source into this single line — a second TXT record starting v=spf1 makes both invalid.
- Stay at or under 10 DNS lookups. Each include:, a and mx counts, and an include can trigger more lookups inside itself — ip4: and ip6: are free.
Authentication published? The next step is sending to a clean, verified list.
Verify a listSPF do Elastic Email — Perguntas frequentes
Leituras relacionadas
Depois de publicado, confirme se tudo resolve corretamente com o verificação de saúde do domínio e, em seguida, veja quem está enviando em seu nome com o analisador de relatórios DMARC. Explore todas as fontes de envio no gerador. A autenticação, porém, é só metade da entregabilidade — um IP ou domínio de envio que esteja listado ainda te joga no spam por mais limpo que seu SPF esteja, então vale a pena acompanhar as blacklists com o monitoramento de blacklists.
Autenticado — agora mantenha a lista limpa
Passar em SPF, DKIM e DMARC te leva à caixa de entrada; uma lista limpa te mantém lá. Verifique a sua — comece grátis com 100 créditos, sem precisar de cartão.