SPF, DKIM & DMARC para EmailOctopus.

Por que autenticar o EmailOctopus?

Verificar seu domínio no EmailOctopus é a maior alavanca isolada que você tem sobre a entrega na caixa de entrada, e hoje é praticamente obrigatória para quem leva o envio a sério. Desde fevereiro de 2024, o Gmail e o Yahoo passaram a exigir que todo remetente em massa (por volta de 5.000+ mensagens por dia) passe em SPF, DKIM e DMARC com alinhamento, a Microsoft estendeu as mesmas regras ao Outlook/Hotmail/Live em 2025, e o próprio EmailOctopus bloqueia campanhas enviadas a partir de endereços From públicos e gratuitos como gmail.com ou yahoo.com. Até você verificar seu domínio, o EmailOctopus envia sob uma identidade compartilhada e sem marca: os destinatários veem que o e-mail não é criptograficamente seu, seu endereço From não alinha, o DMARC não consegue passar, e sua reputação de envio fica agrupada com a de todos os outros remetentes não autenticados na infraestrutura compartilhada. A verificação de domínio resolve tudo isso em um único fluxo — o Easy DKIM assina como d=yourdomain.com, o subdomínio mail-from eom te dá um SPF pass relaxado que alinha ao seu domínio organizacional, o DMARC passa em ambos os mecanismos, e a reputação que você constrói é creditada ao seu próprio domínio em vez de ao pool compartilhado.

A realidade do SPF para o EmailOctopus

O EmailOctopus é um provedor de autenticação de domínio baseado em CNAME rodando sobre o Amazon SES, então para o seu domínio raiz NÃO há nenhum include:amazonses.com para adicionar — e é justamente aqui que quase todo tutorial antigo erra. Quando você verifica, o EmailOctopus provisiona um subdomínio mail-from no formato eom.yourdomain.com e pede que você o publique como um único CNAME apontando para a infraestrutura Amazon SES dele. Esse subdomínio se torna o envelope sender / Return-Path das suas campanhas, e o EmailOctopus publica o registro SPF subjacente por trás dele — é exatamente isso que "cuidamos do registro SPF do nosso lado" significa. Como o domínio de envelope (eom.yourdomain.com) é um subdomínio do seu domínio organizacional, o SPF passa E alinha sob o alinhamento relaxado padrão do DMARC, então, ao contrário do Mailchimp (cujo Return-Path vive em um domínio mcsv.net que nunca alinha), o EmailOctopus de fato te dá um SPF pass alinhado por cima do DKIM. O detalhe: o alinhamento de SPF é apenas relaxado — o envelope é eom.yourdomain.com, não o yourdomain.com puro — então uma política DMARC configurada com SPF estrito (aspf=s) derruba a perna de alinhamento do SPF. Nada quebra de fato se você fizer isso (o Easy DKIM ainda alinha de forma estrita e sustenta o DMARC pass sozinho), você apenas não ganha nada e perde seu segundo mecanismo que passa, então mantenha o aspf relaxado (o padrão). Você NÃO cola include:amazonses.com no seu SPF raiz para o EmailOctopus nativo; fazer isso queima uma das suas 10 consultas SPF e não faz nada pelo alinhamento DMARC. O mecanismo include:amazonses.com só entra em cena no caminho separado "EmailOctopus Connect", em que você envia pela SUA PRÓPRIA conta Amazon SES e gerencia você mesmo o SPF, o Easy DKIM e o custom MAIL FROM do SES. Reserve seu registro SPF raiz para os remetentes que de fato colocam seu domínio puro no Return-Path (Google Workspace, Microsoft 365, um relay transacional) e deixe o subdomínio eom + DKIM fazerem o trabalho pelo EmailOctopus.

Duas maneiras de configurar

Passo a passo

Registros a adicionar

O EmailOctopus gera os valores exatos no seu assistente de configuração — estes mostram o formato do que você vai adicionar no seu provedor de DNS.

O limite de 10 consultas de DNS

O SPF tem um limite rígido de 10 consultas de DNS — se passar disso, ele retorna um permerror e para de validar em todo lugar. Veja quanto a configuração do EmailOctopus consome desse limite.

Confirme que funcionou de verdade

Não confie só no selo "Verified" — confirme em uma mensagem real. Envie a si mesmo uma campanha de teste (ou um teste a partir do endereço From verificado), abra no Gmail e escolha ⋮ → Show original: você quer SPF: PASS, DKIM: PASS com signed-by / d=yourdomain.com (não amazonses.com nem emailoctopus.com), e DMARC: PASS, todos mostrando o seu próprio domínio. No EmailOctopus, a tela Senders deve exibir Verified em vez de Partially verified (Partially verified significa que o DMARC TXT ainda está faltando). Você pode conferir por amostragem os registros brutos com dig CNAME eom.yourdomain.com, dig CNAME <token>._domainkey.yourdomain.com e dig TXT _dmarc.yourdomain.com. Por fim, passe seu domínio pelo {healthCheck} da Qualisend para confirmar que o CNAME eom, os três seletores DKIM e o registro DMARC resolvem de forma limpa e que seu SPF raiz permanece abaixo do limite de 10 consultas e, quando os relatórios agregados de DMARC começarem a chegar, jogue um deles no {dmarcAnalyzer} — o EmailOctopus (via Amazon SES) deve aparecer como uma fonte alinhada e totalmente aprovada.

Pegadinhas comuns

• Cobertura

  "Verify email address" não é verificação de domínio. Autoriza um único endereço From, mas não te dá nenhum DKIM, nenhum alinhamento de SPF e nenhum DMARC — o equivalente a um Single Sender do SendGrid. Você precisa escolher Verify domain (recommended) para de fato autenticar.

• Configuração de DNS

  "Partially verified" quase sempre significa que o DMARC TXT está faltando. As pessoas adicionam os quatro CNAMEs e param; o domínio não fica totalmente Verified até você também publicar o registro _dmarc TXT gerado e clicar em Complete verification.

• Quebra a autenticação

  Não adicione include:amazonses.com ao seu SPF RAIZ para o EmailOctopus nativo. O SPF é tratado por trás do subdomínio mail-from eom, então o include é desnecessário, queima uma das suas 10 consultas SPF e não faz nada pelo alinhamento DMARC. O include só se aplica ao EmailOctopus Connect / seu próprio SES.

• Configuração de DNS

  Mantenha o CNAME eom para sempre. Ele é seu Return-Path e a fonte do seu alinhamento de SPF e do tratamento de bounces — apagá-lo depois (durante uma limpeza de DNS) quebra silenciosamente o SPF e o processamento de bounces mesmo que o DKIM ainda passe.

• Configuração de DNS

  O proxy da Cloudflare quebra os CNAMEs. Configure o registro eom e os três seletores DKIM como "DNS only" (nuvem cinza); um CNAME com proxy (nuvem laranja) não resolve para amazonses.com e a verificação falha.

• Configuração de DNS

  Duplicação no campo de host. Muitos registradores anexam seu domínio automaticamente, então digitar eom.yourdomain.com vira eom.yourdomain.com.yourdomain.com. Digite apenas o rótulo (eom, ou o seletor token._domainkey) — a própria dica de solução de problemas do EmailOctopus é remover o .yourdomain.com se a verificação empacar.

• Cobertura

  Só é possível alinhamento SPF relaxado. Seu domínio de envelope é eom.yourdomain.com, não o raiz puro, então um registro DMARC com aspf=s (SPF estrito) falha no alinhamento de SPF — o DKIM ainda sustenta o DMARC pass, então nada quebra, mas você perde desnecessariamente seu segundo mecanismo que passa. Deixe o aspf relaxado (o padrão); o alinhamento DKIM estrito (adkim=s) é aceitável.

• Configuração de DNS

  EmailOctopus nativo e EmailOctopus Connect são configurações diferentes. O nativo usa o fluxo de CNAME acima; o Connect envia pela sua própria conta Amazon SES, onde você habilita o Easy DKIM, configura um custom MAIL FROM, adiciona include:amazonses.com ao SPF daquele domínio e publica o DMARC você mesmo na AWS.

Monte seu registro SPF

O EmailOctopus não precisa de um include: de SPF no seu domínio raiz — use o gerador para montar um único registro limpo para os seus outros remetentes, e mantenha tudo em uma só linha.

SPF do EmailOctopus — Perguntas frequentes

Leituras relacionadas

Depois de publicado, confirme se tudo resolve corretamente com o verificação de saúde do domínio e, em seguida, veja quem está enviando em seu nome com o analisador de relatórios DMARC. Explore todas as fontes de envio no gerador. A autenticação, porém, é só metade da entregabilidade — um IP ou domínio de envio que esteja listado ainda te joga no spam por mais limpo que seu SPF esteja, então vale a pena acompanhar as blacklists com o monitoramento de blacklists.