SPF, DKIM & DMARC para Loops.
O Loops (loops.so) é um remetente por conta construído sobre o Amazon SES, então não existe uma linha SPF compartilhada para colar no seu domínio raiz nem um assistente que edite o seu DNS por você. Em vez disso, você abre Settings → Domain, clica em View records, e o Loops gera um conjunto de registros DNS específico da sua conta — três CNAMEs de DKIM mais um TXT de SPF e um registro MX em um subdomínio de envelope dedicado — que você copia para o seu provedor de DNS e depois confirma com Verify Records. Como o Loops provisiona um MAIL FROM (Return-Path) personalizado em envelope.yourdomain.com por você por padrão, tanto o SPF quanto o DKIM acabam alinhados ao seu domínio de saída, e é isso que faz o DMARC passar e as suas campanhas e e-mails transacionais do Loops chegarem à caixa de entrada.
Por que autenticar o Loops?
Autenticar o seu domínio no Loops não é uma tarefa administrativa opcional — o Loops não envia como o seu domínio até que os registros sejam verificados, e essa verificação é a autenticação. Desde fevereiro de 2024, o Gmail e o Yahoo passaram a exigir que todo remetente em massa (aproximadamente 5.000+ mensagens por dia) passe em SPF, DKIM e DMARC com alinhamento, e a Microsoft começou a aplicar as mesmas exigências para remetentes de alto volume em 2025. O Loops roda na infraestrutura compartilhada do Amazon SES e gerencia por você a conta SES subjacente, a reputação e os limites de envio — então, ao contrário do SES puro, você nunca lida com um sandbox nem solicita acesso de produção. Mas a autenticação que vincula esse e-mail ao seu domínio ainda é responsabilidade sua publicar. Até você adicionar e verificar os registros, o e-mail é assinado apenas com a chave compartilhada amazonses.com do SES, nada se alinha ao seu domínio no campo From, o DMARC falha, e a sua reputação de envio fica agrupada com a de todos os outros inquilinos SES não autenticados. Publicar o conjunto de registros do Loops resolve tudo isso de uma vez: o SES assina como d=yourdomain.com para que o DKIM se alinhe, o MAIL FROM de envelope alinha o SPF, o DMARC passa, e a reputação que você constrói é atribuída ao seu próprio domínio.
A realidade do SPF para o Loops
O Loops é um provedor por conta, não um provedor de include — não existe include:loops.so, e você NÃO adiciona include:amazonses.com ao seu registro SPF RAIZ. Em vez disso, o Loops define um MAIL FROM personalizado em um subdomínio dedicado, envelope.yourdomain.com, e publica o mecanismo SPF ali: um registro TXT no host envelope com o valor v=spf1 include:amazonses.com ~all, mais um registro MX no mesmo host envelope apontando para feedback-smtp.{region}.amazonses.com. Como esses dois registros ficam nesse subdomínio de envelope dedicado e nunca na sua raiz nua, eles adicionam ZERO consultas de DNS ao seu SPF raiz e não podem colidir com um registro SPF raiz existente — então você não mescla nada na sua linha SPF do Google Workspace ou do Microsoft 365, e nem deve tentar. E como envelope.yourdomain.com compartilha o domínio organizacional yourdomain.com com o seu endereço From visível, o SPF se alinha automaticamente em modo relaxado. Essa é a diferença central em relação a uma configuração de Amazon SES nua: o Loops configura o MAIL FROM personalizado por você, então você obtém alinhamento de SPF de imediato, em vez de um SPF que passa apenas para amazonses.com. O único registro que você mantém único e na raiz é o DMARC.
Passo a passo
- 1
Abra as configurações do seu domínio
No painel do Loops (app.loops.so), clique no ícone de engrenagem → Settings → Domain. Informe o nome da sua empresa e o domínio a partir do qual você quer enviar, então prossiga para a tela de registros DNS.
- 2
Escolha o seu domínio de envio
Informe o domínio exato como o qual o Loops deve enviar — seja a sua raiz (yourdomain.com) ou um subdomínio como send.yourdomain.com ou updates.yourdomain.com. O Loops gera o conjunto de registros de DKIM, SPF/MX de envelope e DMARC exatamente para esse domínio, então escolha-o antes de copiar qualquer coisa.
- 3
Clique em View records
Abra a lista de registros (Settings → Domain → View records). O Loops mostra cada registro com uma coluna Type (TXT, CNAME, MX). Crie cada registro pelo seu Type — não pelo seu título amigável (SPF, DKIM, MX) — porque o título é apenas um rótulo.
- 4
Adicione os três registros CNAME de DKIM
O Loops lista três entradas de DKIM no formato host <token>._domainkey → valor <token>.dkim.amazonses.com. Adicione cada uma como um CNAME exatamente como mostrado. Não as altere para TXT — elas delegam ao SES as chaves DKIM rotativas, então não há chave pública para colar.
- 5
Adicione o TXT de SPF no subdomínio de envelope
Adicione um registro TXT com host envelope e valor v=spf1 include:amazonses.com ~all. Isso vai em envelope.yourdomain.com, nunca no seu domínio raiz. Você NÃO precisa criar o subdomínio de envelope antes como um A ou CNAME — apenas adicione o TXT (e o MX abaixo) nesse rótulo de host.
- 6
Adicione o registro MX no subdomínio de envelope
Adicione um registro MX com host envelope, prioridade 10, e valor feedback-smtp.{region}.amazonses.com (a região já vem embutida no valor que o Loops mostra, por exemplo us-east-1). Alguns registradores querem a prioridade em um campo próprio; outros esperam-na inline como "10 feedback-smtp.…" — informe-a da forma que o seu painel exige, ou a verificação falha.
- 7
Mantenha um único registro DMARC na sua raiz
Publique (ou mantenha) um registro TXT em _dmarc.yourdomain.com começando com v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. O Loops também lista uma entrada de DMARC, apenas para que você tenha uma — mas você só precisa de um único DMARC no domínio raiz, então não acabe com dois.
- 8
Na Cloudflare, defina os CNAMEs como DNS only
Se o seu DNS estiver na Cloudflare, alterne cada CNAME de DKIM para "DNS only" (nuvem cinza). Um CNAME com proxy de nuvem laranja não resolverá para *.dkim.amazonses.com e o DKIM ficará não verificado.
- 9
Clique em Verify Records no Loops
De volta à página do domínio no Loops, clique em Verify Records na parte de baixo. Cada linha fica verde com um sinal de verificado quando resolve. A propagação costuma levar menos de uma hora, mas pode levar até 24–48 horas; se um registro ainda falhar depois disso, é uma configuração incorreta de DNS, não propagação.
- 10
Envie um teste e leia os cabeçalhos
Envie uma mensagem real a partir do seu domínio no Loops, abra-a no Gmail e escolha ⋮ → Show original. Confirme SPF: PASS exibindo envelope.yourdomain.com, DKIM: PASS com d=yourdomain.com, e DMARC: PASS — todos alinhados ao seu domínio, não a amazonses.com.
Registros a adicionar
O Loops gera os valores exatos no seu assistente de configuração — estes mostram o formato do que você vai adicionar no seu provedor de DNS.
| Tipo | Host | Valor |
|---|---|---|
| CNAME | token1._domainkey | token1.dkim.amazonses.comIlustrativo — chave DKIM 1. O token é único da sua conta; copie o host/valor exato de Loops → View records. O SES rotaciona a chave por trás dele. |
| CNAME | token2._domainkey | token2.dkim.amazonses.comIlustrativo — chave DKIM 2 (token por conta exibido no painel do Loops). |
| CNAME | token3._domainkey | token3.dkim.amazonses.comIlustrativo — chave DKIM 3 (token por conta exibido no painel do Loops). |
| TXT | envelope | v=spf1 include:amazonses.com ~allSPF de MAIL FROM personalizado — fica no subdomínio de envelope, NÃO na sua raiz. Adiciona 0 consultas ao seu SPF raiz e alinha o SPF ao seu domínio. |
| MX | envelope | feedback-smtp.us-east-1.amazonses.comMX de MAIL FROM personalizado — prioridade 10; a região (por exemplo us-east-1) já vem embutida no valor exato que o Loops mostra. Apenas um MX neste subdomínio. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comA sua política DMARC — um por domínio, na raiz. Comece em p=none, depois endureça para quarantine/reject. |
Mantenha exatamente um registro TXT de SPF (v=spf1) no seu domínio raiz — combine todos os remetentes nele. Ter dois registros SPF já é, por si só, um erro.
O limite de 10 consultas de DNS
O SPF tem um limite rígido de 10 consultas de DNS — se passar disso, ele retorna um permerror e para de validar em todo lugar. Veja quanto a configuração do Loops consome desse limite.
A configuração recomendada do Loops adiciona 0 consultas — todas as 10 ficam livres para os remetentes que realmente precisam de um include.
DKIM
O DKIM é o registro decisivo para o Loops, e como o Loops roda no Easy DKIM do Amazon SES, ele é totalmente automático. O Loops gera três registros CNAME no formato token1._domainkey.yourdomain.com → token1.dkim.amazonses.com (e o mesmo para token2 e token3). Você publica os três como CNAMEs exatamente como a tela View records mostra. Como esses são CNAMEs que delegam ao SES em vez de registros TXT que você cola, o Loops e o SES mantêm as chaves privadas e podem rotacionar as chaves DKIM publicadas por trás desses seletores sem que você precise editar o DNS novamente — não há chave pública para copiar nem comprimento de chave para escolher. Cada mensagem do Loops é então assinada com d=yourdomain.com, que é o que se alinha ao seu endereço From e permite que o DMARC passe no alinhamento de DKIM. Os nomes de host exatos dos tokens são únicos da sua conta, então copie-os do painel do Loops em vez de reutilizar os de outro domínio — e se o seu DNS estiver na Cloudflare, defina os três como "DNS only" (nuvem cinza) ou eles nunca serão verificados.
DMARC
O DMARC é um registro de política separado no seu domínio raiz, não algo que o Loops gerencia por você. Adicione um registro TXT em _dmarc.yourdomain.com começando com v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com — p=none é somente monitoramento, então não afetará a entrega enquanto você confirma que o e-mail do Loops passa alinhado. O Loops inclui, sim, uma entrada de DMARC na sua lista de registros para que você tenha uma, mas você só precisa de um único registro DMARC no domínio raiz — se você já publica um para o Google Workspace, o Microsoft 365 ou outro remetente, mantenha esse e ignore a cópia do Loops em vez de publicar dois (dois registros DMARC é inválido). O bom com o Loops é que você não precisa escolher entre os mecanismos: o MAIL FROM de envelope alinha o SPF e o Easy DKIM alinha o DKIM, então você tem duas formas independentes de passar no DMARC. Assim que os seus relatórios agregados (rua) confirmarem que o Loops é uma fonte consistente e alinhada ao longo de uma ou duas semanas, endureça a política de p=none para p=quarantine e, por fim, p=reject.
Confirme que funcionou de verdade
Não confie apenas no painel — confirme em uma mensagem real. No Loops, cada linha na página do domínio deve exibir um sinal verde de verificado depois que você clicar em Verify Records. Depois, envie um teste para você mesmo a partir do seu domínio no Loops, abra-o no Gmail e escolha ⋮ → Show original: você quer ver SPF: PASS listando envelope.yourdomain.com (não apenas amazonses.com), DKIM: PASS com d=yourdomain.com, e DMARC: PASS. Prefere um relatório completo? Envie um teste para check-auth@verifier.port25.com e ele responde por e-mail com um detalhamento completo. Você também pode passar o seu domínio pela verificação de integridade de domínio da Qualisend para confirmar que os três CNAMEs de DKIM mais o SPF/MX de envelope resolvem, e assim que os relatórios agregados de DMARC começarem a chegar, jogue um deles no analisador de relatórios DMARC — o Loops (via Amazon SES) deve aparecer como uma fonte alinhada e aprovada.
Pegadinhas comuns
- Quebra a autenticação
Os registros não ficam onde você imaginaria: o SPF e o MX ficam no subdomínio envelope.yourdomain.com (o MAIL FROM personalizado do Loops), então nunca tocam nem colidem com o seu SPF raiz. Nunca adicione include:amazonses.com ao seu SPF raiz — ele pertence apenas ao subdomínio de envelope, e na raiz não faz nada de útil enquanto queima uma consulta de SPF.
- Configuração de DNS
Não pré-crie o subdomínio de envelope. Você NÃO precisa adicionar um registro A ou CNAME para envelope antes — apenas publique o TXT de SPF e o MX nesse rótulo de host e eles resolverão.
- Configuração de DNS
A formatação da prioridade do MX confunde as pessoas. O MX de envelope deve ter prioridade 10; alguns registradores querem a prioridade em um campo separado, outros esperam-na inline como "10 feedback-smtp.…". Informe-a da forma que o seu painel exige, e mantenha exatamente um MX no subdomínio de envelope.
- Configuração de DNS
Use a coluna Type, não o título amigável. O Loops rotula as linhas como SPF / DKIM / MX, mas você deve criar cada registro pelo seu Type real (TXT, CNAME ou MX). Criar um CNAME de DKIM como TXT, ou o SPF como CNAME, é o motivo mais comum de o Verify Records falhar.
- Configuração de DNS
O proxy da Cloudflare quebra o DKIM. Defina os três CNAMEs de DKIM como "DNS only" (nuvem cinza); um CNAME com proxy de nuvem laranja não resolverá para *.dkim.amazonses.com e o registro fica não verificado.
- Quebra a autenticação
Mantenha um único DMARC na raiz. O Loops lista uma entrada de DMARC para que você tenha uma, mas dois registros DMARC no mesmo domínio é inválido — se você já tem _dmarc.yourdomain.com de outro remetente, mantenha-o e ignore a cópia do Loops.
- Cobertura
Os valores são por conta — copie-os, não adivinhe. Os tokens de DKIM e a região do feedback-smtp no MX (por exemplo us-east-1) são específicos do seu domínio no Loops; cole as strings exatas de View records em vez de reutilizar as de outro domínio ou de outro guia.
- Quebra a autenticação
Fique atento à duplicação de host e aos pontos finais. Informe apenas o rótulo (envelope, token1._domainkey) se o seu painel anexar o domínio automaticamente, e onde um host exige um FQDN para o valor do CNAME/MX, use um ponto final para que feedback-smtp.us-east-1.amazonses.com não seja transformado em …amazonses.com.yourdomain.com.
Monte seu registro SPF
O Loops não precisa de um include: de SPF no seu domínio raiz — use o gerador para montar um único registro limpo para os seus outros remetentes, e mantenha tudo em uma só linha.
Sending sources
Search for each platform you send email through and tick it.
Search for your email platform above, or .
This domain's own servers
Authorize the domain itself, if it sends mail directly (not through a platform above).
Other senders & IPs
Anything not in the list — another provider's SPF host, or specific IP addresses.
We add the include: prefix — enter the hostname your provider documents.
Policy for everyone else
What receivers should do with mail from any server not listed above (the all mechanism).
No senders yet, so every message would hit the ~all policy. Add the platforms you send through in step 1.
- Publish it as a TXT record at your root domain — host @ (the bare domain), value the full string above.
- Keep only one SPF record per domain. Merge every sending source into this single line — a second TXT record starting v=spf1 makes both invalid.
- Stay at or under 10 DNS lookups. Each include:, a and mx counts, and an include can trigger more lookups inside itself — ip4: and ip6: are free.
Authentication published? The next step is sending to a clean, verified list.
Verify a listSPF do Loops — Perguntas frequentes
Leituras relacionadas
Depois de publicado, confirme se tudo resolve corretamente com o verificação de saúde do domínio e, em seguida, veja quem está enviando em seu nome com o analisador de relatórios DMARC. Explore todas as fontes de envio no gerador. A autenticação, porém, é só metade da entregabilidade — um IP ou domínio de envio que esteja listado ainda te joga no spam por mais limpo que seu SPF esteja, então vale a pena acompanhar as blacklists com o monitoramento de blacklists.
Autenticado — agora mantenha a lista limpa
Passar em SPF, DKIM e DMARC te leva à caixa de entrada; uma lista limpa te mantém lá. Verifique a sua — comece grátis com 100 créditos, sem precisar de cartão.