Por que SPF, DKIM e DMARC importam juntos
SPF, DKIM e DMARC são três registros DNS que permitem a outros sistemas de e-mail verificar se o e-mail do seu domínio realmente veio de você. Cada um cobre uma lacuna que os outros deixam, então um domínio precisa dos três.
Fale com um engenheiro Base de conhecimento
Por que isso importa para uma empresa
O e-mail não tem verificação embutida de quem é o remetente. Sem esses registros, qualquer pessoa pode colocar o seu domínio na linha From, e uma fatura falsa pode chegar parecendo vir da sua equipe de contas.
O inverso também acontece. Grandes provedores desconfiam de e-mail não autenticado, e respostas legítimas caem no spam. O Google e o Yahoo exigem autenticação de remetentes em massa desde 2024.
O que cada um acrescenta
- SPF: lista os servidores autorizados a enviar em nome do seu domínio.
- DKIM: assina cada mensagem, comprovando qual domínio a assinou e que nada mudou no caminho.
- DMARC: verifica se SPF ou DKIM passou para o domínio do endereço From, diz aos receptores o que fazer quando nenhum passou e envia relatórios para você.
Nenhum basta sozinho. SPF e DKIM podem passar para um domínio diferente do que o leitor vê, e nenhum pede ao receptor que bloqueie algo. O DMARC precisa de um deles funcionando, e o SPF falha em e-mails encaminhados, então o DKIM é o reserva.
| Registro | O que verifica | Onde fica | O que não consegue fazer |
|---|---|---|---|
| SPF | O servidor de envio está na sua lista | Um registro TXT no domínio | Proteger o endereço From ou sobreviver ao encaminhamento |
| DKIM | A mensagem não foi alterada e quem a assinou | Um registro por serviço de envio, sob um seletor | Dizer o que fazer com e-mail não assinado ou com assinatura quebrada |
| DMARC | SPF ou DKIM coincide com o domínio do From | Um registro TXT em _dmarc | Funcionar sem SPF ou DKIM configurados |
Erros comuns
- Dois registros SPF: um segundo registro adicionado para um novo serviço faz o SPF falhar para todo o seu e-mail.
- Um remetente que ninguém incluiu: a plataforma de marketing ou o sistema de faturamento envia como o seu domínio, mas nunca recebeu uma entrada SPF ou uma chave DKIM.
- DMARC em none para sempre: a política nunca avança, então o e-mail falsificado continua sendo entregue.
- Pular direto para reject: aplicar a política antes de ler os relatórios bloqueia o seu próprio e-mail junto com as falsificações.
A ordem para configurá-los
- Liste todos os remetentes: seu provedor de e-mail e cada serviço que envia e-mail como o seu domínio.
- Publique um único registro SPF que cubra todos eles.
- Ative o DKIM em cada serviço de envio.
- Publique o DMARC em none com um endereço de relatórios e leia os relatórios.
- Passe para quarantine e depois para reject, quando só os seus próprios serviços aparecerem.
Os três ficam no seu DNS. Nosso guia de e-mail empresarial cobre o resto da configuração.
Como a KawaConnect trabalha com a autenticação de e-mail
Quando configuramos, migramos ou administramos o Microsoft 365, os registros SPF, DKIM e DMARC fazem parte do trabalho, junto com os registros MX que roteiam o e-mail. Nos sites que hospedamos, um formulário de contato que envia e-mail é incluído nos mesmos registros.
Serviços relacionados
Microsoft 365
Exchange Online com os três registros em vigor.
Sites
Hospedagem e DNS para o mesmo domínio do seu e-mail.
TI gerenciada
Novos serviços de envio incluídos nos registros assim que chegam.
Saiba mais
- Autenticação de e-mail na WikipédiaUma visão geral dos métodos usados para verificar a origem do e-mail.
- DMARC, DKIM e SPF na CloudflareUm passo a passo dos três registros.
- Visão geral do DMARC em dmarc.orgComo o DMARC se baseia em SPF e DKIM, no site do próprio padrão.
- Diretrizes do Google para remetentes de e-mailA autenticação que o Gmail espera dos remetentes.
- Autenticação de e-mail no Microsoft 365O guia da Microsoft sobre os três registros no Microsoft 365.
Descubra como está o seu domínio
Envie-nos seu domínio. Vamos verificar os três registros.
Inicie uma conversa
