SPF, DKIM e DMARC: por que seu e-mail corporativo cai em spam e como resolver em três registros DNS

O problema que ninguém percebe

Você envia a proposta. O cliente não responde. Você manda um follow-up. Silêncio. Dias depois, numa ligação, ele diz: "Não recebi nada." Você encaminha de novo e ele encontra os dois e-mails na pasta de spam.

Isso não é azar. É configuração.

O servidor de e-mail do cliente — o Gmail, o Outlook, o servidor da empresa dele — avalia cada mensagem que chega e decide onde colocar. Ele não conhece você. O que ele conhece são sinais técnicos que dizem se aquela mensagem é legítima ou suspeita. Se o seu domínio não tem esses sinais configurados, a mensagem vai para spam. Às vezes nem chega.

Os três sinais que resolvem esse problema têm nomes feios — SPF, DKIM e DMARC — mas o conceito de cada um é simples.

SPF — uma lista de quem pode falar em nome da sua empresa

Imagine que qualquer pessoa pode mandar um e-mail fingindo ser do seu domínio. Do seu endereço, do seu nome. Isso acontece o tempo todo em tentativas de golpe.

O SPF é o registro que impede isso. Ele fica no DNS do seu domínio e diz: estes são os servidores autorizados a enviar e-mail usando o meu nome. Quando o Gmail recebe uma mensagem do seu domínio, verifica se o servidor que enviou está na lista. Se estiver, a mensagem tem mais credibilidade. Se não estiver, vai direto para spam ou é rejeitada.

Um SPF típico para quem usa hospedagem compartilhada (cPanel) fica assim:

v=spf1 include:seuservidor.com.br ~all

Se você usa Google Workspace para o e-mail corporativo, o SPF inclui os servidores do Google:

v=spf1 include:_spf.google.com ~all

O ~all no final significa: mensagens de outros servidores são suspeitas, mas não rejeite automaticamente. É o mais comum para começar.

DKIM — uma assinatura em cada mensagem

DKIM funciona como um selo de autenticidade. O servidor que envia o e-mail assina cada mensagem com uma chave criptográfica. O servidor de destino verifica essa assinatura com uma chave pública que está no DNS do seu domínio.

Se a assinatura bate, o servidor sabe duas coisas: a mensagem veio de um servidor autorizado e não foi adulterada no caminho. Isso pesa muito na avaliação de spam.

A chave pública fica no DNS assim:

mail._domainkey.seudominio.com.br  TXT  "v=DKIM1; k=rsa; p=CHAVE_AQUI"

Você não precisa entender a chave — ela é gerada automaticamente pelo servidor ou pelo provedor de e-mail. O que você precisa é confirmar que está publicada no DNS.

DMARC — o que acontece quando algo falha

DMARC une os dois anteriores e define a política: o que fazer quando uma mensagem não passa no SPF ou no DKIM.

Além da política, o DMARC manda relatórios diários para um e-mail seu. Esses relatórios mostram quem está tentando enviar e-mail fingindo ser do seu domínio — o que ajuda a identificar tentativas de golpe usando o nome da sua empresa.

Um DMARC conservador para começar:

_dmarc.seudominio.com.br  TXT  "v=DMARC1; p=none; rua=mailto:seu@email.com"

O p=none significa: só monitore, não faça nada ainda. Depois de algumas semanas lendo os relatórios e confirmando que tudo está certo, você muda para p=quarantine (manda para spam se falhar) e depois p=reject (rejeita sem entregar).

O que pedir ao seu provedor

Se você usa cPanel, vá em Email → Deliverability (ou Entregabilidade de e-mail). O painel mostra o status do SPF e do DKIM e tem um botão para corrigir automaticamente. Leva menos de cinco minutos.

Se o DNS é gerenciado no Cloudflare, no Registro.br ou em outro lugar, você precisa copiar os registros gerados pelo servidor e adicionar manualmente na zona DNS. O provedor de e-mail informa exatamente o que publicar.

Para verificar se os três estão corretos após a configuração, use o MXToolbox (mxtoolbox.com). É gratuito, aponta o que está faltando e mostra se há algo configurado errado.

Quanto tempo leva para funcionar

Registros DNS levam entre alguns minutos e 48 horas para propagar, dependendo do TTL configurado. Na prática, a maioria das mudanças está ativa em menos de uma hora. Depois disso, as próximas mensagens já saem assinadas e verificadas.

Não é uma solução retroativa — e-mails que já foram enviados e marcados como spam não mudam de status. Mas todos os novos ganham a vantagem dos três registros.

O resultado prático

Com SPF, DKIM e DMARC configurados, a taxa de entrega na caixa de entrada aumenta de forma mensurável. Clientes do Gmail e do Outlook — que são a maioria — passam a receber suas mensagens onde deveriam estar desde o início.

Proposta na caixa de entrada é proposta que tem chance. Na pasta de spam, não tem nenhuma.