SPF, DKIM e DMARC: seus e-mails chegam?
Informe um domínio. Lemos no DNS os registros SPF, DKIM e DMARC e os registros MX, verificamos como fazem os servidores de e-mail que recebem e dizemos em palavras simples o que falta ou o que está errado, com registros de exemplo para copiar no seu DNS. Nenhuma conexão com seu servidor de e-mail, nada é salvo.
O que os resultados significam
- SPF
- Um registro TXT que lista os servidores autorizados a enviar e-mails pelo seu domínio. Quem recebe compara o servidor que se conecta com essa lista. Limites: um único registro, no máximo 10 consultas DNS e um ~all ou -all no final. O SPF sozinho quebra com o encaminhamento, e é por isso que existe o DKIM.
- DKIM
- Seu servidor de e-mail assina cada mensagem com uma chave privada; a chave pública fica publicada em seletor._domainkey.seudominio. Quem recebe verifica a assinatura, que sobrevive ao encaminhamento. Use chaves RSA de 2048 bits e troque-as de tempos em tempos.
- DMARC
- Um registro TXT em _dmarc.seudominio que diz a quem recebe o que fazer quando SPF e DKIM falham (none, quarantine, reject) e para onde enviar os relatórios. Alinhamento significa que o domínio no cabeçalho From precisa corresponder ao domínio do SPF ou do DKIM. Comece com p=none, leia os relatórios e depois aperte.
- MX
- Os servidores que recebem o e-mail do domínio. Não são necessários para enviar, mas os grandes provedores desconfiam de domínios sem registro MX; e sem eles, as respostas voltam.
- Por que isso importa
- Os grandes provedores de caixas de e-mail exigem SPF ou DKIM de todos e DMARC de quem envia grandes volumes; sem isso, os e-mails caem no spam ou são recusados. Os mesmos registros impedem que outros enviem e-mails de phishing em seu nome.
- Para que continue assim
- Os registros mudam quando você adiciona uma ferramenta de newsletter, troca de hospedagem ou troca as chaves. O Centoculus verifica SPF, DKIM, DMARC, MTA-STS e DNSSEC do seu domínio a cada hora e avisa quando algo muda; a verificação de entrega de e-mail ainda envia uma mensagem de teste e diz onde ela foi parar.
Quer essa verificação automática, com um alerta assim que algo der errado?
No plano gratuito, o Centoculus verifica seu site a cada 5 minutos e avisa você por e-mail e no app antes que seus clientes percebam. 50 monitores de site e 5 verificações SSL por dia, grátis, uso profissional permitido. O cadastro abre em breve: garanta acesso antecipado e comece primeiro.
Garanta acesso antecipadoPerguntas sobre SPF, DKIM e DMARC
Qual a diferença entre SPF, DKIM e DMARC?
O SPF diz quais servidores podem enviar pelo seu domínio. O DKIM prova com uma assinatura que a mensagem não foi alterada e vem mesmo do seu servidor. O DMARC liga os dois ao endereço From visível e diz a quem recebe o que fazer quando eles falham. Os três são necessários.
O que é um seletor DKIM e onde o encontro?
O seletor dá nome à chave no DNS: seletor._domainkey.seudominio. Seu provedor de e-mail informa o nome quando você configura o DKIM (o Google usa “google”, o Microsoft 365 “selector1” e “selector2”). Você também pode ler no cabeçalho DKIM-Signature de qualquer e-mail que enviou: a tag s=.
Por que o SPF tem um limite de 10 consultas?
Cada include, a, mx, ptr, exists e redirect obriga quem recebe a consultar o DNS. O padrão limita a 10 por verificação para evitar abusos. Acima do limite, quem recebe retorna um erro permanente, que a maioria trata como falha. Os provedores que precisam de muitas consultas oferecem um include achatado.
Devo usar ~all ou -all?
-all diz a quem recebe para recusar e-mails de outros servidores; ~all, para tratá-los como suspeitos. Com DMARC em quarantine ou reject a diferença é pequena, porque quem decide é o DMARC. Comece com ~all até ter certeza de que listou todos os remetentes, depois mude para -all.
Com qual política DMARC devo começar?
p=none com um endereço rua. Leia os relatórios por algumas semanas, adicione cada remetente legítimo ao SPF e ao DKIM, depois mude para p=quarantine e por fim para p=reject. Pular direto para reject no primeiro dia costuma bloquear uma ferramenta de newsletter ou um CRM de que ninguém lembrava.
Quanto tempo as mudanças no DNS levam para valer?
Normalmente poucos minutos, no máximo o TTL do registro antigo (muitas vezes até 24 horas). Repita esta verificação depois da mudança: ela lê o DNS do zero a cada vez.
Meus registros estão certos, mas os e-mails continuam caindo no spam.
A autenticação é só o ingresso. Também contam o conteúdo, a qualidade da lista, a taxa de denúncias e a reputação do IP remetente. Confira se o IP remetente está em alguma lista de bloqueio e se o DNS reverso corresponde ao nome do servidor de e-mail.