O que faz cada registo
O SPF é um registo TXT no domínio que lista os servidores autorizados a enviar o seu correio. O DKIM assina cada mensagem com uma chave cuja parte pública é publicada no DNS. O DMARC, em _dmarc.oseudominio, indica o que fazer com o correio que não passa no SPF nem no DKIM alinhados com o remetente visível e para onde enviar os relatórios.
| Registo SPF de exemplo | Consultas DNS deste registo | Mecanismo all |
|---|---|---|
| v=spf1 include:_spf.google.com ~all | 1 | ~all |
| v=spf1 include:spf.protection.outlook.com include:sendgrid.net mx -all | 3 | -all |
| v=spf1 ip4:192.0.2.10 -all | 0 | -all |
Exemplos calculados; valores arredondados.
Como ler os exemplos
Cada include, a, mx, ptr, exists e redirect conta uma consulta, e também contam as que existirem dentro de cada include. O Microsoft 365 ou o SendGrid acrescentam várias por conta própria, por isso um registo com três ou quatro serviços pode aproximar-se do limite de 10. Os intervalos ip4 e ip6 não consomem consultas. O verificador SPF e DMARC segue todos os include e dá-lhe o total real.
Porque é importante agora
Desde 2024, o Gmail e o Yahoo exigem SPF ou DKIM a qualquer remetente, e SPF, DKIM e DMARC a quem envia mais de 5000 mensagens por dia aos seus utilizadores. O Outlook.com aplica requisitos semelhantes desde 2025. Sem estes registos, o seu correio legítimo acaba no spam ou é rejeitado, e qualquer pessoa pode falsificar o seu domínio com mais facilidade.
Não é preciso ser uma grande empresa para o notar: faturas, avisos de uma loja online ou o correio de um pequeno escritório podem deixar de chegar se o domínio não estiver bem configurado.
Passo 1: inventário do que envia correio
Antes de mexer no DNS, anote tudo o que envia correio com o seu domínio: o fornecedor de correio (Google Workspace, Microsoft 365, IONOS…), a ferramenta de newsletters, a loja online, o CRM, a central telefónica, a impressora que envia digitalizações ou o servidor do site que envia formulários.
Cada serviço indica na sua ajuda que include de SPF usar e como ativar o DKIM. Se se esquecer de um, as mensagens dele falharão o SPF; por isso convém começar o DMARC em modo de observação.
Passo 2: um único registo SPF
Publique um só registo TXT que comece por v=spf1 na raiz do domínio. Se um serviço lhe pedir para acrescentar o dele, não crie um segundo registo: junte o include ao existente. Dois registos SPF provocam um erro (permerror) e os recetores ignoram ambos.
Termine com ~all enquanto confirma que não falta nenhum serviço e passe a -all quando tiver certeza. Evite +all, que autoriza toda a Internet, e o mecanismo ptr, desaconselhado por ser lento. Se ultrapassar as 10 consultas, substitua includes por intervalos ip4 ou ip6 quando o fornecedor os publicar, ou retire serviços que já não usa.
Passo 3: DKIM em cada serviço
O DKIM ativa-se no painel de cada serviço, que lhe dá um ou dois registos (TXT ou CNAME) para publicar em seletor._domainkey.oseudominio. Ative-o em todos os que puder: o DMARC cumpre-se com SPF ou com DKIM alinhados, e o DKIM continua a funcionar quando a mensagem é reencaminhada, situação em que o SPF costuma falhar.
Passo 4: DMARC em modo de observação
Publique em _dmarc.oseudominio um TXT como v=DMARC1; p=none; rua=mailto:dmarc@oseudominio. Com p=none a entrega não muda, mas os grandes fornecedores vão enviar-lhe diariamente relatórios agregados em XML com os IP que enviam em nome do seu domínio e se passam no SPF e no DKIM.
Esses relatórios são difíceis de ler à mão. Há serviços que os transformam em gráficos, muitos com um plano gratuito para domínios pequenos. Verifique durante duas a quatro semanas que todo o correio legítimo aparece como aprovado.
Passo 5: passar a quarantine e reject
Quando os relatórios estiverem limpos, mude para p=quarantine: o correio que falhar vai para spam. Para avançar com cuidado, use pct=25 e suba aos poucos até 100. Depois de mais algumas semanas sem problemas, passe a p=reject, para que o correio falsificado nem sequer seja entregue.
Para domínios que não enviam correio, como os estacionados ou os que só têm site, publique diretamente v=spf1 -all e v=DMARC1; p=reject. Assim ninguém os pode usar para se fazer passar por si.
Perguntas frequentes
Quanto tempo demora a aplicar-se uma alteração de SPF ou DMARC?
O tempo que o TTL do registo anterior demorar a expirar, normalmente entre alguns minutos e algumas horas. Pode verificar o valor publicado com a consulta DNS, tipo TXT.
O que significa alinhamento no DMARC?
Que o domínio do remetente visível coincide com o validado pelo SPF (o do envelope da mensagem) ou com o d= da assinatura DKIM. Um SPF correto de outro domínio não conta para o DMARC.
Preciso de DMARC se envio pouco correio?
É recomendável. Com p=none e rua não afeta a entrega e permite ver se alguém falsifica o seu domínio. Além disso, cada vez mais recetores o têm em conta.