Guia DKIM, SPF e DMARC: configure e saia do spam

16 min de leitura  ·  Guia técnico

SPF, DKIM e DMARC são três registros DNS de autenticação de email que trabalham juntos para provar que suas mensagens são legítimas e evitar que caiam na caixa de spam. Para configurar os três protocolos no seu domínio, siga estes passos:

1. Crie o registro SPF como TXT na zona DNS do seu domínio definindo os servidores autorizados a enviar email.
2. Ative o DKIM no painel de hospedagem (cPanel ou servidor de email) e publique a chave pública como registro TXT.
3. Adicione o registro DMARC como TXT na zona DNS com a política desejada (none, quarantine ou reject).
4. Aguarde a propagação DNS e teste os três registros com Gmail ou ferramentas como MXToolbox.
5. Monitore os relatórios DMARC e ajuste a política gradualmente até chegar em p=reject.

O que são SPF, DKIM e DMARC e por que você precisa configurar os três

A autenticação de email é o conjunto de mecanismos que permite ao servidor destinatário verificar se uma mensagem realmente veio de quem diz ter vindo. Sem esses registros, qualquer pessoa pode enviar um email fingindo ser o seu domínio — prática conhecida como spoofing — e os grandes provedores como Gmail, Outlook e Yahoo passaram a exigir autenticação válida para aceitar mensagens sem penalizar a entregabilidade.

SPF (Sender Policy Framework) é um registro TXT na zona DNS que lista os endereços IP e servidores autorizados a enviar email pelo seu domínio. Quando um servidor destinatário recebe uma mensagem, ele consulta o DNS do domínio remetente e verifica se o IP de origem está na lista. Se não estiver, o email falha na verificação SPF.

DKIM (DomainKeys Identified Mail) adiciona uma assinatura criptográfica ao cabeçalho de cada mensagem enviada. O servidor de email usa uma chave privada para assinar a mensagem e publica a chave pública correspondente como registro TXT no DNS. O servidor destinatário usa essa chave pública para verificar se a mensagem não foi alterada em trânsito.

DMARC (Domain-based Message Authentication, Reporting and Conformance) é a camada de política que une SPF e DKIM. Ele define o que o servidor destinatário deve fazer quando uma mensagem falha nas verificações — monitorar apenas (p=none), colocar em quarentena (p=quarantine) ou rejeitar (p=reject). Além disso, o DMARC permite receber relatórios XML com dados sobre quem está enviando email pelo seu domínio.

Para entender melhor como gerenciar os registros DNS do seu domínio antes de iniciar as configurações, consulte o artigo Como gerenciar um domínio na base de conhecimento da AviraHost.

Pré-requisitos

• Acesso ao painel de controle DNS do seu domínio (cPanel, Cloudflare, Registro.br ou similar).
• Acesso ao cPanel ou ao servidor de email (Postfix, Exim) para gerar a chave DKIM.
• Domínio próprio com zona DNS editável.
• Conhecimento básico de registros DNS (TXT, MX).
• Conta de email em Gmail ou Outlook para testes de entregabilidade.

Como configurar o registro SPF no DNS do seu domínio

O registro SPF é o ponto de partida da autenticação de email e deve ser criado antes dos demais. Ele informa ao mundo quais servidores têm permissão para enviar mensagens em nome do seu domínio.

Acesse o gerenciador de zona DNS do seu domínio. No cPanel, vá em Domínios > Editor de Zona DNS. Adicione um novo registro do tipo TXT com o nome @ (ou o domínio raiz) e o seguinte valor básico:

v=spf1 include:_spf.seuprovedordeemail.com ~all

Substitua _spf.seuprovedordeemail.com pelo mecanismo include do seu provedor. Exemplos comuns:

• Google Workspace: v=spf1 include:_spf.google.com ~all
• Microsoft 365: v=spf1 include:spf.protection.outlook.com ~all
• Servidor próprio com IP fixo: v=spf1 ip4:203.0.113.10 ~all
• cPanel/Exim no VPS: v=spf1 a mx ip4:SEU_IP ~all

O qualificador ~all (softfail) é recomendado durante a fase inicial porque não rejeita emails que falham, apenas os marca. Após confirmar que tudo funciona, você pode mudar para -all (hardfail) para rejeitar mensagens não autorizadas.

Atenção: um domínio pode ter apenas um único registro SPF. Se você já tiver um registro TXT com v=spf1, edite-o em vez de criar um novo. Dois registros SPF causam falha na verificação.

Para verificar se o registro foi criado corretamente, use o comando abaixo no terminal:

dig TXT seudominio.com.br +short

"v=spf1 include:_spf.google.com ~all"

Como ativar e configurar o DKIM para assinar seus emails

A assinatura criptográfica do DKIM garante a integridade das mensagens e é um dos fatores mais importantes para a entregabilidade em provedores como Gmail e Outlook. O processo envolve gerar um par de chaves e publicar a chave pública no DNS.

Ativando DKIM no cPanel

No cPanel, acesse Email > Autenticação de Email. Você verá as seções DKIM e SPF. Clique em Ativar ao lado de DKIM. O cPanel gera automaticamente o par de chaves e publica o registro TXT na zona DNS do domínio. O nome do registro segue o padrão:

default._domainkey.seudominio.com.br

O valor do registro TXT terá o formato:

v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC...

Gerando DKIM manualmente no Postfix (Ubuntu 24.04 / Debian 12)

Se você administra um servidor de email próprio com Postfix, instale o OpenDKIM:

apt update && apt install opendkim opendkim-tools -y

Gere o par de chaves com o seletor mail:

mkdir -p /etc/opendkim/keys/seudominio.com.br
opendkim-genkey -b 2048 -d seudominio.com.br -D /etc/opendkim/keys/seudominio.com.br -s mail -v

Isso cria dois arquivos: mail.private (chave privada, nunca compartilhe) e mail.txt (registro TXT para publicar no DNS).

cat /etc/opendkim/keys/seudominio.com.br/mail.txt

mail._domainkey IN TXT ( "v=DKIM1; k=rsa; "
"p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC..." )

Copie o valor entre aspas e crie um registro TXT no DNS com o nome mail._domainkey e esse conteúdo. Configure o OpenDKIM editando /etc/opendkim.conf e adicione as linhas:

Domain                  seudominio.com.br
KeyFile                 /etc/opendkim/keys/seudominio.com.br/mail.private
Selector                mail

Reinicie os serviços:

systemctl restart opendkim postfix

Para verificar o registro DKIM publicado:

dig TXT mail._domainkey.seudominio.com.br +short

"v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC..."

Como configurar o registro DMARC e definir a política de rejeição

Com SPF e DKIM funcionando, o próximo passo é publicar o registro DMARC para definir a política de autenticação do seu domínio. O DMARC também habilita o recebimento de relatórios que mostram quais servidores estão enviando email pelo seu domínio — legítimos ou não.

Crie um registro TXT na zona DNS com o nome _dmarc (ou _dmarc.seudominio.com.br). Para começar com monitoramento sem rejeição:

v=DMARC1; p=none; rua=mailto:[email protected]; ruf=mailto:[email protected]; fo=1

Explicação de cada parâmetro:

• p=none: política de monitoramento — não rejeita nem coloca em quarentena, apenas gera relatórios.
• rua: endereço para receber relatórios agregados (XML diário com estatísticas).
• ruf: endereço para receber relatórios forenses (detalhes de mensagens que falharam).
• fo=1: gera relatório forense quando SPF ou DKIM falha (não apenas quando ambos falham).

Após analisar os relatórios por 1 a 2 semanas e confirmar que emails legítimos passam na autenticação, evolua a política gradualmente:

v=DMARC1; p=quarantine; pct=25; rua=mailto:[email protected]

O parâmetro pct=25 aplica a política apenas a 25% das mensagens que falham, permitindo uma transição segura. Quando estiver confiante, aplique a política máxima:

v=DMARC1; p=reject; rua=mailto:[email protected]; adkim=s; aspf=s

Os parâmetros adkim=s e aspf=s ativam o alinhamento estrito, exigindo que o domínio no cabeçalho From corresponda exatamente ao domínio do DKIM e do SPF.

Verifique o registro DMARC publicado:

dig TXT _dmarc.seudominio.com.br +short

"v=DMARC1; p=none; rua=mailto:[email protected]; fo=1"

Como testar se SPF, DKIM e DMARC estão funcionando

Após publicar os registros DNS, é fundamental validar a configuração antes de considerar o trabalho concluído. Existem dois métodos principais: análise do cabeçalho de email e ferramentas online de diagnóstico.

Teste via Gmail (método mais confiável)

Envie um email do seu domínio para uma conta Gmail. Abra a mensagem no Gmail, clique nos três pontos no canto superior direito da mensagem e selecione Mostrar original. No topo da página, você verá um resumo como:

SPF:    PASS with IP 203.0.113.10
DKIM:   PASS with domain seudominio.com.br
DMARC:  PASS

Se qualquer um dos três mostrar FAIL, há um problema na configuração ou a propagação DNS ainda não foi concluída.

Teste com MXToolbox

Acesse mxtoolbox.com/SuperTool.aspx e use as ferramentas específicas:

• SPF Record Lookup: insira seu domínio e verifique se o registro está sintaticamente correto.
• DKIM Lookup: insira o seletor (ex.: default ou mail) e o domínio para verificar a chave pública.
• DMARC Lookup: verifica a política e os endereços de relatório configurados.

Teste com mail-tester.com

Acesse mail-tester.com, copie o endereço de email gerado pela ferramenta, envie uma mensagem real do seu domínio para esse endereço e clique em Verificar minha pontuação. A ferramenta atribui uma nota de 1 a 10 e detalha cada problema encontrado, incluindo SPF, DKIM, DMARC, blacklists e conteúdo da mensagem.

Se você usa o cPanel para gerenciar seus emails, o artigo Guia Completo para Configurar E-mails Profissionais no cPanel traz informações complementares sobre configuração de contas e autenticação.

Problemas comuns e como resolver

Sintoma: emails continuam caindo no spam mesmo com SPF e DKIM configurados

Causa: O DMARC não foi configurado ou está com p=none, o que não instrui os provedores a confiar nas mensagens. Outra causa comum é o alinhamento incorreto — o domínio no cabeçalho From não corresponde ao domínio do SPF ou DKIM.
Solução: Verifique o cabeçalho completo do email no Gmail usando "Mostrar original". Confirme que o domínio em From é exatamente o mesmo domínio do registro SPF e do seletor DKIM. Se usar um serviço de envio de terceiros (Mailchimp, SendGrid), certifique-se de ter adicionado o include correto no SPF e configurado o DKIM com o seletor fornecido pelo serviço.

Sintoma: erro "SPF PermError: too many DNS lookups"

Causa: O SPF permite no máximo 10 consultas DNS recursivas (mecanismos include, a, mx). Quando você usa múltiplos serviços de email (Google, Outlook, Mailchimp, SendGrid), cada include pode gerar várias consultas adicionais, ultrapassando o limite.
Solução: Use uma ferramenta como dmarcian.com/spf-survey para contar as consultas do seu registro SPF. Substitua mecanismos include por endereços IP diretos (ip4:) quando possível, ou use um serviço de "SPF flattening" que consolida todos os IPs em um único registro.

Sintoma: DKIM falha após migração de servidor ou troca de provedor de email

Causa: A chave privada DKIM ficou no servidor antigo e a chave pública no DNS ainda aponta para o seletor anterior. O novo servidor usa uma chave privada diferente, causando falha na verificação.
Solução: Gere um novo par de chaves DKIM no novo servidor ou provedor. Publique a nova chave pública no DNS com um seletor diferente (ex.: mail2 em vez de mail). Após confirmar que o novo seletor funciona, atualize a configuração do servidor para usar o novo seletor e remova o registro antigo do DNS.

Sintoma: relatórios DMARC não chegam no email configurado

Causa: O endereço de email no campo rua pertence a um domínio diferente do domínio que está sendo protegido pelo DMARC. Nesse caso, o domínio destinatário dos relatórios precisa publicar um registro de autorização.
Solução: Se o endereço rua=mailto:[email protected], publique um registro TXT em seudominio.com.br._report._dmarc.outrodominio.com com o valor v=DMARC1. Alternativamente, use um endereço de email no mesmo domínio que está sendo configurado.

Sintoma: DMARC mostra "pass" mas emails ainda são rejeitados

Causa: O problema pode não ser de autenticação, mas de reputação de IP. Se o IP do servidor de envio estiver em uma blacklist (RBL), os emails serão rejeitados independentemente de SPF, DKIM e DMARC estarem corretos.
Solução: Verifique se o IP do servidor está em blacklists usando mxtoolbox.com/blacklists.aspx. Se estiver listado, siga o processo de remoção de cada lista. Para evitar esse problema no futuro, monitore a reputação do IP regularmente e evite enviar emails em massa sem opt-in confirmado.

Perguntas frequentes sobre SPF, DKIM e DMARC

O que acontece se eu não configurar SPF, DKIM e DMARC?

Sem esses registros, seus emails têm alta probabilidade de cair na caixa de spam ou serem rejeitados por servidores como Gmail e Outlook. Além disso, qualquer pessoa pode enviar emails falsificando o seu domínio, o que prejudica a reputação da sua marca e pode resultar em blacklist de IP. Provedores como Google e Yahoo passaram a exigir autenticação válida para domínios que enviam grandes volumes de email.

Qual a diferença entre SPF, DKIM e DMARC?

SPF define quais servidores têm permissão para enviar email pelo seu domínio. DKIM adiciona uma assinatura criptográfica em cada mensagem para provar que ela não foi alterada. DMARC usa SPF e DKIM para definir o que fazer com emails que falham na autenticação — rejeitar, colocar em quarentena ou apenas monitorar. Os três protocolos são complementares e funcionam melhor quando configurados juntos.

Posso configurar DKIM, SPF e DMARC no cPanel?

Sim. O cPanel possui uma seção chamada Autenticação de Email que permite ativar DKIM e SPF com um clique. O registro DMARC precisa ser adicionado manualmente na zona DNS do domínio como um registro TXT, mas o processo é simples e não requer acesso root. O cPanel gera e publica automaticamente a chave DKIM, eliminando a necessidade de configuração manual do OpenDKIM.

Quanto tempo leva para SPF, DKIM e DMARC propagarem?

A propagação de registros DNS pode levar de alguns minutos até 48 horas, dependendo do TTL configurado na zona DNS e dos servidores recursivos envolvidos. Na prática, a maioria dos provedores reflete as alterações em menos de 1 hora quando o TTL está abaixo de 3600 segundos. Durante a propagação, é normal que alguns servidores ainda vejam os registros antigos.

Como testar se DKIM, SPF e DMARC estão funcionando corretamente?

Envie um email de teste para uma conta Gmail e abra a mensagem. Clique em Mostrar original e verifique as linhas dkim=pass, spf=pass e dmarc=pass no cabeçalho. Ferramentas online como MXToolbox e mail-tester.com também analisam os registros e exibem erros detalhados, incluindo problemas de sintaxe, alinhamento e reputação de IP.

Conclusão

• Configure SPF primeiro, depois DKIM e por último DMARC — essa ordem facilita o diagnóstico e evita rejeições prematuras durante a implantação.
• Comece o DMARC com p=none, analise os relatórios por pelo menos duas semanas e só então evolua para p=quarantine e depois p=reject.
• Monitore continuamente os relatórios DMARC e a reputação do IP do servidor de envio — autenticação correta e IP limpo são os dois pilares da entregabilidade de email.

Leia também

• Guia para configurar subdomínio no cPanel do jeito certo
• Webmail no cPanel: Acesso e Uso Simplificado
• Guia Completo para Configurar E-mails Profissionais no cPanel

Precisa de ajuda com email profissional e DNS?

Configurar SPF, DKIM e DMARC corretamente exige acesso à zona DNS e, em alguns casos, ao servidor de email. A AviraHost oferece hospedagem com cPanel incluso, onde você pode ativar DKIM e SPF com um clique e gerenciar sua zona DNS sem complicações.

Conheça os planos de hospedagem da AviraHost com email profissional incluso