Entender e configurar DKIM, SPF e DMARC para autenticação de email é uma das etapas mais críticas — e frequentemente negligenciadas — de qualquer operação de email marketing. Sem esses protocolos, seus emails correm risco real de serem rejeitados por provedores como Gmail, Outlook e Yahoo, ou de serem direcionados diretamente para a pasta de spam. Em 2026, com regras de autenticação cada vez mais rigorosas por parte dos grandes provedores, configurar corretamente esses três protocolos deixou de ser opcional e se tornou requisito fundamental para manter a reputação do seu domínio e garantir que suas mensagens alcancem a caixa de entrada do destinatário.
O que são SPF, DKIM e DMARC e por que importam
SPF, DKIM e DMARC são protocolos de autenticação de email que trabalham em conjunto para verificar a legitimidade de uma mensagem. Eles funcionam como um sistema de credenciais que prova aos servidores de destino que o email foi realmente enviado por quem diz ter enviado — e não por um spammer ou phisher usando seu domínio.
Sem autenticação adequada, qualquer servidor pode enviar emails fingindo ser o seu domínio. Isso é chamado de email spoofing, e é uma das técnicas mais comuns de phishing. Os provedores de email respondem a isso com filtros cada vez mais agressivos: em 2024, o Google e o Yahoo passaram a exigir autenticação SPF, DKIM e DMARC para remetentes que enviam mais de 5.000 emails por dia. Em 2026, essa exigência se expandiu para praticamente todos os remetentes comerciais, independentemente do volume.
Além da segurança, a autenticação impacta diretamente a entregabilidade. Emails autenticados têm taxas de entrega significativamente mais altas, aparecem com menos frequência na pasta de spam e constroem reputação positiva para o domínio ao longo do tempo. Se você opera campanhas de automação de email marketing, a autenticação correta é o alicerce de toda a operação.
Como cada protocolo funciona na prática
Cada um dos três protocolos resolve um problema específico de autenticação. Entendê-los individualmente é essencial antes de partir para a configuração, porque eles se complementam — nenhum deles sozinho oferece proteção completa.
- SPF (Sender Policy Framework): define quais servidores de email estão autorizados a enviar mensagens em nome do seu domínio. Funciona como uma lista de permissão publicada no DNS do domínio. Quando um servidor de destino recebe um email do seu domínio, ele consulta o registro SPF para verificar se o IP de origem está autorizado.
- DKIM (DomainKeys Identified Mail): adiciona uma assinatura criptográfica ao cabeçalho de cada email enviado. O servidor de destino usa a chave pública publicada no DNS do domínio remetente para verificar que a mensagem não foi alterada em trânsito e que realmente foi assinada pelo domínio declarado.
- DMARC (Domain-based Message Authentication, Reporting and Conformance): é a camada de política que une SPF e DKIM. O DMARC define o que o servidor de destino deve fazer quando um email falha na autenticação (rejeitar, quarentena ou nenhuma ação) e fornece relatórios sobre tentativas de envio usando o domínio.
Em termos simples: o SPF verifica o servidor de envio, o DKIM verifica a integridade da mensagem, e o DMARC define a política de enforcement e fornece visibilidade sobre o que está acontecendo com o seu domínio. Juntos, formam um sistema robusto de proteção que complementa estratégias de limpeza e organização da base de contatos.
Guia prático: configurando SPF, DKIM e DMARC passo a passo
A configuração dos três protocolos é feita exclusivamente nos registros DNS do seu domínio. Você precisará de acesso ao painel de gerenciamento do DNS (geralmente no registrador de domínio ou no serviço de hospedagem) e das informações fornecidas pela sua plataforma de email marketing ou provedor de envio.
1. Configurando o registro SPF
O SPF é publicado como um registro TXT no DNS do seu domínio. A sintaxe básica é: v=spf1 include:provedor1.com include:provedor2.com -all. O “v=spf1” indica a versão do SPF. Cada “include” adiciona os servidores autorizados de um provedor. O “-all” no final significa que qualquer servidor não listado deve ser rejeitado (hard fail). Identifique todos os serviços que enviam emails pelo seu domínio: plataforma de email marketing, CRM, sistema transacional, Google Workspace ou Microsoft 365. Cada um deles fornece um valor de include específico. Adicione todos em um único registro SPF — não crie múltiplos registros SPF, pois isso causa falha de validação. O limite técnico do SPF é de 10 lookups DNS, então se você tiver muitos serviços, será necessário consolidar usando mecanismos como “ip4” direto para IPs conhecidos.
2. Configurando o DKIM
A configuração do DKIM envolve dois passos. Primeiro, gere o par de chaves (pública e privada) na sua plataforma de envio. Cada provedor de email marketing tem uma interface para isso: geralmente em configurações, domínios de envio ou autenticação. A plataforma gera uma chave privada (que ela armazena) e uma chave pública (que você publica no DNS). Segundo, adicione o registro DKIM no DNS como registro TXT ou CNAME, seguindo exatamente o formato fornecido pelo provedor. O registro geralmente usa um seletor específico (ex: “s1._domainkey.seudominio.com”) e contém a chave pública. Cada provedor de envio terá seu próprio seletor DKIM — configure um para cada serviço que envia emails pelo seu domínio. Após a publicação, use ferramentas de verificação como MXToolbox ou o verificador do próprio provedor para confirmar que o DKIM está propagado e válido.
3. Configurando o DMARC
O DMARC é publicado como registro TXT no subdomínio “_dmarc” do seu domínio (ex: _dmarc.seudominio.com). A configuração mais conservadora para começar é: v=DMARC1; p=none; rua=mailto:[email protected]. O “p=none” significa que nenhuma ação será tomada contra emails que falhem — apenas relatórios serão gerados. O “rua” define o endereço que receberá relatórios agregados. Comece com p=none por pelo menos 30 dias, analisando os relatórios para identificar serviços legítimos que ainda não estão autenticados corretamente. Depois, evolua para “p=quarantine” (emails que falham vão para spam) e, finalmente, para “p=reject” (emails que falham são rejeitados). Essa progressão gradual evita que emails legítimos sejam bloqueados durante a transição.
4. Verificando a configuração com ferramentas de diagnóstico
Após configurar os três protocolos, é essencial validar que tudo está funcionando. Use ferramentas como MXToolbox, DMARC Analyzer, Google Postmaster Tools e mail-tester.com para verificar. No MXToolbox, consulte os registros SPF, DKIM e DMARC individualmente para identificar erros de sintaxe ou propagação. No mail-tester.com, envie um email de teste e receba uma pontuação detalhada de entregabilidade. No Google Postmaster Tools, monitore a reputação do domínio junto ao Gmail ao longo do tempo. Realize essa verificação após cada alteração nos registros DNS e aguarde pelo menos 24 a 48 horas para propagação completa antes de considerar que há um problema.
5. Configurando DKIM e SPF para múltiplos provedores
A maioria das empresas usa mais de um serviço para enviar emails: a plataforma de email marketing para campanhas, o CRM para emails de vendas, o sistema de e-commerce para transacionais e o Google Workspace ou Microsoft 365 para emails corporativos. Cada um precisa estar autenticado. Para SPF, adicione todos os includes em um único registro. Para DKIM, configure um seletor separado para cada provedor. Para DMARC, uma única política cobre todos os envios do domínio. O desafio mais comum é atingir o limite de 10 lookups DNS do SPF. Nesse caso, consolide provedores que usam IPs fixos substituindo o include pelo ip4 direto, ou utilize serviços de SPF flattening que resolvem automaticamente os includes em IPs.
6. Implementando subdomínios para diferentes fluxos de email
Uma prática avançada e recomendada é usar subdomínios diferentes para cada tipo de envio: marketing.seudominio.com para campanhas, transacional.seudominio.com para emails transacionais, e o domínio principal para emails corporativos. Essa separação permite que a reputação de cada fluxo seja isolada — se uma campanha de marketing gerar reclamações de spam, isso não afeta a entregabilidade dos emails transacionais. Cada subdomínio terá seus próprios registros SPF, DKIM e DMARC independentes. A implementação exige coordenação com a plataforma de envio para configurar o subdomínio como domínio de envio autorizado e com o DNS para publicar os registros corretos em cada subdomínio.
7. Evoluindo a política DMARC de none para reject
A progressão da política DMARC deve ser feita com cautela e baseada em dados. Na fase p=none, analise os relatórios DMARC (enviados no formato XML para o endereço RUA configurado) para mapear todos os serviços que enviam emails pelo seu domínio. Ferramentas como DMARC Analyzer, Postmark DMARC e Valimail facilitam a leitura desses relatórios. Identifique envios legítimos que estão falhando na autenticação e corrija antes de avançar. Quando os relatórios mostrarem que todos os envios legítimos passam na autenticação, avance para p=quarantine com pct=25 (aplica a política a 25% dos emails que falham). Monitore por mais 2 semanas, aumente para pct=50, depois pct=100. Quando estiver confiante, avance para p=reject. A aplicação de métricas ao longo desse processo garante o acompanhamento correto, como detalhado em estratégias de métricas de email marketing.
8. Monitorando a reputação do domínio após a autenticação
Configurar SPF, DKIM e DMARC é o início, não o fim. A reputação do domínio precisa ser monitorada continuamente. O Google Postmaster Tools mostra a reputação do domínio junto ao Gmail em uma escala de alto, médio, baixo e ruim. Quedas na reputação indicam problemas como altas taxas de reclamação, envio para endereços inválidos ou conteúdo flagrado como spam. Mantenha taxas de reclamação abaixo de 0,1% (o Gmail recomenda abaixo de 0,08%), realize limpezas regulares na lista removendo bounces e inativos, e monitore os relatórios DMARC para detectar tentativas de spoofing ou novos serviços não autenticados. A autenticação é a base, mas a reputação é construída pelo comportamento de envio ao longo do tempo.
9. Troubleshooting: erros comuns e como resolver
Os erros mais frequentes na configuração de autenticação de email incluem: múltiplos registros SPF no mesmo domínio (deve haver apenas um), exceder o limite de 10 lookups DNS no SPF, chaves DKIM publicadas com formatação incorreta (espaços extras ou quebras de linha no registro TXT), DMARC com política reject antes de validar todos os envios legítimos, e registros DNS que não propagaram completamente. Outros problemas comuns: o provedor de email marketing não está incluído no SPF (emails falham na verificação), o seletor DKIM está errado (a chave pública não é encontrada), e o alinhamento do DMARC falha porque o domínio no “From” não corresponde ao domínio no SPF ou DKIM. Para cada erro, verifique os cabeçalhos do email (Authentication-Results) para identificar exatamente qual protocolo está falhando e por quê.
Como a The Growth Hub fortalece sua infraestrutura de email
Configurar DKIM, SPF e DMARC corretamente exige a convergência de conhecimento técnico em DNS, segurança de email e estratégia de entregabilidade — capacidades modulares que, sob orquestração adequada, transformam a infraestrutura de email em vantagem competitiva real.
A The Growth Hub opera como infraestrutura de crescimento por assinatura, ativando especialistas em tecnologia, email marketing e segurança digital através de módulos de execução dedicados. A camada de inteligência da TGH audita a configuração de autenticação do domínio, identifica vulnerabilidades e implementa as correções necessárias de forma integrada ao restante da operação de growth. Com o SquadMatch, a empresa acessa as competências técnicas certas — de configuração DNS a monitoramento de reputação — dentro de uma infraestrutura ativa que garante entregabilidade máxima de forma contínua.
Conclusão
A autenticação de email com DKIM, SPF e DMARC não é apenas uma medida de segurança — é o alicerce de toda a operação de email marketing. Sem ela, mesmo o melhor conteúdo e a melhor segmentação são inúteis se os emails nunca chegam à caixa de entrada. A configuração exige atenção técnica, mas os passos são claros: publique o SPF com todos os provedores autorizados, configure o DKIM com assinatura criptográfica para cada serviço de envio e implemente o DMARC progressivamente de none até reject.
O investimento em autenticação paga dividendos exponenciais ao longo do tempo. Domínios bem autenticados constroem reputação sólida, alcançam taxas de entrega superiores e protegem a marca contra fraudes. Trate a autenticação de email não como uma tarefa técnica pontual, mas como parte fundamental da sua estratégia de crescimento — porque cada email que chega à caixa de entrada é uma oportunidade de conversão que começa na confiança entre o seu domínio e o servidor de destino.
