Entenda o que são SPF, DMARC, DKIM e como eles protegem seu domínio

Descrição
SPF, DKIM e DMARC são protocolos de autenticação de e-mail que aumentam a segurança e melhoram a entregabilidade das mensagens enviadas pelo seu domínio, protegendo contra spoofing, phishing e outras práticas maliciosas.

SPF

O SPF (Sender Policy Framework) é um protocolo que permite aos proprietários de domínios especificar quais servidores de e-mail estão autorizados a enviar mensagens em nome do seu domínio. Ele funciona como uma lista de remetentes aprovados, publicada no DNS do domínio.
Quando um servidor de destino recebe um e-mail, ele consulta o registro SPF do domínio remetente para verificar se o servidor de origem está autorizado. Se não estiver, a mensagem pode ser rejeitada ou marcada como suspeita.

Por que o SPF é importante?

• Autenticação do remetente: confirma que o e-mail foi enviado de um servidor autorizado pelo domínio.

• Prevenção de spoofing: dificulta o envio de e-mails fraudulentos que se passam por uma fonte legítima.

• Melhoria da entregabilidade: reduz a chance de e-mails legítimos serem marcados como spam.
  Reputação do domínio: demonstra que o domínio está protegido contra práticas de spam e phishing.

DKIM

O DKIM (DomainKeys Identified Mail) é um método de autenticação que adiciona uma assinatura digital ao cabeçalho de cada e-mail enviado. Essa assinatura permite comprovar duas coisas fundamentais:

• A mensagem foi realmente enviada em nome do domínio declarado.

• O conteúdo não foi alterado durante o trajeto entre o envio e o recebimento.

Na prática, o servidor de envio assina o e-mail com uma chave privada. O servidor de destino (como Gmail, Outlook ou Yahoo) consulta a chave pública publicada no DNS do domínio do remetente para validar a assinatura. Se a assinatura for válida, o e-mail é considerado autêntico.
Por que o DKIM é importante?

• Integridade da mensagem: garante que o conteúdo do e-mail não foi modificado em trânsito.

• Autenticidade do domínio: comprova que o e-mail partiu do domínio legítimo.

• Proteção contra ataques man-in-the-middle: qualquer alteração no e-mail invalida a assinatura DKIM.

• Melhoria da entregabilidade: provedores de e-mail tratam mensagens assinadas com DKIM com maior confiança.

DMARC

O DMARC é o protocolo que une e complementa o SPF e o DKIM. Ele permite que os proprietários de domínios definam políticas de tratamento para e-mails que falham na autenticação, além de fornecer relatórios detalhados sobre o uso do domínio no envio de e-mails.
Enquanto SPF verifica de onde o e-mail foi enviado, e DKIM verifica se o conteúdo foi alterado, o DMARC define o que fazer quando alguma dessas verificações falha.
 

Políticas disponíveis no DMARC:

• quarantine (quarentena): e-mails que falham na autenticação são enviados para a pasta de spam.
• reject (rejeitar): e-mails não autenticados são recusados pelo servidor de destino. Nível máximo de proteção.

Por que o DMARC é importante?

• Políticas de autenticação: define como tratar e-mails que falham na verificação SPF ou DKIM.
• Relatórios de conformidade: envia relatórios periódicos identificando tentativas de uso indevido do domínio.
• Proteção contra spoofing e phishing: garante que apenas e-mails autenticados sejam entregues em nome do domínio.
• Reputação e conformidade: protege a reputação do domínio e demonstra boas práticas de segurança.

Como SPF, DKIM e DMARC funcionam juntos?

Os três protocolos se complementam e formam uma camada robusta de proteção para o seu domínio:

• SPF verifica se o servidor de envio está autorizado a enviar e-mails pelo domínio.
• DKIM garante que o e-mail não foi adulterado e que a assinatura pertence ao domínio.
• DMARC define o que acontece quando SPF ou DKIM falham, e gera relatórios para monitoramento.

💡 Recomendação: Para máxima proteção e entregabilidade, configure os três protocolos em conjunto. A ausência de qualquer um deles pode deixar brechas que prejudicam tanto a segurança quanto a chegada dos seus e-mails à caixa de entrada dos destinatários.

Guias de configuração
Veja abaixo os artigos relacionados para configurar cada protocolo no seu domínio e provedor de envio: