Entenda o que são SPF, DKIM e DMARC e como eles protegem seu domínio

Visão geral

SPF, DKIM e DMARC são protocolos de autenticação de e-mail que trabalham juntos para proteger o domínio da administradora contra uso indevido e garantir que os e-mails enviados pelo sistema cheguem à caixa de entrada dos destinatários. A ausência de qualquer um deles aumenta a chance de e-mails legítimos serem tratados como spam e deixa o domínio vulnerável a spoofing e phishing.

Quando usar este artigo

Utilize este artigo para entender o que cada protocolo faz, como funcionam em conjunto e por que os três precisam estar configurados no domínio da administradora.

Sintoma ou cenário

E-mails enviados pelo sistema estão caindo na caixa de spam dos destinatários, ou a administradora deseja proteger o domínio contra envios fraudulentos realizados em seu nome.

Benefício para o usuário ou operação

Garante que e-mails enviados pelo sistema cheguem à caixa de entrada dos destinatários, e não à pasta de spam;
Impede que terceiros enviem e-mails fraudulentos utilizando o domínio da administradora;
Fornece relatórios periódicos para monitorar o uso do domínio no envio de e-mails;
Aumenta a confiança dos provedores de e-mail no domínio remetente.

Onde acessar / contexto de uso

A configuração dos três protocolos é feita diretamente no painel de DNS do domínio da administradora, fora do sistema Superlógica. A geração da chave DKIM é feita no sistema em Menu do usuário > Histórico de e-mails enviados > painel de monitoramento de entregabilidade.

Pré-requisitos (Antes de começar)

Perfil Exato: Acesso administrativo ao gerenciamento DNS do domínio ou suporte da empresa responsável pela hospedagem.
Recursos Sistêmicos: Domínio próprio para envio de e-mails.
Insumos e Dados Técnicos: Informações dos registros SPF, DKIM e DMARC que serão publicados no DNS.

Causas prováveis

A ausência ou configuração incorreta dos registros SPF, DKIM e DMARC pode resultar em rejeições, classificação das mensagens como spam, falhas na autenticação dos e-mails e redução da reputação do domínio.

Como fazer ou corrigir

SPF — Sender Policy Framework

O SPF define quais servidores de e-mail estão autorizados a enviar mensagens em nome do domínio. Essa lista é publicada como um registro no DNS. Quando um servidor de destino recebe um e-mail, consulta esse registro para verificar se o servidor remetente está autorizado — se não estiver, a mensagem pode ser rejeitada ou marcada como suspeita.

Principais funções:

Autentica o servidor remetente;
Reduz tentativas de spoofing;
Contribui para a reputação e entregabilidade do domínio.

O registro SPF sugerido para uso com o Superlógica é: v=spf1 include:_spf.superlogica.com ~all

DKIM — DomainKeys Identified Mail

O DKIM adiciona uma assinatura digital ao cabeçalho de cada e-mail enviado, comprovando que o e-mail foi enviado pelo domínio declarado e que o conteúdo não foi alterado durante o trajeto. O servidor de envio assina o e-mail com uma chave privada e o servidor de destino valida essa assinatura consultando a chave pública publicada no DNS. Qualquer alteração no conteúdo após o envio invalida a assinatura.

Principais funções:

Garante a integridade do conteúdo da mensagem;
Confirma a autenticidade do domínio remetente;
Aumenta a confiança dos provedores de e-mail.

A chave DKIM é única por domínio e deve ser gerada no sistema. Acesse Menu do usuário > Histórico de e-mails enviados, localize o campo DKIM no painel de monitoramento de entregabilidade e clique em Gerar chave. Insira a chave gerada nas configurações de DNS do domínio.

DMARC — Domain-based Message Authentication, Reporting and Conformance

O DMARC complementa o SPF e o DKIM definindo o que deve acontecer quando alguma das verificações falha, e gera relatórios periódicos que permitem monitorar o uso do domínio e identificar tentativas de uso indevido.

As políticas disponíveis são:

none: monitora os envios e gera relatórios, sem bloquear nem filtrar nenhuma mensagem. É a política recomendada para a fase inicial de configuração — permite verificar se SPF e DKIM estão funcionando corretamente e identificar quais servidores estão enviando e-mails em nome do domínio antes de aplicar uma restrição mais severa.
quarantine: mensagens que falham na autenticação são direcionadas para a pasta de spam do destinatário.
reject: mensagens não autenticadas são recusadas pelo servidor de destino. É o nível máximo de proteção.

A evolução recomendada é: iniciar com none para monitoramento, avançar para quarantine após confirmar que os e-mails legítimos estão passando nas verificações, e migrar para reject quando o domínio estiver completamente validado.

O registro DMARC sugerido para uso com o Superlógica é:

v=DMARC1; p=quarantine; pct=5; rua=mailto:seuemail@seudominio.com; ruf=mailto:seuemail@seudominio.com; fo=1; sp=none; adkim=r; aspf=r

Principais funções:

Define políticas de tratamento para e-mails que falham na autenticação;
Fornece relatórios periódicos de monitoramento do domínio;
Protege contra spoofing e phishing;
Fortalece a reputação do domínio junto aos provedores de e-mail.

Como os três protocolos funcionam juntos

Os protocolos se complementam e formam uma camada completa de proteção:

SPF verifica se o servidor de envio está autorizado a enviar e-mails pelo domínio.
DKIM garante que o conteúdo do e-mail não foi alterado e que a assinatura pertence ao domínio legítimo.
DMARC define o que acontece quando SPF ou DKIM falham, e gera relatórios para monitoramento contínuo.

💡 Recomendação: Para máxima proteção e entregabilidade, configure os três protocolos em conjunto. A ausência de qualquer um deles pode deixar brechas que prejudicam tanto a segurança quanto a chegada dos seus e-mails à caixa de entrada dos destinatários.

Resultado esperado

Após configurar os três protocolos no DNS e aguardar o prazo de propagação, o painel de monitoramento de entregabilidade no sistema exibirá o status Configurado para SPF, DKIM e DMARC. Os e-mails enviados passarão a chegar com maior confiabilidade à caixa de entrada dos destinatários, e o domínio estará protegido contra uso indevido.

Quando escalar

Este artigo possui caráter conceitual. Caso necessite configurar os registros, consulte os artigos específicos de configuração ou entre em contato com o administrador do domínio.

Informações que devem ser reunidas antes do escalonamento

Caso seja necessário solicitar auxílio ao administrador do domínio ou ao provedor de hospedagem, tenha em mãos:

Nome do domínio.
Provedor responsável pelo DNS.
Registros SPF, DKIM e DMARC que deverão ser configurados.
Mensagens de erro, quando houver.

Regras importantes / Observações

As configurações de SPF, DKIM e DMARC não são realizadas dentro da plataforma Superlógica.
Os registros devem ser publicados no DNS do domínio.
A configuração conjunta dos três protocolos oferece melhores resultados de segurança e entregabilidade.
Após inserir os registros no DNS, aguarde de 24 a 48 horas para propagação antes de verificar o status no sistema. Esse prazo varia conforme o provedor de domínio;
A chave DKIM é única por domínio. Gere sempre pelo sistema para garantir que os parâmetros estejam corretos e não compartilhe a chave privada;
Não pule diretamente para a política reject no DMARC sem validar antes com none. E-mails legítimos podem ser bloqueados se SPF ou DKIM não estiverem funcionando corretamente.

Problemas comuns e como resolver

Problema: Os e-mails continuam sendo direcionados para spam mesmo após configurar um dos protocolos.
Causa provável: Apenas um dos protocolos foi configurado ou existe alguma inconsistência na configuração dos registros.
Ação recomendada: Verifique se SPF, DKIM e DMARC estão corretamente configurados e validados para o domínio.

Dúvidas relacionadas

P: Preciso configurar os três protocolos? R: Sim. Embora seja possível utilizar apenas um ou dois deles, a combinação de SPF, DKIM e DMARC oferece o melhor nível de proteção e entregabilidade.

P: Essas configurações são realizadas na Superlógica? R: Não. Os registros são configurados diretamente no DNS do domínio, junto ao provedor responsável pela hospedagem.

Palavras-chave de busca

SPF, DKIM, DMARC, autenticação de e-mail, entregabilidade de e-mails, segurança de domínio, spoofing, phishing, autenticação DNS, registro SPF, registro DKIM, registro DMARC, proteção de domínio, e-mails em spam