Preciso de SPF, DKIM e DMARC?

Se você envia em qualquer escala, sim. Gmail e Yahoo esperam autenticação e, juntos, os três registros permitem que os destinatários verifiquem que o e-mail realmente vem de você.

Qual é a ordem para configurá-los?

Comece com SPF e DKIM para cada remetente, depois publique o DMARC em p=none, leia os relatórios, corrija as falhas e endureça a política por etapas.

O que é o alinhamento do DMARC?

O domínio que passou no SPF ou no DKIM precisa corresponder ao domínio do cabeçalho From. Sem alinhamento, o DMARC falha mesmo quando SPF e DKIM passam.

Como verifico meus registros?

Use nosso verificador de SPF, DKIM e DMARC, depois envie uma mensagem de teste e leia o cabeçalho Authentication-Results.

Guia de configuração de DKIM, SPF e DMARC

Em resumo. Tempo necessário: cerca de 30 minutos, mais a espera do DNS · Você vai precisar de: acesso ao seu provedor de DNS

A versão curta

Por que três registros. SPF, DKIM e DMARC respondem, cada um, a uma pergunta diferente.
SPF: liste quem pode enviar. O SPF é um registro TXT no seu domínio que lista os servidores autorizados a enviar os e-mails dele.
DKIM: assine cada mensagem. O DKIM adiciona uma assinatura criptográfica a cada mensagem.
DMARC: defina a política. O DMARC une os outros dois.
Alinhamento em palavras simples. O DMARC passa quando o SPF ou o DKIM passa e o domínio verificado corresponde ao domínio do seu endereço From.
Verifique e monitore. Envie uma mensagem de teste para uma caixa de correio que você controla e leia os resultados de autenticação nos cabeçalhos da cópia recebida.

Por que três registros

SPF, DKIM e DMARC respondem, cada um, a uma pergunta diferente. O SPF pergunta se o servidor de envio tem permissão para enviar em nome do domínio. O DKIM pergunta se a mensagem foi assinada pelo domínio e não foi alterada no caminho. O DMARC pergunta o que o destinatário deve fazer quando essas verificações falham e informa você sobre isso.

Os provedores de caixa de entrada hoje esperam os três, especialmente de remetentes de alto volume. Publicá-los também protege o seu próprio domínio contra falsificação em tentativas de phishing.

SPF: liste quem pode enviar

O SPF é um registro TXT no seu domínio que lista os servidores autorizados a enviar os e-mails dele. Publique um único registro SPF por domínio e inclua nele o valor exibido no seu painel do MigoSMTP. O final ~all marca os demais remetentes como suspeitos; algumas equipes passam depois para -all, quando têm certeza de que todos os remetentes legítimos estão listados.

v=spf1 include:YOUR_SPF_HOST ~all

Mantenha o registro abaixo de dez consultas DNS. Cada include conta para o limite, então remova os provedores que você não usa mais. Dois registros SPF separados em um mesmo domínio são um erro e fazem o SPF falhar.

DKIM: assine cada mensagem

O DKIM adiciona uma assinatura criptográfica a cada mensagem. O destinatário a confere com uma chave pública que você publica no DNS sob um nome de seletor. O MigoSMTP fornece os registros exatos a adicionar, normalmente um ou mais registros CNAME ou TXT.

SELECTOR._domainkey.example.com  CNAME  YOUR_DKIM_TARGET

Adicione os registros exatamente como aparecem no painel e depois verifique. Use um seletor separado para cada serviço de envio, para poder rotacionar ou remover um sem mexer nos outros.

DMARC: defina a política

O DMARC une os outros dois. Ele diz aos destinatários o que fazer quando uma mensagem falha no alinhamento tanto do SPF quanto do DKIM com o seu domínio From visível, e para onde enviar relatórios sobre isso.

_dmarc.example.com  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@example.com"

Comece em p=none com os relatórios ativados, leia-os para encontrar todos os remetentes legítimos, corrija as lacunas e depois passe para quarantine e, por fim, reject. Ir direto para reject pode bloquear os seus próprios e-mails legítimos.

Alinhamento em palavras simples

O DMARC passa quando o SPF ou o DKIM passa e o domínio verificado corresponde ao domínio do seu endereço From. No DKIM, esse é o domínio da assinatura. No SPF, é o domínio do remetente do envelope, e não o endereço From.

É por isso que enviar do seu próprio domínio, com DKIM assinado para esse domínio, é mais robusto do que depender de um domínio compartilhado. Se as verificações de DMARC falham mesmo com SPF e DKIM passando, o alinhamento costuma ser a causa.

Verifique e monitore

Envie uma mensagem de teste para uma caixa de correio que você controla e leia os resultados de autenticação nos cabeçalhos da cópia recebida. Você deve ver spf=pass, dkim=pass e dmarc=pass. Também é possível consultar seus registros diretamente.

dig +short TXT example.com
dig +short TXT _dmarc.example.com
dig +short CNAME SELECTOR._domainkey.example.com

Continue monitorando. Mudanças de DNS feitas para outras ferramentas podem quebrar seus registros sem aviso, e novos remetentes surgem com o tempo. Revise os relatórios DMARC regularmente.

Erros comuns

Publicar dois registros SPF, passar de dez consultas DNS, adicionar o registro DMARC no nome de host errado, deixar o provedor de DNS dividir ou alterar valores TXT longos e esquecer os subdomínios que também enviam e-mail.

Se a verificação falhar, execute o verificador de autenticação no domínio para ver o que o restante da internet enxerga e aguarde a propagação das mudanças de DNS antes de tentar novamente.

Leituras complementares e fontes

Faça no MigoSMTP: artigos da central de ajuda

Guias e ferramentas relacionados

Guia de aquecimento: aqueça um IP novo com segurança.
Guia dos provedores de caixa de entrada: o que cada provedor verifica.
Gerador de DMARC: crie o seu registro.

Não tem certeza de que seus registros estão corretos? Use nosso verificador gratuito ou envie-nos um cabeçalho e ajudaremos você a interpretá-lo.

Comece grátis

DKIM, SPF e DMARC: guia completo de configuração