Resumo rápido. Onde olhar: cabeçalho Authentication-Results · SPF permerror: dois registros ou mais de 10 consultas · Falha de DMARC: geralmente um problema de alinhamento · Ferramenta: analisador de cabeçalhos gratuito
Resumo
- Encontre os resultados de autenticação. Abra uma mensagem que você enviou e veja o código-fonte original ou os cabeçalhos completos.
- O que significam os resultados do SPF. Pass significa que o IP de envio está listado.
- O que significam os resultados do DKIM. Pass significa que a assinatura corresponde à chave publicada.
- O que significam os resultados do DMARC. O DMARC passa quando o SPF ou o DKIM passa e o domínio aprovado está alinhado com o domínio do From.
- Correção: registro SPF não encontrado. Isso significa que o domínio não tem registro TXT de SPF, ou que a consulta é feita para um nome diferente do que você publicou.
- Correção: chave DKIM não encontrada ou inválida. Verifique o seletor no cabeçalho DKIM-Signature da mensagem, o valor de s=, e confirme que existe um registro TXT em selector._domainkey.yourdomain.com.
Encontre os resultados de autenticação
Abra uma mensagem que você enviou e veja o código-fonte original ou os cabeçalhos completos. Procure um cabeçalho chamado Authentication-Results, adicionado pelo servidor receptor. Ele mostra um resultado para cada verificação, como spf=pass, dkim=pass e dmarc=pass, junto com o domínio usado em cada uma.
Nosso analisador de cabeçalhos de e-mail gratuito lê esses cabeçalhos por você, caso o texto bruto seja difícil de acompanhar.
O que significam os resultados do SPF
Pass significa que o IP de envio está listado. Fail significa que não está e que o registro manda rejeitar. Softfail significa que não está listado e que o registro manda tratar a mensagem com desconfiança. Neutral e none significam que o registro não faz nenhuma afirmação ou não existe. Temperror é um problema temporário de DNS, e permerror significa que o registro está quebrado, por exemplo por haver dois registros ou consultas demais.
Se aparecer permerror, corrija o próprio registro. Se aparecer softfail ou fail de um serviço que você usa, esse serviço está faltando no seu registro.
O que significam os resultados do DKIM
Pass significa que a assinatura corresponde à chave publicada. Fail significa que não corresponde. As causas comuns são uma mensagem alterada depois de assinada, como um rodapé adicionado por outro sistema, um registro DNS copiado errado ou um seletor diferente do que o remetente usou.
None significa que a mensagem não foi assinada. Verifique se o DKIM está ativado no serviço de envio e se o seu registro DNS foi publicado exatamente no nome indicado.
O que significam os resultados do DMARC
O DMARC passa quando o SPF ou o DKIM passa e o domínio aprovado está alinhado com o domínio do From. Por isso é possível ver spf=pass e dkim=pass e ainda assim obter dmarc=fail, porque os domínios aprovados pertencem ao serviço e não a você.
Esse é o caso mais confuso. A solução é autenticar o seu próprio domínio no serviço de envio, de modo que a assinatura DKIM e, idealmente, o return path usem o seu domínio.
Correção: registro SPF não encontrado
Isso significa que o domínio não tem registro TXT de SPF, ou que a consulta é feita para um nome diferente do que você publicou. Verifique se o registro está na raiz do domínio exato indicado no Return-Path e se você não o colocou em um subdomínio por engano.
Lembre-se de que o e-mail pode sair de um subdomínio, que então precisa do próprio registro. Veja nosso guia de SPF para saber como montar um.
Correção: chave DKIM não encontrada ou inválida
Verifique o seletor no cabeçalho DKIM-Signature da mensagem, o valor de s=, e confirme que existe um registro TXT em selector._domainkey.yourdomain.com. Chaves longas devem ser coladas como um único valor. Alguns painéis de DNS dividem ou truncam esses valores, então confirme consultando o registro depois de publicá-lo.
Se você trocou de provedor ou rotacionou chaves recentemente, um seletor antigo ainda pode estar em uso. Publique os novos registros e aguarde a propagação do DNS antes de ativar a assinatura.
Correção: o DMARC falha, mas SPF e DKIM passam
Compare o domínio do cabeçalho From com os domínios que passaram. Se forem diferentes, o alinhamento falha. Configure um domínio personalizado no seu serviço de envio para que o DKIM assine com o seu domínio.
Se você não tem certeza de quais domínios estão envolvidos, os relatórios agregados do DMARC os listam por origem e mostram exatamente quais remetentes não estão alinhados.
Correção: passa em tudo, mas ainda vai para o spam
A autenticação é um requisito, não uma garantia. Se tudo passa e o e-mail ainda cai no spam, a causa geralmente está na reputação, no conteúdo ou na lista: taxas altas de reclamação, endereços comprados, um aumento repentino de volume ou um assunto com cara de spam.
Verifique suas taxas de reclamação e de bounce, revise para quem você está enviando e reduza o ritmo se aumentou o volume recentemente. Nossos guias de entregabilidade cobrem essas etapas.
Uma ordem de trabalho tranquila
Comece pelo SPF, porque é o mais rápido de corrigir. Depois verifique o DKIM de cada remetente. Em seguida, olhe o alinhamento do DMARC. Altere uma coisa por vez e teste novamente, para saber qual mudança resolveu.
Se travar, envie-nos os cabeçalhos da mensagem e o nome do seu domínio, e nós ajudaremos você a descobrir qual verificação está falhando e por quê.
Um exemplo de cabeçalho
Uma linha de resultado típica é assim: Authentication-Results: mx.example.net; spf=pass smtp.mailfrom=bounce.yourdomain.com; dkim=pass header.d=yourdomain.com; dmarc=pass header.from=yourdomain.com. Cada parte indica o domínio que foi verificado.
Leia da direita para a esquerda. O domínio header.from é o que o destinatário vê. Os domínios dkim header.d e spf smtp.mailfrom são os que a verificação usou. Se forem diferentes de header.from e não forem subdomínios dele, espere uma falha de alinhamento.
Leitura complementar e fontes
- RFC 7208: Sender Policy Framework (SPF)
- RFC 6376: DomainKeys Identified Mail (DKIM) Signatures
- RFC 7489: DMARC
Faça no MigoSMTP: artigos da central de ajuda
- Leia cabeçalhos de e-mail para depurar a autenticação
- Corrija o SPF permerror e o limite de 10 consultas
- Return-path e domínios de rastreamento personalizados
Guias e ferramentas relacionados
- Analisador de cabeçalhos de e-mail: leia os resultados de autenticação em linguagem simples.
- Como criar um registro SPF: sintaxe, exemplos e erros comuns.
- Como configurar o DMARC: comece com p=none e avance para reject com segurança.
Não tem certeza de que seus registros estão corretos? Use nosso verificador gratuito ou envie-nos um cabeçalho e nós ajudamos você a lê-lo.
Perguntas frequentes
Onde vejo se o SPF, o DKIM ou o DMARC falhou?
Abra os cabeçalhos completos de uma mensagem recebida e procure o cabeçalho Authentication-Results, adicionado pelo servidor receptor. Ele lista os resultados de spf, dkim e dmarc.
Por que o DMARC falha quando o SPF e o DKIM passam?
Porque o DMARC exige alinhamento: o domínio que passou no SPF ou no DKIM precisa ser igual ao domínio do From. Uma aprovação para outro domínio não ajuda o DMARC.
O que significa SPF permerror?
O registro não pôde ser avaliado, geralmente porque o domínio tem dois registros SPF ou porque o registro exige mais de dez consultas DNS.
Minha autenticação passa, mas o e-mail ainda vai para o spam. Por quê?
A autenticação é um requisito, não uma garantia. Reputação, qualidade da lista, conteúdo e engajamento também importam.