Os domínios de return-path e de rastreamento personalizados são as duas configurações de marca e autenticação que a maioria dos remetentes deixa de lado, e elas importam por motivos diferentes. Um return-path personalizado permite que o SPF se alinhe ao seu domínio From, de modo que o DMARC tenha duas formas de passar. Um domínio de rastreamento personalizado coloca o seu próprio nome nos links de clique e de abertura. Este guia explica os dois, mostra os registros DNS envolvidos e descreve como testá-los.
Os três domínios presentes em todo e-mail
Uma única mensagem carrega vários nomes de domínio, cada um usado em uma verificação diferente. Entender a diferença explica por que essas configurações existem.
| Nome | Onde aparece | Usado para |
|---|---|---|
| Domínio From | O endereço visível no cabeçalho From | O DMARC compara as outras verificações com este domínio |
| Domínio de return-path | O remetente do envelope (MAIL FROM), exibido em um cabeçalho Return-Path | O SPF é verificado aqui, e os bounces são entregues aqui |
| Domínio de assinatura DKIM (d=) | O cabeçalho da assinatura | Verificação do DKIM e alinhamento com o domínio From |
| Domínio de rastreamento | Dentro dos links e dos pixels de rastreamento no corpo | Reputação dos links, varredura de segurança e confiança na marca |
Alinhamento: por que o domínio de return-path importa
O DMARC exige que pelo menos um entre SPF e DKIM passe e que o domínio aprovado esteja alinhado ao domínio From. Alinhado significa relacionado: com alinhamento relaxado, que é o padrão, um subdomínio do mesmo domínio organizacional conta. Se a sua plataforma usa o próprio domínio como return-path, o SPF passa para esse domínio, mas ele não corresponde ao seu, então o SPF não ajuda o DMARC. Com um return-path personalizado em um subdomínio seu, o SPF passa e se alinha.
| Configuração | Resultado do SPF | Resultado do DMARC |
|---|---|---|
| Return-path no domínio da plataforma, DKIM alinhado | Passa, sem alinhamento | Passa somente pelo DKIM |
| Return-path personalizado no seu subdomínio, DKIM alinhado | Passa e alinhado | Passa pelos dois; mais resiliente |
| Return-path personalizado, DKIM quebrado em trânsito | Passa e alinhado | Ainda passa pelo SPF |
| Return-path da plataforma, DKIM quebrado em trânsito | Passa, sem alinhamento | Falha |
O SPF não sobrevive ao encaminhamento. Quando um e-mail é encaminhado, o SPF é verificado em relação a quem encaminhou e, por isso, geralmente falha. O DKIM é o sinal que sobrevive. É por isso que o DKIM alinhado é o objetivo principal e o return-path personalizado é uma segunda camada, não uma substituição.
Configurando um return-path personalizado
- Escolha um subdomínio. Escolha um nome como bounce.mail.example.com que seja usado somente para bounces. Mantenha-o separado do seu subdomínio de rastreamento.
- Adicione o registro que a sua plataforma especifica. Normalmente é um CNAME para um nome da plataforma ou um registro MX que encaminha os bounces para a plataforma. Copie-o exatamente.
- Verifique o registro SPF do subdomínio. Em geral, a plataforma gerencia a política SPF por trás do CNAME. Se ela não o fizer, publique um registro SPF para o subdomínio que autorize a plataforma.
- Aguarde e verifique. Espere o TTL do registro expirar e use a sua plataforma para verificar o domínio, como descrito no nosso guia sobre como verificar um domínio de envio.
- Envie um teste e leia os cabeçalhos. Confirme que o cabeçalho Return-Path usa o seu subdomínio e que os resultados de autenticação mostram SPF pass com esse domínio.
Return-Path: <bounce+abc123@bounce.mail.example.com>
Authentication-Results: mx.example.net;
spf=pass smtp.mailfrom=bounce.mail.example.com;
dkim=pass header.d=mail.example.com;
dmarc=pass header.from=mail.example.comNo exemplo, o domínio de return-path é um subdomínio do domínio From, então o alinhamento relaxado se mantém e o SPF contribui para a aprovação do DMARC.
Configurando um domínio de rastreamento personalizado
O rastreamento de links reescreve cada link da sua mensagem para passar por um redirecionamento, de modo que os cliques possam ser contados. O rastreamento de aberturas adiciona uma imagem minúscula cujo carregamento é contabilizado. Ambos usam um domínio. Por padrão, esse domínio pertence à plataforma e é compartilhado por muitos clientes. Um domínio de rastreamento personalizado o substitui por um subdomínio seu.
- Escolha um subdomínio. Por exemplo, links.example.com. Use um nome que pareça natural para um destinatário.
- Publique o CNAME. Aponte o subdomínio para o nome fornecido pela sua plataforma. Um CNAME deve ser o único registro naquele nome.
- Aguarde o certificado. A plataforma solicita um certificado para o subdomínio assim que o CNAME é resolvido. Isso pode levar de minutos a horas.
- Ative-o para o envio. Selecione o domínio de rastreamento nas suas configurações de envio ou por fluxo, para que as novas mensagens o usem.
- Clique em um link de teste. Abra uma mensagem, clique em um link rastreado e confirme que ele carrega por HTTPS, sem aviso do navegador, e leva à página correta.
Por que o HTTPS não é opcional
Um link rastreado é a primeira coisa que um destinatário, um navegador e um scanner de segurança tocam. Um link que começa com http, ou que exibe um aviso de certificado, desperta suspeita e perde cliques. Alguns gateways corporativos chegam a reescrever ou bloquear esses links. Confirme que o certificado é válido antes de ativar o rastreamento e verifique se a renovação é automática.
Benefícios e contrapartidas de um domínio de rastreamento personalizado
| Benefício | Contrapartida |
|---|---|
| A reputação dos links é só sua, não compartilhada com remetentes desconhecidos | Seus próprios erros também recaem sobre o seu domínio, então mantenha-o limpo |
| Os links ficam consistentes com a sua marca | Mais um subdomínio e um certificado para manter |
| Mais fácil separar fluxos, com um domínio de rastreamento por fluxo | Mais registros DNS para documentar |
| Menos surpresas se outro remetente em um domínio compartilhado entrar em uma blocklist | Um domínio novo não tem histórico, então introduza-o gradualmente |
Introduza um novo domínio de rastreamento gradualmente. Um domínio nunca visto em links não tem reputação, boa ou ruim, e enviar grandes volumes com ele desde o primeiro dia pode parecer incomum. Siga o mesmo aumento cauteloso descrito no nosso guia de warm-up.
Você deve desativar o rastreamento em algumas mensagens?
O rastreamento de aberturas e de cliques é uma conveniência, não uma exigência. Em redefinições de senha, códigos de login e mensagens de segurança semelhantes, muitas equipes desativam o rastreamento. Os links devem levar direto ao seu site, e links reescritos podem fazer uma mensagem legítima parecer phishing para usuários e filtros. Note também que o rastreamento de aberturas se tornou pouco confiável, já que os aplicativos de e-mail pré-carregam as imagens. Trate as aberturas como um sinal aproximado e os cliques e as conversões como as métricas que importam.
Um exemplo prático: dois fluxos em um domínio
Imagine uma loja que envia confirmações de pedido e promoções semanais. Ela mantém o domínio raiz example.com para o e-mail da equipe e cria dois subdomínios de envio, um para cada fluxo. Cada um recebe o seu próprio conjunto de registros, de modo que as duas reputações nunca se misturam.
| Fluxo | Domínio From | Return-path | Domínio de rastreamento |
|---|---|---|---|
| Transacional | orders.example.com | bounce.orders.example.com | nenhum, rastreamento desativado para mensagens de segurança |
| Promocional | news.example.com | bounce.news.example.com | links.news.example.com |
Com esse layout, um pico de reclamações no fluxo promocional prejudica news.example.com e o seu domínio de links, enquanto as confirmações de pedido mantêm o seu próprio histórico limpo. Cada return-path é um subdomínio do seu próprio domínio From, então o SPF se alinha sob o alinhamento relaxado. Cada fluxo assina com o seu próprio seletor DKIM, o que também facilita rotacionar uma chave sem tocar na outra. O custo é um punhado de registros DNS adicionais, um preço pequeno pela separação.
Quando você adicionar um fluxo mais tarde, copie o padrão em vez de inventar um novo. Uma nomenclatura consistente deixa óbvio, em um cabeçalho, em um relatório DMARC ou em um aviso de blocklist, a qual fluxo uma mensagem pertence, e isso acelera qualquer investigação.
Solução de problemas
| Problema | Causa provável | Correção |
|---|---|---|
| O Return-Path ainda mostra o domínio da plataforma | Return-path personalizado não ativado para o fluxo | Selecione o domínio nas configurações de envio e reenvie |
| O SPF passa, mas o DMARC falha | Domínio de return-path não alinhado ao From | Use um subdomínio do domínio From |
| Não é possível adicionar o CNAME | Já existe outro registro naquele nome | Use um subdomínio novo para o CNAME |
| O link rastreado mostra aviso de certificado | Certificado não emitido ou expirado | Verifique o CNAME e o status do domínio na plataforma |
| Os links rastreados retornam um erro | O CNAME aponta para o destino errado | Compare com o valor na sua conta |
| Links bloqueados por um gateway do destinatário | Novo domínio de rastreamento sem reputação | Aumente o volume gradualmente e evite encurtadores |
Mantenha tudo em dia
- Documente cada subdomínio e a sua finalidade em um só lugar.
- Verifique os registros após qualquer migração de DNS ou troca de registrador.
- Monitore a expiração dos certificados dos domínios de rastreamento.
- Teste o alinhamento novamente após trocar de plataforma ou adicionar um novo serviço de envio.
- Revise os relatórios DMARC em busca de fontes que falham no alinhamento.
Quer uma segunda opinião sobre o seu DNS? Envie-nos o seu domínio de envio e nós verificaremos os registros de return-path e de rastreamento.
Leituras complementares e fontes
Perguntas frequentes
O que é o endereço return-path?
É o remetente do envelope, também chamado de MAIL FROM ou Return-Path, para o qual os bounces são enviados. Ele é separado do endereço From que as pessoas veem. O SPF é verificado com base no domínio desse endereço do envelope, e não no endereço From visível.
Por que um return-path personalizado é importante?
O DMARC passa quando o SPF ou o DKIM passa e se alinha ao domínio From. Se o return-path usa o domínio da sua plataforma, o SPF passa, mas não se alinha ao seu domínio From. Um return-path personalizado em um subdomínio seu permite que o SPF se alinhe, dando ao DMARC um segundo caminho para passar, além do DKIM.
Preciso de um return-path personalizado se o DKIM estiver alinhado?
O DMARC precisa de apenas uma aprovação alinhada, então um DKIM alinhado é suficiente. Ainda assim, vale a pena ter um return-path personalizado como segunda camada, porque ele mantém o DMARC passando caso uma assinatura DKIM seja quebrada em trânsito e mantém os bounces com a marca do seu domínio.
O que é um domínio de rastreamento?
É o domínio usado nos links reescritos e nos pixels de rastreamento de abertura. Com um domínio de rastreamento personalizado, os links apontam para um subdomínio seu, como links.example.com, em vez de um domínio compartilhado da plataforma, o que transmite mais confiança e mantém a reputação dos seus links separada da de outros remetentes.
Por que o domínio de rastreamento precisa de HTTPS?
Navegadores e clientes de e-mail alertam sobre links inseguros ou os bloqueiam. Links que começam com http podem disparar avisos e reduzir a taxa de cliques, e alguns scanners de segurança os tratam com desconfiança. Certifique-se de que a plataforma emita e renove um certificado para o seu subdomínio de rastreamento.
Posso usar o mesmo subdomínio para bounces e rastreamento?
É melhor não usar. As duas funções usam tipos de registro diferentes e são tratadas por sistemas diferentes. Usar subdomínios separados evita conflitos, como um CNAME entrando em choque com um registro MX no mesmo nome.
Por que o meu link de rastreamento exibe um aviso de certificado?
O certificado do subdomínio de rastreamento ainda não foi emitido, expirou, ou o CNAME não aponta para onde a plataforma espera. Verifique o registro, aguarde a emissão e confirme que a plataforma mostra o domínio como ativo.
Um domínio de rastreamento personalizado melhora a entregabilidade?
Pode ajudar de forma indireta. Um domínio de links com a sua marca e a sua própria reputação evita compartilhar um domínio de links com remetentes desconhecidos e deixa a mensagem com aparência consistente. Ele não compensa uma lista de baixa qualidade nem reclamações.
Posso desativar o rastreamento de links?
Sim, na maioria das plataformas é possível desativar o rastreamento de cliques e de aberturas, por mensagem ou como padrão. Em mensagens sensíveis, como redefinições de senha, é comum desativar o rastreamento, porque links reescritos podem confundir os usuários e as ferramentas de segurança.