Entregabilidade
Por que o e-mail da sua empresa cai no spam e como resolver com SPF, DKIM e DMARC
Os três registros que dizem ao mundo que o seu e-mail é legítimo, o que cada um faz e a sequência segura para arrumar o domínio.
Quando o e-mail de uma empresa começa a cair no spam do cliente, o primeiro instinto costuma ser trocar de provedor. Quase sempre é a solução errada: na esmagadora maioria dos casos o problema não está em quem hospeda o e-mail, e sim em três registros de DNS que dizem ao mundo quem tem permissão de enviar mensagens em nome do seu domínio.
Esses registros são o SPF, o DKIM e o DMARC. Este artigo explica o que cada um faz, por que eles quebram e em que ordem corrigir sem interromper o envio.
O problema em uma frase
Qualquer pessoa no mundo pode escrever um e-mail dizendo ser financeiro@suaempresa.com.br. Nada no protocolo de e-mail impede isso. O que existe são mecanismos que permitem ao servidor de destino verificar se aquele remetente é legítimo. E é justamente a ausência dessa verificação que faz sua mensagem legítima ser tratada como suspeita.
SPF: quem pode enviar
O SPF é um registro TXT no seu DNS que lista os servidores autorizados a enviar e-mail em nome do domínio. Quando a mensagem chega ao destino, o servidor consulta essa lista e compara com o IP de origem.
Os erros mais comuns:
- Mais de um registro SPF. É o erro que mais aparece e o mais fatal: dois registros invalidam a verificação por completo. Cada serviço novo deve ser somado ao registro existente, nunca criar outro.
- Sistemas esquecidos. ERP que manda nota fiscal, formulário do site, plataforma de disparo, sistema de cobrança. Se ele envia usando o seu domínio e não está no SPF, cai no spam.
- Limite de dez consultas. O SPF permite no máximo dez consultas de DNS ao ser avaliado. Empresas que acumulam integrações estouram esse limite e o registro passa a falhar silenciosamente.
- Terminação frouxa. Terminar o registro com
?allou+allanula o propósito: significa "aceite de qualquer um".
DKIM: a assinatura da mensagem
O DKIM adiciona uma assinatura criptográfica ao cabeçalho de cada mensagem enviada. O destinatário usa uma chave pública publicada no seu DNS para conferir duas coisas: que a mensagem saiu mesmo do seu domínio e que ninguém alterou o conteúdo no caminho.
No Microsoft 365, o DKIM não vem ativo por padrão para domínios próprios: é preciso publicar dois registros CNAME e habilitar a assinatura no painel. É extremamente comum encontrar empresas migradas há anos com o DKIM nunca ativado.
DMARC: o que fazer quando falha
O DMARC amarra os dois anteriores. Ele instrui o servidor de destino sobre o que fazer quando SPF e DKIM não conferem e, igualmente importante, pede relatórios sobre quem está enviando mensagens usando o seu domínio.
A política tem três níveis:
| Política | O que faz | Quando usar |
|---|---|---|
p=none | Não bloqueia nada, só reporta | Fase de diagnóstico, primeiras semanas |
p=quarantine | Manda o que falha para o spam | Depois de mapear todos os remetentes legítimos |
p=reject | Rejeita a mensagem na entrada | Ambiente estável, todos os sistemas autenticados |
Publicar p=reject logo de cara é receita para desastre: qualquer sistema legítimo que você esqueceu de autenticar simplesmente para de entregar, e ninguém recebe aviso.
A ordem correta da correção
- Inventariar quem envia. Liste todo sistema que manda e-mail com o seu domínio: servidor de e-mail, ERP, site, CRM, plataforma de marketing, sistema de nota fiscal.
- Consolidar um único SPF. Um registro só, com todos os remetentes legítimos, terminando em
~alle dentro do limite de dez consultas. - Ativar o DKIM. No provedor principal e em cada plataforma de envio que ofereça assinatura própria.
- Publicar DMARC em
p=nonecom endereço de relatório. Duas a quatro semanas de observação. - Ler os relatórios. Eles mostram remetentes que você não conhecia, inclusive tentativas de falsificação.
- Endurecer aos poucos. Passe para
quarantinee, quando não houver mais falha legítima, parareject.
O que fazer se a reputação já está ruim
Se o domínio já ficou meses enviando sem autenticação, corrigir o DNS é necessário, mas não instantâneo. Além dos registros, vale:
- Limpar a base de contatos: endereços inválidos e reclamações de spam derrubam a reputação rapidamente.
- Separar o envio transacional do promocional, idealmente em subdomínios diferentes.
- Retomar o volume gradualmente em vez de disparar tudo de uma vez.
- Verificar se o domínio ou o IP entrou em alguma lista pública de bloqueio e solicitar a remoção após a correção.
Resumo
E-mail caindo no spam raramente é problema de provedor. É quase sempre SPF duplicado ou incompleto, DKIM nunca ativado e DMARC inexistente, uma combinação que faz qualquer filtro moderno tratar a sua mensagem legítima como possível fraude. A correção é objetiva, mas precisa ser feita na ordem e acompanhada por relatórios.
Se preferir não mexer em DNS de produção sozinho, o suporte de Exchange Online da Tenant Flow faz a auditoria, corrige a autenticação e monitora os relatórios DMARC até a entrega estabilizar.