E-mail profissional no domínio: SPF, DKIM e DMARC para não cair no spam

Para ter e-mail profissional (contato@seudominio.com.br) sem que as mensagens caiam no spam, você precisa de três configurações no DNS do domínio: SPF, DKIM e DMARC. O SPF informa quais servidores podem enviar e-mail pelo seu domínio, o DKIM assina digitalmente as mensagens e o DMARC define o que fazer quando as verificações falham, além de gerar relatórios. Também é preciso decidir onde o e-mail ficará: na própria hospedagem ou em um serviço de e-mail especializado. Este guia explica as duas decisões em linguagem simples.

Onde hospedar o e-mail

Opção	Vantagens	Pontos de atenção
E-mail incluso na hospedagem	Sem custo adicional, painel único	Limites de envio, reputação compartilhada do servidor, problema no site pode afetar o e-mail
Serviço de e-mail profissional externo	Alta entregabilidade, suporte, armazenamento maior, agenda e ferramentas	Custo por usuário, configuração de DNS
Misto (site em um lugar, e-mail em outro)	Isola riscos, facilita trocar de hospedagem	Exige registros MX e TXT bem configurados

Para sites pequenos, o e-mail incluso costuma servir ao começo. Para empresas que dependem de e-mail para vender e atender, um serviço externo reduz o risco de mensagens indo para spam e evita que uma migração de hospedagem derrube a comunicação. Se separar, o DNS da hospedagem não precisa conter o MX do serviço externo: o MX fica onde o DNS é gerenciado.

Como o e-mail encontra o seu domínio: o registro MX

O registro MX (mail exchanger) diz ao mundo qual servidor recebe as mensagens do seu domínio. Se ele estiver errado ou ausente, ninguém consegue enviar e-mail para você. Ao trocar de hospedagem ou de nameservers, copie o MX para a nova zona antes. O guia de apontar domínio e DNS explica o cuidado.

SPF: quem pode enviar por você

O SPF (Sender Policy Framework) é um registro TXT no DNS que lista os servidores autorizados a enviar e-mail em nome do seu domínio. Exemplo ilustrativo de formato:

v=spf1 include:_spf.exemplo-provedor.com ~all

Leia assim: versão 1 do SPF, inclui os servidores autorizados do provedor de e-mail e, para quem não estiver na lista, marca como suspeito (~all). O provedor de e-mail informa o texto exato a usar.

Regras importantes:

Só pode existir um registro SPF por domínio. Se usa vários serviços (e-mail da empresa, plataforma de newsletter, loja virtual), junte tudo em um único registro.
O SPF tem limite de consultas DNS; muitos include podem estourar o limite e invalidar o registro.
Revise o SPF sempre que contratar ou cancelar um serviço que envia e-mails com seu domínio.

DKIM: assinatura digital das mensagens

O DKIM (DomainKeys Identified Mail) adiciona uma assinatura criptográfica às mensagens enviadas. O servidor de destino consulta a chave pública, publicada no DNS do seu domínio, e verifica se a mensagem não foi alterada e veio de quem diz que veio. Normalmente, o provedor de e-mail ou o painel da hospedagem gera a chave, e você publica um registro TXT ou CNAME com o nome e o valor indicados. Ative DKIM para cada serviço que envia e-mail com seu domínio.

DMARC: a política e os relatórios

O DMARC une SPF e DKIM e informa ao destinatário o que fazer se as verificações falharem: nada (p=none), mandar para quarentena (p=quarantine) ou rejeitar (p=reject). Também pode pedir relatórios agregados sobre quem está enviando e-mail em nome do seu domínio.

Estratégia prudente:

Comece com p=none e um endereço para receber relatórios, para observar o tráfego sem bloquear nada.
Corrija fontes legítimas que falham (a newsletter esquecida, o sistema de cobrança).
Evolua para quarantine e, com segurança, para reject.

Exemplo ilustrativo de formato: v=DMARC1; p=none; rua=mailto:dmarc@seudominio.com.br. Registro TXT publicado em _dmarc.seudominio.com.br.

Um DMARC mal configurado pode bloquear e-mails legítimos. Mudanças de política devem ser graduais e testadas.

Por que e-mails caem no spam

Ausência ou erro de SPF, DKIM e DMARC.
Envio por servidor com reputação ruim (comum em hospedagens compartilhadas com abuso de outros clientes).
Conteúdo com características de spam: assuntos apelativos, muitos links, anexos suspeitos.
Lista de destinatários sem consentimento, com muitos endereços inválidos ou reclamações.
Envio em massa por conta de e-mail comum, sem ferramenta apropriada.
Domínio muito novo, sem histórico.

Para newsletters e e-mails de marketing, use plataforma própria de envio, com descadastro simples e gestão de consentimento, conforme a LGPD. O envio de comunicação comercial exige base legal adequada.

Boas práticas de configuração

Crie endereços por função (contato@, financeiro@, suporte@) e redirecione para as pessoas, em vez de compartilhar uma caixa pessoal.
Ative autenticação em dois fatores nas contas de e-mail.
Configure IMAP/SMTP com criptografia e porta apropriada, conforme instruções do provedor.
Faça backup de e-mails importantes. Caixas de e-mail em hospedagem compartilhada podem não ter backup incluso.
Teste o envio para endereços de provedores diferentes e veja se caem na caixa de entrada.
Mantenha o limite de envio por hora em mente, para evitar bloqueio.

Como testar

Envie uma mensagem para um endereço de teste que mostre os cabeçalhos e verifique se aparecem spf=pass, dkim=pass e dmarc=pass nos resultados de autenticação. Ferramentas de consulta de registros DNS ajudam a confirmar se o SPF, o DKIM e o DMARC estão publicados e sem erros de sintaxe.

Perguntas frequentes

Preciso mesmo de DMARC?

É altamente recomendável. Ele ajuda a proteger seu domínio contra falsificação e é cada vez mais exigido por grandes provedores de e-mail, principalmente para quem envia volume.

Posso usar e-mail gratuito comum no lugar de e-mail do domínio?

Pode, mas passa menos credibilidade. Para negócios, um endereço com o domínio próprio aumenta a confiança do cliente.

Troquei de hospedagem e o e-mail parou. O que houve?

Provavelmente os registros MX ou TXT não foram copiados para a nova zona DNS. Recrie-os conforme a configuração antiga.

O que é melhor: e-mail da hospedagem ou externo?

Para uso leve, o da hospedagem basta. Para uso intenso, ou se o e-mail é crítico, um serviço externo costuma ser mais confiável e facilita futuras migrações.

Fontes oficiais

CERT.br — materiais sobre e-mail, spam e autenticação de mensagens no Brasil.
Registro.br — gerenciamento de DNS de domínios .br.
ANPD — proteção de dados pessoais em comunicações por e-mail.