O envio de orçamentos, faturas, relatórios e propostas comerciais por e-mail é a espinha dorsal da comunicação de qualquer negócio. No entanto, um dos problemas mais angustiantes enfrentados por equipes comerciais e administrativas ocorre quando mensagens legítimas simplesmente não chegam à caixa de entrada do destinatário: elas são encaminhadas diretamente para a pasta de lixo eletrônico (spam) ou, pior ainda, rejeitadas silenciosamente pelos servidores de destino com erros de entrega.
O impacto dessa falha vai muito além do incômodo técnico. Ela causa atrasos no fechamento de vendas, desgaste no relacionamento com clientes e prejuízos operacionais com cobranças não recebidas. Para agravar o cenário, empresas com domínios mal protegidos tornam-se alvos frequentes de criminosos que falsificam o remetente da organização para disparar fraudes e boletos falsos a terceiros (spoofing).
Uma das causas mais comuns desse problema é a ausência ou a parametrização inadequada dos três pilares fundamentais da autenticação moderna de e-mails: SPF, DKIM e DMARC.
A mudança nas regras globais de entregabilidade
Historicamente, o protocolo SMTP (Simple Mail Transfer Protocol), criado nos primórdios da internet, não contava com mecanismos nativos para verificar se quem enviou uma mensagem era realmente o proprietário do domínio que aparecia no cabeçalho. Qualquer pessoa com conhecimento básico de servidores conseguia forjar o remetente de terceiros com facilidade.
Para combater a proliferação desenfreada de golpes, sequestros de marca e lixo eletrônico, os principais provedores mundiais de e-mail passaram a exigir autenticação de domínio de quem envia e-mails em volume: o Google e o Yahoo em 2024; a Microsoft (Outlook.com, Hotmail e Live), a partir de 5 de maio de 2025, para remetentes de mais de 5.000 mensagens por dia. Na prática, mensagens enviadas por domínios que não possuem autenticação técnica correta publicada em seus servidores de DNS (Domain Name System) tendem a perder reputação e podem ir para a pasta de spam ou até ser recusadas.
Como funciona a tríade de autenticação de e-mails
Para que o servidor do seu cliente confie plenamente de que um e-mail partiu dos servidores autorizados da sua empresa, três padrões de engenharia de rede precisam trabalhar em harmonia:
1. SPF (Sender Policy Framework - RFC 7208)
O SPF (Sender Policy Framework) funciona como uma lista pública oficial de remetentes. Ele consiste em uma entrada do tipo TXT publicada na zona de DNS do domínio da empresa, listando os endereços IP ou os servidores que têm permissão expressa para despachar e-mails em seu nome.
Quando o servidor do destinatário recebe a mensagem, ele consulta o DNS do domínio remetente e verifica se o IP de origem consta naquela lista:
- Se o IP estiver listado, a validação de SPF é aprovada.
- Se não estiver, o servidor receptor deduz que alguém não autorizado está tentando se passar pela empresa.
Atenção à regra dos 10 lookups: O padrão IETF RFC 7208 estipula que uma consulta de SPF não pode disparar mais de dez buscas DNS adicionais (mecanismos include, a, mx). Ultrapassar esse limite faz o registro falhar por PermError, derrubando a entregabilidade da empresa.
2. DKIM (DomainKeys Identified Mail - RFC 6376)
Enquanto o SPF valida de onde o e-mail partiu, o DKIM (DomainKeys Identified Mail) permite verificar que o conteúdo da mensagem e seus cabeçalhos assinados não foram adulterados durante o trajeto entre o remetente e o destinatário.
O funcionamento repousa em criptografia de chaves assimétricas:
- O servidor de e-mail da sua empresa assina cada mensagem que sai utilizando uma chave privada secreta.
- Essa assinatura criptográfica é inserida no cabeçalho do e-mail.
- O servidor de destino pega a chave pública correspondente (que fica publicada no DNS do seu domínio) e valida a assinatura matemática. Se uma única vírgula ou caractere do e-mail tiver sido modificado por um interceptador no caminho, a chave não bate e o DKIM falha.
3. DMARC (Domain-based Message Authentication, Reporting and Conformance - RFC 9989, que substitui a RFC 7489)
Mesmo com SPF e DKIM ativos, existia uma brecha: um invasor podia passar no teste de SPF usando um domínio próprio em um cabeçalho técnico oculto (Return-Path), mas exibir a marca da sua empresa no cabeçalho visível (From:). É aqui que entra o DMARC.
O DMARC amarra as pontas exigindo o chamado alinhamento de domínio: ele obriga que o domínio exibido no campo visual "De:" seja rigorosamente o mesmo validado pelo SPF ou pelo DKIM. Além disso, o DMARC instrui o servidor de destino sobre o que fazer caso o e-mail não passe nas checagens:
- Política de monitoramento (
p=none): O servidor de destino apenas anota a falha e entrega a mensagem normalmente, enviando relatórios técnicos diários para a sua empresa. É a fase inicial obrigatória para mapear todos os sistemas legítimos (sistemas de CRM, ferramentas de emissão de notas fiscais, plataformas de marketing). - Política de quarentena (
p=quarantine): As mensagens não autenticadas são desviadas para o lixo eletrônico ou pasta de quarentena do usuário. - Política de rejeição (
p=reject): O nível máximo de blindagem. Qualquer mensagem que tente utilizar o domínio da sua empresa sem autenticação legítima é rejeitada pelo servidor de destino, o que dificulta fraudes que usem o domínio exato da empresa (domínios parecidos continuam possíveis).
O DMARC também gera relatórios agregados de telemetria (conhecidos como relatórios RUA), permitindo aos gestores enxergar com clareza quais servidores no mundo estão tentando disparar mensagens utilizando a marca da empresa.
Como migrar sem interromper as comunicações
Aplicar uma política restritiva de DMARC de forma abrupta pode paralisar o faturamento da organização se sistemas internos de emissão de faturas ou CRMs forem bloqueados por falta de parametrização.
A abordagem segura e recomendada por engenheiros de infraestrutura envolve quatro etapas estruturadas:
- Mapeamento exaustivo de todos os fluxos de envio da empresa (servidores locais, webmail, sistemas em nuvem e plataformas de disparo).
- Parametrização e publicação rigorosa de SPF e chaves DKIM de 2048 bits para cada um desses serviços.
- Ativação do DMARC em modo de observação (
p=none), com análise técnica dos relatórios diários para corrigir eventuais desalinhamentos. - Evolução gradual e planejada da política para quarentena (
p=quarantine) e finalmente rejeição total (p=reject).
Precisa de ajuda?
Se os e-mails da sua empresa estão caindo no spam, ou se você precisa blindar seu domínio corporativo com SPF, DKIM e DMARC sem interromper o envio legítimo, conheça os serviços de gestão e segurança de e-mail da MultiCloud Solutions na página de contato.
Fontes
- https://support.google.com/a/answer/81126 — Google: diretrizes para remetentes de e-mail (autenticação SPF, DKIM e DMARC). (consultado em 2026-10-09)
- https://datatracker.ietf.org/doc/html/rfc7208 — IETF RFC 7208: Sender Policy Framework (SPF) for Authorizing Use of Domains in Email. (consultado em 2026-10-09)
- https://datatracker.ietf.org/doc/html/rfc6376 — IETF RFC 6376: DomainKeys Identified Mail (DKIM) Signatures. (consultado em 2026-10-09)
- https://www.rfc-editor.org/info/rfc9989 — IETF RFC 9989 (maio de 2026, substitui a RFC 7489): Domain-based Message Authentication, Reporting, and Conformance (DMARC). (consultado em 2026-10-15)