Guia de DKIM, SPF e DMARC

Configuração prática dos 3 padrões de autenticação de email para empresas BR. Como passar nos checks Gmail/Outlook e ter inbox placement >95%.

3 min de leituraIT Booster Global

Se você manda email transacional e não configurou DKIM + SPF + DMARC corretamente, suas mensagens estão indo pro spam. O Gmail e o Outlook tightenaram em 2024 e hoje exigem os três para qualquer remetente que envia mais de 5.000 emails/dia.

Aqui está o guia direto sem enrolação.

O que cada um faz

Função
SPF (Sender Policy Framework)	Lista quais IPs/domínios podem enviar email pelo seu domínio
DKIM (DomainKeys Identified Mail)	Assinatura criptográfica do header+body do email, prova que ele não foi modificado em trânsito
DMARC (Domain-based Message Authentication, Reporting and Conformance)	Política do que fazer quando SPF ou DKIM falham, quarantine, reject ou nada

SPF, o registro TXT mais simples

No DNS do seu domínio, adiciona:

@   TXT   "v=spf1 include:amazonses.com ~all"

Esse ~all (soft fail) é o conservador. Em produção depois de validar tudo, troca para -all (hard fail).

Erros comuns:

Múltiplos registros SPF no mesmo domínio (Gmail/Outlook rejeitam, DEVE ser 1 só)
Mais de 10 lookups no SPF (include: conta, Resend + Mailgun + AWS SES no mesmo é 3-5 já)
Esquecer ~all/-all no final

DKIM, chave RSA + 3 CNAMEs

AWS SES gera 3 chaves automaticamente. Você cola 3 CNAMEs no DNS:

xxxxxxx._domainkey.suaempresa.com.br   CNAME   xxxxxxx.dkim.amazonses.com.yyyyyyy._domainkey.suaempresa.com.br   CNAME   yyyyyyy.dkim.amazonses.com.zzzzzzz._domainkey.suaempresa.com.br   CNAME   zzzzzzz.dkim.amazonses.com.

Em ~1-2 min o SES verifica e seu DKIM fica ativo. Não tem chave privada para você guardar, AWS mantém.

Errado comum: colar o registro como TXT em vez de CNAME. AWS SES e Resend usam CNAME (delegação); Mailgun e Postmark às vezes usam TXT direto.

DMARC, a peça que junta tudo

O registro DMARC mora em _dmarc.suaempresa.com.br:

_dmarc   TXT   "v=DMARC1; p=quarantine; rua=mailto:dmarc@suaempresa.com.br; ruf=mailto:dmarc@suaempresa.com.br; pct=100; adkim=s; aspf=s"

Componentes:

p=quarantine, emails sem SPF/DKIM válido vão pro spam (start aqui). Depois p=reject em maturidade
rua=, relatório agregado diário (importante para debug)
ruf=, relatórios forensic (cada falha individual). Cuidado, pode lotar inbox
pct=100, aplica em 100% dos emails. Em rollout gradual, começa em pct=10
adkim=s aspf=s, strict alignment (DKIM/SPF d= bate exatamente com From)

Recomendação para começar:

v=DMARC1; p=none; rua=mailto:dmarc@suaempresa.com.br; pct=100

p=none = só monitora, não bloqueia. Roda por 2-4 semanas, lê os reports, valida que está 100% green, daí sobe para p=quarantine → p=reject.

Como testar se está tudo OK

Mail-tester.com, manda 1 email pro endereço deles, eles te dão score 0-10 com diagnóstico DKIM/SPF/DMARC/blacklists. Score <8 = problema
dig ou nslookup:

dig +short TXT suaempresa.com.br | grep spf1   dig +short TXT _dmarc.suaempresa.com.br   dig +short CNAME xxxxxxx._domainkey.suaempresa.com.br

Headers de email recebido no Gmail, abre o email, "Mostrar original", procura por:

spf=pass (google.com: domain of noreply@suaempresa.com.br ...)   dkim=pass header.i=@suaempresa.com.br   dmarc=pass action=none

Os 3 pass = inbox placement maximizado.

Sub-domínios, quando usar e como

Para SaaS com clientes que enviam pelo seu domínio, é comum usar subdomínios:

notify.suaempresa.com.br, emails transacionais (não comerciais)
marketing.suaempresa.com.br, emails comerciais (separado para não impactar reputação transacional)
support.suaempresa.com.br, equipe de atendimento (pode ter SPF separado pro CRM)

Cada um tem seus próprios DKIM + SPF. DMARC pode ser herdado do domínio pai com sp= (subdomain policy).

A pegadinha brasileira, TXT no Registro.br

Se você usa o Registro.br como DNS direto (sem Cloudflare/Route53 no meio), atenção:

O painel deles aceita TXT mas com formato específico
Aspas duplas precisam ser escapadas
Propagação às vezes leva 10-20 min vs <1 min no Cloudflare

Recomendação: usa Cloudflare DNS (gratis) apontando pro Registro.br como registrante. Melhor UX, mais rápido, melhor cache.

Como JetSend simplifica isso

Quando você adiciona um domínio no JetSend, recebemos:

Detecção automática do provedor DNS (Cloudflare, Route53, Registro.br)
3 CNAMEs DKIM prontos para colar
1 TXT SPF (com include:amazonses.com)
1 CNAME tracking (track.jetsend.com.br para opens/clicks)
Sugestão de DMARC baseada no histórico do domínio

O dashboard fica fazendo polling no DNS a cada 10s e marca verde quando todos os checks passarem. Tempo médio do "Adicionar domínio" ao "Verificado": 2-4 minutos.

Conclusão

DKIM + SPF + DMARC não é opcional, é o que separa email entregue de email no spam. Configurar uma vez direito te dá inbox placement >95% no Gmail/Outlook por anos.

Quer ver isso funcionando? Sobe seu domínio em jetsend.com.br/signup, free tier 100 emails/dia.