Ferramentas de rede Guias
Atualizado em 23 de setembro de 2026
Sem estes três registos DNS, as mensagens enviadas a partir do seu domínio parecem suspeitas ao Gmail, Outlook ou Yahoo, e qualquer pessoa pode fazer-se passar por si. Eis como configurá-los sem estragar nada.
| Mecanismo | O que prova | Onde fica |
|---|---|---|
| SPF | O servidor que envia tem direito a enviar por este domínio | Registo TXT na raiz do domínio |
| DKIM | A mensagem não foi alterada e vem do domínio que a assinou | Registo TXT seletor._domainkey.dominio |
| DMARC | O que o destinatário deve fazer se SPF e DKIM falharem, e para onde enviar relatórios | Registo TXT _dmarc.dominio |
Desde 2024, o Gmail e o Yahoo exigem SPF, DKIM e DMARC aos remetentes em massa, e aplicam-nos com cada vez mais rigor a todos. Um domínio sem autenticação vê a sua entregabilidade cair.
O registo SPF lista os servidores autorizados. Exemplo para um domínio que envia através de um fornecedor de e-mail e de uma ferramenta de newsletters:
v=spf1 include:_spf.fornecedor.com include:envio.newsletter.com ~all
Regras a respeitar:
v=spf1 tornam o SPF inválido. Junte os include.include, a ou mx conta. Acima disso, o SPF falha.~all** (falha «suave») no início, e depois com -all quando tiver a certeza de ter listado todos os remetentes.v=spf1 -all: ninguém o poderá usurpar.O DKIM assina cada mensagem com uma chave privada; a chave pública é publicada no DNS. É o seu fornecedor de envio que gera o par de chaves: indica-lhe o nome do registo (por exemplo s1._domainkey.exemplo.com) e o seu valor, ou um CNAME a criar.
DKIM-Signature e o resultado dkim=pass.O DMARC liga o SPF e o DKIM ao domínio visível no campo «De». Comece em modo de observação:
v=DMARC1; p=none; rua=mailto:dmarc@exemplo.com
p=none** durante duas a quatro semanas: nada é bloqueado, mas recebe relatórios com todos os servidores que enviam em seu nome. Muitas vezes descobrirá um serviço esquecido.p=quarantine**: as mensagens que falham vão para o spam. Pode subir gradualmente com pct=25, depois 50 e depois 100.p=reject**: as mensagens usurpadas são recusadas. É a proteção completa.Os relatórios são ficheiros XML difíceis de ler: uma ferramenta de análise DMARC, muitas vezes gratuita para volumes pequenos, resume-os numa tabela.
Com a nossa ferramenta de consulta DNS, consulte os registos TXT do domínio, de _dmarc.dominio e de seletor._domainkey.dominio. Depois envie uma mensagem para uma caixa Gmail ou Outlook e mostre o original: a linha Authentication-Results deve indicar spf=pass, dkim=pass e dmarc=pass.
include.p=reject sem período de observação: mensagens legítimas são bloqueadas._dmarc.dominio.Não. O SPF falha no reencaminhamento automático, porque o servidor que reencaminha não está na sua lista. O DKIM resiste ao reencaminhamento. O DMARC só precisa de um dos dois alinhado com o seu domínio, mas ter ambos torna a autenticação fiável.
O tempo que o TTL dos registos demora a expirar, normalmente de alguns minutos a uma hora. Os relatórios DMARC chegam em geral uma vez por dia.
Sim: publique v=spf1 -all e v=DMARC1; p=reject. Os burlões procuram precisamente domínios desprotegidos para enviar phishing em nome deles.