Onde as empresas brasileiras hospedam o próprio e-mail, e o serviço escolhido faz diferença na proteção contra falsificação? Nesta edição do LDL Labs, identificamos o provedor de e-mail de 7501 empresas pelos registros públicos de DNS e cruzamos com a configuração de SPF e DMARC de cada domínio.
O resultado mostra que o provedor não resolve a segurança sozinho. O Google Workspace é o serviço mais usado, e também o grupo em que menos empresas bloqueiam e-mails falsificados: só 8,4%. Em provedores como Locaweb e Hostinger, quase todos os domínios têm DMARC, mas menos de 2% usam a política que efetivamente bloqueia.
Participação de cada provedor
| Provedor de e-mail | Brasil | Sul | Demais estados |
|---|---|---|---|
| Google Workspace | 21,3% | 21,5% | 21,0% |
| Outros provedores | 20,7% | 21,7% | 19,6% |
| Servidor próprio | 19,8% | 21,9% | 17,6% |
| Microsoft 365 | 11,7% | 9,7% | 13,6% |
| Locaweb | 11,4% | 9,1% | 13,7% |
| Hostinger | 5,2% | 5,4% | 4,9% |
| KingHost | 3,4% | 4,1% | 2,7% |
| Zoho | 3,4% | 3,3% | 3,5% |
| Titan | 3,1% | 3,1% | 3,0% |
"Servidor próprio" são domínios cujo servidor de e-mail fica no mesmo domínio da empresa; "outros provedores" reúne dezenas de hospedagens menores.
Proteção contra falsificação por provedor
| Provedor | Empresas | Sem SPF | Sem DMARC | DMARC que bloqueia | Margem de erro |
|---|---|---|---|---|---|
| Google Workspace | 1594 | 28,1% | 64,8% | 8,4% | ±2,5 p.p. |
| Microsoft 365 | 874 | 3,1% | 46,1% | 21,1% | ±3,3 p.p. |
| Locaweb | 853 | 2,8% | 12,8% | 1,5% | ±3,4 p.p. |
| Hostinger | 387 | 2,3% | 6,2% | 1,6% | ±5,0 p.p. |
| KingHost | 256 | 7,0% | 78,9% | 3,9% | ±6,1 p.p. |
| Zoho | 255 | 13,3% | 67,5% | 9,8% | ±6,1 p.p. |
| Titan | 230 | 0,0% | 81,7% | 5,7% | ±6,5 p.p. |
| Servidor próprio | 1482 | 2,5% | 55,0% | 18,7% | ±2,5 p.p. |
| Outros provedores | 1550 | 5,8% | 58,1% | 21,5% | ±2,5 p.p. |
O que os números mostram
- Google Workspace: 28,1% dos domínios não têm nem SPF e 64,8% não têm DMARC. O serviço funciona sem esses registros, então muita empresa ativa o e-mail e nunca completa a configuração de autenticação.
- Locaweb e Hostinger: quase todos os domínios têm DMARC, mas praticamente todos em modo de monitoramento (p=none). O padrão é compatível com registros criados automaticamente pela hospedagem: o DMARC existe, mas não bloqueia nada.
- Microsoft 365, servidor próprio e outros provedores: cerca de 1 em cada 5 empresas bloqueia falsificação, o melhor resultado da pesquisa, e ainda assim uma minoria.
- Titan e KingHost: mais de três quartos dos domínios não têm DMARC.
O DMARC é configuração do dono do domínio, não do provedor. Nenhum dos serviços da tabela impede a empresa de publicar uma política de bloqueio; o que muda é o quanto cada um orienta ou automatiza isso.
O que fazer, qualquer que seja o provedor
- Publique o SPF indicado pelo provedor e ative o DKIM no painel de administração.
- Crie o DMARC em p=none, acompanhe os relatórios por algumas semanas para corrigir envios legítimos (sistemas de nota fiscal, CRM, marketing) e depois suba para p=quarantine e p=reject.
- Confira a situação do seu domínio no teste de segurança gratuito e veja o passo a passo em SPF, DKIM e DMARC.
Metodologia
- Base: dados abertos do Cadastro Nacional da Pessoa Jurídica publicados pela Receita Federal (setembro de 2026), mesma base da primeira edição do LDL Labs: 5 milhões de matrizes ativas, das quais extraímos 234 mil domínios corporativos (sem Gmail, Hotmail e similares, e sem domínios compartilhados por mais de três empresas).
- Amostra: 9 mil domínios sorteados, metade de empresas do Sul (RS, SC e PR) e metade dos demais estados.
- Coleta: consulta pública a registros de DNS em 15 de setembro de 2026. Nenhum servidor das empresas foi acessado.
- Privacidade: nenhum e-mail foi armazenado, a lista de domínios foi apagada ao final e nenhuma empresa é identificada.
- Provedor: identificado pelo servidor de e-mail (registro MX) de cada domínio. Foram considerados 7501 domínios existentes que recebem e-mail.
- Critérios: "DMARC que bloqueia" significa política p=quarantine ou p=reject. Provedores com menos de 150 empresas na amostra não aparecem na tabela de proteção.
- Limitações: empresas podem usar um provedor para receber e outro para enviar; a identificação pelo MX reflete quem recebe o e-mail. Os resultados descrevem a configuração das empresas clientes, não a qualidade técnica de cada provedor.
Jornalistas e pesquisadores podem citar os dados como "LDL Labs, LDL Security (setembro de 2026)".
Perguntas Frequentes
Qual é o provedor de e-mail mais usado pelas empresas brasileiras?
Na amostra do LDL Labs, o Google Workspace, com 21,3% das empresas com domínio próprio, seguido por servidores próprios, Microsoft 365 e Locaweb.
Usar Google Workspace ou Microsoft 365 já protege contra e-mail falsificado?
Não. A proteção contra falsificação depende de SPF, DKIM e DMARC configurados pela própria empresa. A maioria dos clientes desses serviços não publica uma política DMARC de bloqueio.
O que significa DMARC p=none?
É o modo de monitoramento: o dono do domínio recebe relatórios, mas não pede aos provedores que bloqueiem mensagens falsificadas. Serve como etapa inicial, não como proteção.
Como descobrir o provedor de e-mail de um domínio?
Pelo registro MX do domínio, que indica para qual servidor as mensagens são entregues. O teste de segurança gratuito da LDL Security mostra essa informação junto com SPF e DMARC.