Se você tem um domínio de e-mail corporativo e nunca configurou SPF, DKIM e DMARC, qualquer pessoa pode enviar um e-mail que parece vir de você. Isso se chama spoofing de domínio, e é um dos vetores mais usados em ataques de phishing direcionados: boleto falso, pedido de pagamento urgente, "atualização de cadastro".
O problema é comum. Em levantamento da LDL Labs com 7,5 mil empresas brasileiras, 86,1% das empresas do Sul não instruem os provedores a bloquear e-mails falsificados em nome delas: 51,9% não têm política DMARC nenhuma e 34% têm DMARC só em modo de monitoramento.
O Que É SPF?
O SPF (Sender Policy Framework) é um registro TXT no seu DNS que lista quais servidores estão autorizados a enviar e-mails pelo seu domínio.
Exemplo de registro SPF para quem usa Google Workspace:
v=spf1 include:_spf.google.com ~allO ~all significa "softfail": e-mails de fontes não listadas passam, mas são marcados como suspeitos. Use -all ("hardfail", rejeição) quando tiver certeza de que listou todos os servidores legítimos.
O Que É DKIM?
O DKIM (DomainKeys Identified Mail) adiciona uma assinatura criptográfica a cada e-mail enviado. O servidor de destino verifica se a assinatura é válida, o que garante que a mensagem não foi alterada no caminho e que saiu de quem tem a chave.
O DKIM exige dois elementos: uma chave privada no serviço de envio, que o próprio provedor configura, e uma chave pública publicada no seu DNS como registro TXT. Prefira chaves de 2048 bits quando o provedor oferecer.
O Que É DMARC?
O DMARC (Domain-based Message Authentication, Reporting & Conformance) é a política que une SPF e DKIM. Ele diz ao servidor de destino o que fazer quando um e-mail falha nas verificações:
p=none: não faça nada, só reporte (fase de monitoramento)p=quarantine: envie para o spamp=reject: rejeite a mensagem
Exemplo de registro DMARC básico:
v=DMARC1; p=quarantine; rua=mailto:dmarc@seudominio.com.brUm detalhe que pega muita gente: para o DMARC, não basta o SPF ou o DKIM "passarem". O domínio verificado precisa ser o mesmo que aparece no remetente visível, o "De:". Isso se chama alinhamento. Uma ferramenta de marketing que assina com o domínio dela, e não com o seu, passa no DKIM e falha no DMARC.
Como Configurar na Prática
Passo 1, SPF: identifique todos os serviços que enviam e-mail pelo seu domínio, como o provedor de e-mail, o CRM, a ferramenta de marketing e o sistema de notas fiscais. Crie um único registro TXT em @ incluindo todos.
Passo 2, DKIM: ative o DKIM em cada serviço de envio (Google Workspace, Microsoft 365, ferramentas de e-mail marketing). Cada um gera a chave pública para você publicar no DNS.
Passo 3, DMARC: comece com p=none e o endereço rua para receber relatórios por 2 a 4 semanas. Analise os relatórios, corrija as fontes legítimas que aparecem com falha e depois avance para quarantine e, por fim, reject.
Erros Comuns de Configuração
- Dois registros SPF no mesmo domínio. A especificação aceita só um; com dois, o resultado é erro e o SPF deixa de valer. Junte tudo em um registro.
- Passar de 10 consultas de DNS no SPF. Cada
includeconta, inclusive os que existem dentro de outros. Acima do limite de 10, o SPF falha. Remova serviços que você não usa mais. - Deixar o DMARC em
p=nonepara sempre. O modo de monitoramento é uma fase, não o destino. Ele mostra a falsificação, mas não impede nada. - Esquecer os domínios que não enviam e-mail. Domínios parados e de campanhas antigas também podem ser falsificados. Para eles, publique
v=spf1 -alle um DMARC comp=reject. - Não ler os relatórios. Os relatórios agregados do DMARC chegam em XML e revelam tanto fornecedores legítimos esquecidos quanto tentativas reais de falsificação. Existem serviços que os transformam em painéis legíveis.
O Provedor Não Resolve Sozinho
Usar um provedor grande não garante proteção: a política é publicada no DNS do seu domínio, e quem decide é você. No mesmo levantamento, entre as empresas que usam Google Workspace, só 8,4% tinham DMARC que bloqueia; no Microsoft 365, 21,1%.
Por Que Isso Ficou Urgente
Os grandes provedores de caixa de entrada passaram a exigir autenticação. Desde fevereiro de 2024, as diretrizes de remetentes do Google exigem SPF ou DKIM de todos que enviam para contas do Gmail, e SPF, DKIM e DMARC de quem envia em grande volume (mais de 5 mil mensagens por dia). Em 2025, o Outlook.com passou a aplicar exigências semelhantes a remetentes de grande volume. Quem não cumpre vê os próprios e-mails legítimos caírem no spam ou serem recusados.
Além disso, um atacante pode usar seu domínio para phishing contra seus próprios clientes, um dano de reputação difícil de reverter.
Perguntas Frequentes
Posso ir direto para p=reject?
Pode, mas o risco é bloquear e-mail legítimo de algum serviço que você esqueceu de incluir no SPF ou de configurar no DKIM, como a nota fiscal ou a ferramenta de cobrança. Duas a quatro semanas em p=none lendo os relatórios evitam essa surpresa.
SPF, DKIM e DMARC impedem todo phishing?
Não. Eles impedem que alguém use exatamente o seu domínio como remetente. Domínios parecidos, como uma letra trocada, e contas de e-mail reais invadidas continuam possíveis. Por isso a configuração vem junto com treinamento e com processos de verificação para pedidos de pagamento.
Como sei se o meu domínio está configurado?
O diagnóstico gratuito da LDL verifica SPF, DKIM e DMARC do seu domínio em poucos minutos e mostra o que falta.