Por que o e-mail da empresa cai no spam do cliente?
SPF, DKIM e DMARC são três registros no DNS do domínio que respondem à mesma pergunta: quem tem autorização para enviar e-mail em nome da sua empresa. Sem eles, a mensagem legítima cai no spam e qualquer pessoa pode falsificar o remetente da empresa.
O sintoma chega pelo comercial: o cliente disse que não recebeu, e a mensagem estava no spam dele. Às vezes chega pior — alguém recebeu um e-mail que parecia da empresa, com o endereço certo, pedindo mudança de conta bancária. Os dois problemas têm a mesma raiz e a mesma família de soluções: SPF, DKIM e DMARC.
O que cada um faz, sem jargão
São três camadas que se complementam:
- SPF é a lista de quem pode enviar em nome do domínio. O servidor que recebe consulta essa lista e verifica se o remetente estava nela.
- DKIM é uma assinatura digital adicionada a cada mensagem. Ela prova que o conteúdo saiu de quem diz ter saído e que não foi alterado no caminho.
- DMARC é a instrução do que fazer quando SPF e DKIM não conferem: ignorar, mandar para quarentena ou rejeitar. E também pede relatórios sobre quem está enviando em nome do domínio.
Sem DMARC, os dois primeiros informam e não decidem. Sem SPF e DKIM corretos, o DMARC bloqueia a própria empresa.
A ordem certa de implantar
Inverter essa ordem é a forma mais rápida de derrubar o e-mail da empresa:
- Levante TODOS os sistemas que enviam e-mail em nome do domínio: plataforma de e-mail, sistema de gestão, emissor de nota, ferramenta de disparo, formulário do site, sistema de chamados. Esta é a etapa que mais se pula e a que mais causa problema.
- Configure o SPF incluindo todos eles, e apenas eles.
- Ative o DKIM na plataforma de e-mail e nos serviços que suportam assinatura própria.
- Publique o DMARC em modo de OBSERVAÇÃO, sem bloquear nada, e leia os relatórios por algumas semanas.
- Com os relatórios mostrando que tudo o que é legítimo está passando, endureça para quarentena e, depois, para rejeição.
O passo quatro não é burocracia: é ele que revela o sistema esquecido que envia e-mail e que ninguém lembrava.
Erros comuns que quebram o envio
Os que mais encontramos ao revisar um domínio:
- Mais de um registro SPF no mesmo domínio. Não vale o mais recente: o resultado é falha. Tem de haver um só, com tudo dentro.
- Excesso de consultas no SPF. Existe um limite; passar dele invalida o registro inteiro.
- Terminação permissiva. Registro que termina aceitando qualquer remetente não protege nada.
- DMARC em rejeição antes da observação. Derruba e-mail legítimo de sistemas que ninguém lembrou de incluir.
- DKIM configurado só no e-mail, enquanto a ferramenta de disparo envia sem assinatura.
- Sistema que envia usando o endereço da empresa a partir de servidor de terceiro, sem autorização registrada.
O que isso resolve e o que não resolve
Sendo justo com o alcance da medida:
- Resolve: mensagem legítima caindo no spam por falta de autenticação, e falsificação do seu domínio exato por quem quer se passar pela empresa.
- Não resolve: domínio parecido com o seu, registrado por um golpista. A autenticação protege o seu domínio, não impede que alguém registre outro semelhante.
- Também não impede: conta de e-mail invadida. Se o golpe sai da conta legítima, ele passa em todas as verificações — e o que protege aí é a verificação em duas etapas.
- Não resolve sozinho: reputação de envio. Conteúdo, volume e histórico de reclamação também pesam na decisão de quem recebe.
Como isso fica no contrato mensal
Esses registros envelhecem: a empresa contrata uma ferramenta nova de disparo, troca de sistema de nota, muda de plataforma — e o registro continua o mesmo, até alguém reclamar. No contrato mensal, os relatórios do DMARC são acompanhados, e cada serviço novo que passa a enviar em nome do domínio entra na configuração antes de virar problema. Veja Microsoft 365 e Google Workspace e os planos de suporte mensal.