Por que seus emails caem no spam? SPF, DKIM e DMARC explicados

Poucas coisas prejudicam mais uma empresa do que emails importantes caindo na caixa de spam do cliente — ou pior, sendo recusados. Na maioria dos casos, a causa não é o conteúdo da mensagem, e sim a falta (ou o erro) de autenticação do domínio. Três registros DNS resolvem isso: SPF, DKIM e DMARC.

SPF: quem pode enviar em seu nome

O SPF (Sender Policy Framework) é um registro que lista quais servidores estão autorizados a enviar email pelo seu domínio. Sem ele, qualquer um pode se passar por você — e os servidores de destino desconfiam. Um SPF típico é v=spf1 +a +mx -all, que autoriza o servidor do domínio e rejeita todo o resto.

DKIM: a assinatura digital das mensagens

O DKIM (DomainKeys Identified Mail) adiciona uma assinatura criptográfica a cada email enviado. O servidor de destino usa uma chave pública publicada no seu DNS para confirmar que a mensagem realmente veio de você e não foi alterada no caminho.

DMARC: a política que amarra tudo

O DMARC define o que fazer quando um email falha na verificação de SPF ou DKIM — ignorar, marcar como suspeito (quarantine) ou rejeitar. Ele também envia relatórios de quem está tentando usar seu domínio indevidamente. É a camada que transforma SPF e DKIM em uma política de proteção real contra falsificação.

Um detalhe que quebra tudo (e passa despercebido)

Um erro comum: ao copiar e colar o registro no painel de DNS, as aspas do valor viram código HTML. O registro fica publicado, parece certo na lista, mas os servidores de email não o reconhecem — na prática é como não ter SPF nenhum. Só uma verificação real do que está publicado no DNS revela o problema.

• Configure os três: SPF, DKIM e DMARC — juntos, não isolados
• Verifique o DNS reverso (PTR) do servidor de email
• Confira se o IP não está em blacklists (DNSBL)
• Valide o que está realmente publicado, não só o que o painel mostra