Segurança de e-mail: o que são SPF, DKIM e DMARC?

Três métodos baseados em DNS evitam que seus e-mails caiam no spam e impedem que seu domínio seja usado em e-mails falsos: SPF, DKIM e DMARC. Eles funcionam juntos.

SPF (Sender Policy Framework)

Publica, como registro TXT no DNS, a lista de servidores autorizados a enviar e-mail em nome do seu domínio. O servidor de destino verifica se a mensagem veio de um servidor autorizado.

Exemplo: v=spf1 include:_spf.provedor-exemplo.com.br ~all

DKIM (DomainKeys Identified Mail)

Adiciona uma assinatura digital aos e-mails enviados. A chave pública é publicada como registro TXT no DNS; o destinatário verifica a assinatura com ela e sabe que a mensagem não foi alterada no caminho e veio mesmo do seu domínio. A chave costuma ser gerada pelo seu provedor de e-mail ou hospedagem.

DMARC

É a política que diz ao destinatário o que fazer conforme os resultados de SPF e DKIM: none (apenas relatar), quarantine (enviar mensagens suspeitas ao spam) ou reject (rejeitar). Você também recebe relatórios resumidos.

Exemplo (_dmarc.exemplo.com.br): v=DMARC1; p=none; rua=mailto:dmarc@exemplo.com.br

Por onde começar

1. Adicione os registros SPF e DKIM fornecidos pelo seu provedor de e-mail às configurações de DNS do domínio.
2. Ative o DMARC primeiro com p=none e acompanhe os relatórios por algumas semanas.
3. Quando todo o e-mail legítimo passar no SPF ou no DKIM, mude para quarantine e depois para reject.

Erros comuns

• Criar mais de um registro SPF para um domínio; só pode haver um.
• Usar tantos include no SPF que o limite de 10 consultas DNS seja excedido.
• Colocar o DMARC direto em reject sem analisar os relatórios.

As alterações de DNS podem levar de minutos a algumas horas para se propagar. Se travar, abra um pedido de suporte.