SPF, DKIM e DMARC explicados para lojas virtuais

Por que as caixas de entrada verificam esses três registros#

Qualquer pessoa pode digitar qualquer endereço no campo From de um e-mail. SPF, DKIM e DMARC são a forma como a caixa de entrada que recebe a mensagem descobre se um e-mail que diz vir de ninefold.example veio mesmo da Ninefold. Cada um é um registro DNS que você publica no seu domínio, e cada um responde a uma pergunta diferente.

Para uma loja, o efeito prático é chegar à caixa de entrada. O Google pede a todos os remetentes que configurem SPF ou DKIM, e quem envia mais de 5.000 mensagens por dia para contas pessoais do Gmail precisa ter SPF, DKIM e DMARC ^S4. O Yahoo define a mesma base para os remetentes em massa ^S5. Mesmo abaixo desses volumes, e-mails autenticados constroem reputação de remetente no seu próprio domínio, e um registro DMARC torna muito mais difícil alguém enviar e-mails de phishing em seu nome.

O que cada registro faz#

SPF: quais servidores podem enviar por você

O SPF é um registro TXT que lista os servidores autorizados a enviar e-mails por um domínio. O servidor que recebe compara o endereço IP que se conectou a ele com essa lista. O SPF verifica o remetente do envelope (o endereço MAIL FROM usado na entrega, que também recebe os bounces), e não o endereço From que o seu cliente vê ^S1. Um registro típico de uma loja que usa uma caixa de e-mail corporativa e um serviço de e-mail marketing fica assim:

v=spf1 include:spf.mailbox.example include:spf.mailservice.example ~all

Cada include traz a lista de outro provedor. O final diz o que fazer com todo o resto: -all é uma falha, ~all é uma falha leve (softfail), que por si só não deveria levar o receptor a rejeitar a mensagem ^S1.

DKIM: uma assinatura em cada mensagem

O DKIM adiciona uma assinatura criptográfica aos cabeçalhos da mensagem. A assinatura indica um domínio de assinatura (d=) e um seletor (s=), e o receptor busca a chave pública em um registro DNS em selector._domainkey.domain ^S2. Se os cabeçalhos assinados ou o corpo mudaram no caminho, a verificação falha. Pelo DKIM sozinho, o domínio de assinatura não precisa coincidir com o endereço From ^S2, e é por isso que o DMARC existe.

DMARC: a política que liga os dois ao seu endereço de remetente visível

O DMARC é um registro TXT em _dmarc.yourdomain. Ele pede aos receptores que confirmem se o SPF ou o DKIM passou para um domínio que coincide com o endereço From visível, diz como tratar os e-mails que falham (none, quarantine ou reject) e informa para onde enviar os relatórios ^S3. Um primeiro registro pode ser tão curto quanto v=DMARC1; p=none; rua=mailto:dmarc@ninefold.example.

Como eles funcionam juntos: o alinhamento#

O SPF e o DKIM podem passar para o domínio errado. Um serviço de marketing pode passar no SPF com o próprio domínio de bounces e assinar o DKIM em nome próprio, enquanto o campo From diz ninefold.example. Nenhum desses resultados diz nada sobre a Ninefold.

O DMARC fecha essa lacuna com o alinhamento. Uma mensagem passa no DMARC quando o SPF passa para um domínio alinhado com o domínio From, ou quando o DKIM passa para um domínio alinhado com ele ^S3. Por padrão o alinhamento é flexível, então uma assinatura DKIM de mail.ninefold.example se alinha com um endereço From em ninefold.example; o alinhamento estrito exige coincidência exata ^S3. Gmail e Yahoo informam a mesma regra para remetentes em massa: o domínio From precisa estar alinhado com o domínio do SPF ou com o domínio do DKIM ^S4S5.

O DKIM alinhado pesa mais que o SPF alinhado. Quando uma mensagem é encaminhada, o servidor que encaminha se conecta a partir do próprio endereço IP, então o SPF do domínio original muitas vezes falha ^S1. Uma assinatura DKIM sobrevive desde que a mensagem não seja modificada.

O que uma loja precisa publicar#

Antes de mexer no DNS, liste todos os serviços que enviam e-mails com o seu domínio no endereço From. Para uma pequena marca de roupas como a Ninefold, isso costuma incluir uma caixa de e-mail corporativa, os e-mails de pedido e de envio da plataforma da loja, uma central de atendimento e uma ferramenta de e-mail marketing. Cada um precisa estar coberto.

1. Um único registro SPF que inclua todos os serviços que enviam como o seu domínio.
2. DKIM ativado em cada um desses serviços, com o seu domínio como domínio de assinatura. Cada serviço fornece o próprio registro e seletor, então vários registros DKIM podem conviver.
3. Um registro DMARC, começando em p=none com um endereço para relatórios, para você ver quem envia em seu nome antes de aplicar qualquer política. O guia de configuração do DMARC mostra a passagem para quarantine e reject.

A autenticação é só uma parte do que os provedores de e-mail esperam. Eles também olham o descadastro com um clique e a sua taxa de reclamações de spam; o guia de noções básicas de entregabilidade cobre o restante.

Erros comuns#

• Dois registros SPF. Um domínio só pode ter um registro que comece com v=spf1; com dois, o SPF retorna um erro permanente para todas as mensagens ^S1. Junte-os em um único registro.
• Consultas demais. Cada include, a, mx, ptr, exists e redirect custa uma consulta DNS, e o SPF para com erro depois de 10 ^S1. Remova os serviços que você não usa mais em vez de acumular includes.
• DKIM assinado com o domínio do provedor. A assinatura passa, mas não se alinha com o seu endereço From. Configure o DKIM com o seu próprio domínio em cada ferramenta.
• Ir direto para p=reject. Um remetente esquecido, como os e-mails de confirmação de pedido da plataforma da sua loja, começa a falhar sem aviso. Comece em p=none e leia os relatórios primeiro.
• Sem endereço para relatórios. Um registro DMARC sem rua não dá nenhum dado para você agir. O Yahoo recomenda fortemente uma tag rua que funcione durante a configuração ^S5.

Como verificar seus registros#

Você pode verificar o que está publicado com uma consulta DNS, e o que os receptores realmente viram lendo uma mensagem real.

• Pelo terminal: dig +short TXT ninefold.example mostra o registro SPF, dig +short TXT _dmarc.ninefold.example mostra o DMARC e dig +short TXT selector._domainkey.ninefold.example mostra uma chave DKIM quando você conhece o seletor.
• Pelo navegador: qualquer ferramenta de consulta DNS que leia registros TXT dá as mesmas respostas.
• Por uma mensagem real: envie um teste para um endereço do Gmail, abra a mensagem, escolha Mais e depois Mostrar original ^S6. O cabeçalho mostra um resultado de SPF, DKIM e DMARC para aquela mensagem e os domínios com que cada um passou.

O DMARC agora faz parte da trilha de padrões do IETF: o RFC 9989, publicado em maio de 2026, substitui o RFC 7489 ^S3S7. Os registros continuam começando com v=DMARC1, então um registro escrito pelas regras antigas continua funcionando ^S3.

Como configurar a autenticação com o Tellnod no Claude ou no ChatGPT#

O Tellnod é um conector MCP para escrever, visualizar e enviar e-mail marketing pelo Claude ou pelo ChatGPT. Desde o primeiro dia você pode enviar de um endereço com o nome da sua loja no domínio compartilhado do Tellnod, como hello@yourshop.tellnodmail.com, sem mudar o DNS, dentro dos limites de 500 destinatários por campanha e 1.000 e-mails por mês. Verificar o seu próprio domínio remove esses limites e é a configuração que recomendamos.

Para verificar o seu domínio, peça no chat, por exemplo: “Configure ninefold.example como meu domínio de envio.” O Tellnod fornece os registros SPF, DKIM e DMARC e os verifica para você. Se outra pessoa cuida do seu DNS, peça: “Crie um link de configuração para o nosso desenvolvedor web.” Essa pessoa pode adicionar os registros com um clique nos provedores de DNS compatíveis, ou copiá-los, sem criar conta, e você é avisado no chat e por e-mail quando o domínio for verificado. Mudanças de DNS costumam levar alguns minutos e podem levar até 48 horas.

A autenticação não muda a forma de enviar: toda campanha mostra uma visualização em desktop e celular, e nada sai até você clicar em Confirm no card de aprovação. Para começar, conecte o Tellnod ao Claude ou ao ChatGPT; a página de preços mostra o plano grátis e os planos pagos.

Perguntas frequentes#