# SPF, DKIM e DMARC explicados para lojas virtuais > O SPF lista os servidores autorizados a enviar e-mails pelo seu domínio, o DKIM assina cada mensagem com uma chave publicada no seu DNS e o DMARC verifica se pelo menos um dos dois passa para o domínio do endereço From visível, além de dizer às caixas de entrada o que fazer quando nenhum passa. Gmail e Yahoo exigem os três de remetentes em massa, então uma loja que envia e-mail marketing deve publicar os três. Canonical: https://tellnod.com/pt-BR/guides/spf-dkim-dmarc-explained Last updated: 2026-10-22 Author: Tellnod team ## Por que as caixas de entrada verificam esses três registros Qualquer pessoa pode digitar qualquer endereço no campo From de um e-mail. SPF, DKIM e DMARC são a forma como a caixa de entrada que recebe a mensagem descobre se um e-mail que diz vir de ninefold.example veio mesmo da Ninefold. Cada um é um registro DNS que você publica no seu domínio, e cada um responde a uma pergunta diferente. Para uma loja, o efeito prático é chegar à caixa de entrada. O Google pede a todos os remetentes que configurem SPF ou DKIM, e quem envia mais de 5.000 mensagens por dia para contas pessoais do Gmail precisa ter SPF, DKIM e DMARC [S4]. O Yahoo define a mesma base para os remetentes em massa [S5]. Mesmo abaixo desses volumes, e-mails autenticados constroem [reputação de remetente](https://tellnod.com/glossary#sender-reputation) no seu próprio domínio, e um registro DMARC torna muito mais difícil alguém enviar e-mails de phishing em seu nome. ## O que cada registro faz ### SPF: quais servidores podem enviar por você O [SPF](https://tellnod.com/glossary#spf) é um registro TXT que lista os servidores autorizados a enviar e-mails por um domínio. O servidor que recebe compara o endereço IP que se conectou a ele com essa lista. O SPF verifica o remetente do envelope (o endereço MAIL FROM usado na entrega, que também recebe os bounces), e não o endereço From que o seu cliente vê [S1]. Um registro típico de uma loja que usa uma caixa de e-mail corporativa e um serviço de e-mail marketing fica assim: `v=spf1 include:spf.mailbox.example include:spf.mailservice.example ~all` Cada `include` traz a lista de outro provedor. O final diz o que fazer com todo o resto: `-all` é uma falha, `~all` é uma falha leve (softfail), que por si só não deveria levar o receptor a rejeitar a mensagem [S1]. ### DKIM: uma assinatura em cada mensagem O [DKIM](https://tellnod.com/glossary#dkim) adiciona uma assinatura criptográfica aos cabeçalhos da mensagem. A assinatura indica um domínio de assinatura (`d=`) e um seletor (`s=`), e o receptor busca a chave pública em um registro DNS em `selector._domainkey.domain` [S2]. Se os cabeçalhos assinados ou o corpo mudaram no caminho, a verificação falha. Pelo DKIM sozinho, o domínio de assinatura não precisa coincidir com o endereço From [S2], e é por isso que o DMARC existe. ### DMARC: a política que liga os dois ao seu endereço de remetente visível O [DMARC](https://tellnod.com/glossary#dmarc) é um registro TXT em `_dmarc.yourdomain`. Ele pede aos receptores que confirmem se o SPF ou o DKIM passou para um domínio que coincide com o endereço From visível, diz como tratar os e-mails que falham (`none`, `quarantine` ou `reject`) e informa para onde enviar os relatórios [S3]. Um primeiro registro pode ser tão curto quanto `v=DMARC1; p=none; rua=mailto:dmarc@ninefold.example`. | Registro | Onde fica | O que verifica | O que um resultado positivo comprova | | --- | --- | --- | --- | | SPF | TXT no seu domínio | O endereço IP do servidor que se conecta | O servidor tinha permissão para enviar pelo domínio do envelope | | DKIM | TXT em selector._domainkey | Uma assinatura nos cabeçalhos da mensagem | A mensagem não foi alterada e foi assinada por aquele domínio | | DMARC | TXT em _dmarc | O resultado do SPF ou do DKIM mais o alinhamento | O domínio From visível tem o respaldo de uma verificação aprovada | ## Como eles funcionam juntos: o alinhamento O SPF e o DKIM podem passar para o domínio errado. Um serviço de marketing pode passar no SPF com o próprio domínio de bounces e assinar o DKIM em nome próprio, enquanto o campo From diz ninefold.example. Nenhum desses resultados diz nada sobre a Ninefold. O DMARC fecha essa lacuna com o alinhamento. Uma mensagem passa no DMARC quando o SPF passa para um domínio alinhado com o domínio From, ou quando o DKIM passa para um domínio alinhado com ele [S3]. Por padrão o alinhamento é flexível, então uma assinatura DKIM de mail.ninefold.example se alinha com um endereço From em ninefold.example; o alinhamento estrito exige coincidência exata [S3]. Gmail e Yahoo informam a mesma regra para remetentes em massa: o domínio From precisa estar alinhado com o domínio do SPF ou com o domínio do DKIM [S4][S5]. > O DKIM alinhado pesa mais que o SPF alinhado. Quando uma mensagem é encaminhada, o servidor que encaminha se conecta a partir do próprio endereço IP, então o SPF do domínio original muitas vezes falha [S1]. Uma assinatura DKIM sobrevive desde que a mensagem não seja modificada. ## O que uma loja precisa publicar Antes de mexer no DNS, liste todos os serviços que enviam e-mails com o seu domínio no endereço From. Para uma pequena marca de roupas como a Ninefold, isso costuma incluir uma caixa de e-mail corporativa, os e-mails de pedido e de envio da plataforma da loja, uma central de atendimento e uma ferramenta de e-mail marketing. Cada um precisa estar coberto. 1. Um único registro SPF que inclua todos os serviços que enviam como o seu domínio. 2. DKIM ativado em cada um desses serviços, com o seu domínio como domínio de assinatura. Cada serviço fornece o próprio registro e seletor, então vários registros DKIM podem conviver. 3. Um registro DMARC, começando em `p=none` com um endereço para relatórios, para você ver quem envia em seu nome antes de aplicar qualquer política. O [guia de configuração do DMARC](https://tellnod.com/pt-BR/guides/how-to-set-up-dmarc) mostra a passagem para `quarantine` e `reject`. A autenticação é só uma parte do que os provedores de e-mail esperam. Eles também olham o descadastro com um clique e a sua [taxa de reclamações de spam](https://tellnod.com/glossary#spam-complaint-rate); o guia de [noções básicas de entregabilidade](https://tellnod.com/guides/email-deliverability-basics) cobre o restante. ## Erros comuns - **Dois registros SPF.** Um domínio só pode ter um registro que comece com `v=spf1`; com dois, o SPF retorna um erro permanente para todas as mensagens [S1]. Junte-os em um único registro. - **Consultas demais.** Cada `include`, `a`, `mx`, `ptr`, `exists` e `redirect` custa uma consulta DNS, e o SPF para com erro depois de 10 [S1]. Remova os serviços que você não usa mais em vez de acumular includes. - **DKIM assinado com o domínio do provedor.** A assinatura passa, mas não se alinha com o seu endereço From. Configure o DKIM com o seu próprio domínio em cada ferramenta. - **Ir direto para p=reject.** Um remetente esquecido, como os e-mails de confirmação de pedido da plataforma da sua loja, começa a falhar sem aviso. Comece em `p=none` e leia os relatórios primeiro. - **Sem endereço para relatórios.** Um registro DMARC sem `rua` não dá nenhum dado para você agir. O Yahoo recomenda fortemente uma tag `rua` que funcione durante a configuração [S5]. ## Como verificar seus registros Você pode verificar o que está publicado com uma consulta DNS, e o que os receptores realmente viram lendo uma mensagem real. - **Pelo terminal:** `dig +short TXT ninefold.example` mostra o registro SPF, `dig +short TXT _dmarc.ninefold.example` mostra o DMARC e `dig +short TXT selector._domainkey.ninefold.example` mostra uma chave DKIM quando você conhece o seletor. - **Pelo navegador:** qualquer ferramenta de consulta DNS que leia registros TXT dá as mesmas respostas. - **Por uma mensagem real:** envie um teste para um endereço do Gmail, abra a mensagem, escolha Mais e depois Mostrar original [S6]. O cabeçalho mostra um resultado de SPF, DKIM e DMARC para aquela mensagem e os domínios com que cada um passou. O DMARC agora faz parte da trilha de padrões do IETF: o RFC 9989, publicado em maio de 2026, substitui o RFC 7489 [S3][S7]. Os registros continuam começando com `v=DMARC1`, então um registro escrito pelas regras antigas continua funcionando [S3]. ## Como configurar a autenticação com o Tellnod no Claude ou no ChatGPT O Tellnod é um [conector MCP](https://tellnod.com/glossary#mcp-connector) para escrever, visualizar e enviar e-mail marketing pelo Claude ou pelo ChatGPT. Desde o primeiro dia você pode enviar de um endereço com o nome da sua loja no domínio compartilhado do Tellnod, como hello@yourshop.tellnodmail.com, sem mudar o DNS, dentro dos limites de 500 destinatários por campanha e 1.000 e-mails por mês. Verificar o seu próprio domínio remove esses limites e é a configuração que recomendamos. Para verificar o seu domínio, peça no chat, por exemplo: “Configure ninefold.example como meu domínio de envio.” O Tellnod fornece os registros SPF, DKIM e DMARC e os verifica para você. Se outra pessoa cuida do seu DNS, peça: “Crie um link de configuração para o nosso desenvolvedor web.” Essa pessoa pode adicionar os registros com um clique nos provedores de DNS compatíveis, ou copiá-los, sem criar conta, e você é avisado no chat e por e-mail quando o domínio for verificado. Mudanças de DNS costumam levar alguns minutos e podem levar até 48 horas. A autenticação não muda a forma de enviar: toda campanha mostra uma visualização em desktop e celular, e nada sai até você clicar em Confirm no [card de aprovação](https://tellnod.com/glossary#approval-card). Para começar, [conecte o Tellnod](https://tellnod.com/pt-BR/connect) ao Claude ou ao ChatGPT; a [página de preços](https://tellnod.com/pt-BR/pricing) mostra o plano grátis e os planos pagos. ## FAQ ### Preciso de SPF, DKIM e DMARC, ou basta um? O Google pede SPF ou DKIM a todos os remetentes e exige SPF, DKIM e DMARC de quem envia mais de 5.000 mensagens por dia para o Gmail [S4]. Publicar os três é a base segura para uma loja de qualquer volume. ### Qual é a diferença entre SPF e DKIM? O SPF verifica qual servidor enviou a mensagem, com base no endereço IP dele. O DKIM verifica uma assinatura na própria mensagem, então continua funcionando depois de um encaminhamento, desde que a mensagem não seja alterada [S1][S2]. ### Posso ter mais de um registro SPF? Não. Vários registros SPF no mesmo domínio geram um erro permanente, então todos os serviços de envio precisam entrar em um único registro [S1]. ### O DMARC impede que meus e-mails caiam no spam? O DMARC comprova que o e-mail é seu e protege o seu domínio contra falsificação. Chegar à caixa de entrada também depende de consentimento, taxa de reclamações e engajamento, então passar no DMARC é necessário, mas não basta sozinho. ### O que significa alinhamento no DMARC? Significa que o domínio que passou no SPF ou no DKIM coincide com o domínio do endereço From visível. Por padrão a coincidência é flexível, então um subdomínio do mesmo domínio conta [S3]. ## Sources - [S1] RFC 7208: Sender Policy Framework (SPF) for authorizing use of domains in email: (checked 2026-10-22) - [S2] RFC 6376: DomainKeys Identified Mail (DKIM) signatures: (checked 2026-10-22) - [S3] RFC 9989: Domain-based Message Authentication, Reporting, and Conformance (DMARC): (checked 2026-10-22) - [S4] Google Workspace Admin Help: Email sender guidelines: (checked 2026-10-22) - [S5] Yahoo Sender Hub: Sender best practices: (checked 2026-10-22) - [S6] Gmail Help: Trace an email with its full header: (checked 2026-10-22) - [S7] RFC 7489: Domain-based Message Authentication, Reporting, and Conformance (DMARC): (checked 2026-10-22)