SPF, DKIM e DMARC: o que são e como evitar e-mail falso

O protocolo original de e-mail (SMTP) não verifica quem é o remetente. O campo "De:" é só texto: qualquer servidor pode enviar uma mensagem dizendo ser [email protected], e o destinatário vê exatamente isso. SPF, DKIM e DMARC são três registros de DNS criados para fechar essa brecha. Se você tem um domínio próprio, um deles (ou os três) provavelmente está faltando ou mal configurado.

O problema: o "De:" do e-mail não prova nada

Esse buraco é a base de boa parte do phishing por e-mail e da fraude de diretor falso descrita em BEC e deepfake de CEO. Sem autenticação, o atacante não precisa invadir ninguém: basta escrever o seu domínio no remetente. Quem tem o domínio protegido faz o servidor do destinatário descartar ou isolar essas mensagens antes de chegarem na caixa de entrada.

O que cada um faz

O que é SPF?

SPF (Sender Policy Framework) é um registro TXT no DNS que lista quais servidores podem enviar e-mail em nome do seu domínio. O servidor que recebe a mensagem consulta essa lista e confere se o IP de origem está nela.

Exemplo de registro para um domínio que usa o Google Workspace:

suaempresa.com.br.  TXT  "v=spf1 include:_spf.google.com ~all"

O ~all (softfail) marca como suspeito quem não está na lista; -all (hardfail) manda rejeitar. Um detalhe que pega muita gente: o SPF está especificado na RFC 7208, que limita a verificação a 10 consultas de DNS (include, a, mx, redirect e similares contam; ip4 e ip6 não). Passou disso, o resultado é erro permanente (PermError) e o DMARC trata como falha. Cada serviço que você autoriza (CRM, newsletter, helpdesk) consome parte desse limite.

O que é DKIM?

DKIM (DomainKeys Identified Mail) assina cada e-mail enviado com uma chave privada; o destinatário confere a assinatura com a chave pública publicada no DNS do seu domínio. Se a mensagem foi alterada no caminho ou assinada por outro, a verificação falha.

Diferente do SPF, o DKIM sobrevive a encaminhamentos, porque a assinatura viaja dentro da mensagem. A chave pública fica num registro como seletor._domainkey.suaempresa.com.br; o provedor de e-mail (Google, Microsoft 365, Zoho) gera o par de chaves e diz o que publicar. Prefira chaves de 2048 bits quando o provedor oferecer.

O que é DMARC?

DMARC (Domain-based Message Authentication, Reporting and Conformance) diz ao servidor de destino o que fazer quando SPF e DKIM falham em relação ao domínio do "De:", e pede relatórios sobre quem está enviando em seu nome.

É o DMARC que amarra tudo: não basta o SPF passar, o domínio autenticado precisa ser o mesmo que aparece no "De:" (alinhamento). Registro de exemplo, em _dmarc.suaempresa.com.br:

v=DMARC1; p=none; rua=mailto:[email protected]

A política (p=) tem três níveis:

• none: só monitora e gera relatórios. Não bloqueia nada — um domínio parado em p=none ainda pode ser falsificado à vontade.
• quarantine: mensagens que falham vão para a pasta de spam.
• reject: o servidor de destino recusa a mensagem.

Como conferir seu domínio em 2 minutos

No Windows, pelo terminal, dá para consultar os três registros sem instalar nada:

nslookup -type=TXT suaempresa.com.br
nslookup -type=TXT _dmarc.suaempresa.com.br
nslookup -type=TXT seletor._domainkey.suaempresa.com.br

O primeiro deve mostrar uma linha começando com v=spf1; o segundo, v=DMARC1. O seletor do DKIM depende do provedor (no Google Workspace costuma ser google; no Microsoft 365, selector1 e selector2). Outra forma de ver tudo de uma vez: abra um e-mail recebido no Gmail, clique em "Mostrar original" e procure SPF, DKIM e DMARC com resultado PASS no topo.

Ordem certa para configurar

1. Liste tudo que envia e-mail pelo seu domínio: provedor principal, ferramenta de newsletter, sistema de cobrança, formulário do site. Esquecer um deles é o erro mais comum.
2. Publique o SPF incluindo cada serviço, atento ao limite de 10 consultas.
3. Ative o DKIM em cada serviço que envia em seu nome e publique as chaves.
4. Publique o DMARC em p=none com um endereço em rua= e deixe de 2 a 4 semanas coletando relatórios.
5. Corrija o que aparecer nos relatórios (serviço legítimo falhando) e só então suba para quarantine e, depois, reject.

Pular direto para reject sem monitorar é a forma mais rápida de fazer a fatura ou o e-mail do cliente parar de chegar.

Por que isso deixou de ser opcional

Desde fevereiro de 2024, Google e Yahoo exigem SPF, DKIM e DMARC de quem envia em volume (na faixa de 5.000 mensagens por dia para contas pessoais). A Microsoft passou a aplicar regra semelhante para Outlook.com, Hotmail e Live em maio de 2025, com mensagens fora do padrão indo primeiro para a pasta de lixo eletrônico. Mesmo quem envia pouco sente o efeito: sem autenticação, seu e-mail legítimo cai mais em spam, e o domínio fica livre para ser usado em golpes. Fontes: documentação de remetentes do Google e do Yahoo, e a comunicação da Microsoft sobre o Outlook.com, resumidas por fornecedores como a dmarcian.

SPF, DKIM e DMARC protegem contra phishing?

Protegem contra um tipo específico: o uso exato do seu domínio no remetente. Não impedem um domínio parecido, como o de um typosquatting (suaempresa-br.com), nem e-mails enviados de uma conta legítima que foi invadida.

Por isso a autenticação de e-mail é uma camada, não a solução inteira. Ela combina com MFA nas caixas de entrada e treinamento de quem recebe.

Conclusão

Configurar os três registros custa uma tarde e nenhum dinheiro, e tira seu domínio da lista de alvos fáceis de falsificação. Comece pelo DMARC em p=none hoje, para ver quem já envia em seu nome, e suba a política com calma. Se quiser entender o outro lado — como reconhecer a mensagem falsa que chega na sua caixa —, leia os sinais de phishing em e-mail e como a IA deixou os golpes sem erros de português.