Autenticação de email: Guia de SPF, DKIM e DMARC

Desde 2024 que os principais fornecedores de email (Google, Yahoo, Microsoft) rejeitam mensagens provenientes de domínios sem autenticação rigorosa. Um domínio sem registos SPF, DKIM e DMARC devidamente configurados vê as suas faturas, propostas e comunicações comerciais irem diretamente para o spam — ou serem totalmente bloqueadas.

Além disso, a falta de proteção permite que criminosos falsifiquem o seu endereço para esquemas de fatura falsa e phishing contra os seus clientes.

Eis como funcionam os três pilares da autenticação de email e como configurá-los corretamente.

1. SPF (Sender Policy Framework)

O SPF é um registo TXT no seu DNS onde declara que servidores e plataformas terceiras estão autorizados a enviar e-mails em nome do seu domínio.

Exemplo de registo SPF:

v=spf1 include:_spf.google.com include:sendgrid.net ip4:198.51.100.1 -all

• v=spf1: Identificador da versão do protocolo.
• include:: Autoriza plataformas externas como Google Workspace, Microsoft 365, Mailchimp ou SendGrid.
• ip4:: Autoriza endereços IP específicos de servidores próprios.
• -all (Hard Fail): Qualquer remetente não listado deve ser rejeitado.
• ~all (Soft Fail): Remetentes não listados são aceites mas sinalizados como suspeitos.

O limite de 10 consultas DNS: Um registo SPF não pode ultrapassar 10 consultas DNS recursivas. Se incluir demasiados serviços externos, o SPF falhará permanentemente para mensagens legítimas.

2. DKIM (DomainKeys Identified Mail)

Enquanto o SPF verifica a origem do servidor, o DKIM assegura que o conteúdo da mensagem não foi alterado em trânsito e que provém legitimamente do titular do domínio.

O servidor de envio adiciona uma assinatura digital criptografada ao cabeçalho da mensagem. O servidor de destino consulta a chave pública no seu DNS através de um seletor específico (ex: google._domainkey.aempresa.com) e valida a autenticidade.

Certifique-se de que cada plataforma de envio (CRM, helpdesk, marketing) tem a sua respetiva chave DKIM configurada no seu DNS.

3. DMARC: A política de proteção e relatórios

O DMARC harmoniza o SPF e o DKIM, indicando aos servidores de destino que ação tomar caso uma mensagem falhe a autenticação.

Exemplo de registo DMARC:

v=DMARC1; p=reject; rua=mailto:dmarc-reports@aempresa.com; pct=100; adkim=s; aspf=s

As três fases da política DMARC (p=):

1. p=none (Monitorização): Não bloqueia mensagens. Envia relatórios (rua) diários com todos os remetentes que utilizam o seu domínio. Utilize esta fase durante 2 a 4 semanas para mapear todos os serviços legítimos.
2. p=quarantine (Quarentena): Mensagens não autenticadas são encaminhadas para a pasta de spam.
3. p=reject (Bloqueio total): Mensagens fraudulentas são rejeitadas imediatamente. O seu domínio fica 100% protegido contra spoofing.

Erros comuns a evitar

• Múltiplos registos SPF: Um domínio só pode ter um registo SPF. Múltiplos registos tornam a validação inválida. Combine todos os remetentes numa única linha.
• Terminar em +all: Esta definição autoriza qualquer máquina no mundo a enviar mensagens em seu nome, anulando toda a segurança.
• Manter p=none indefinidamente: A política p=none apenas gera relatórios, não impedindo qualquer ataque de falsificação. Evolua para p=reject.

A implementação correta da autenticação de email garante a entregabilidade das suas mensagens e protege a reputação da sua empresa.