Se os e-mails do seu domínio não chegam, caem no spam ou alguém está enviando mensagens falsas em seu nome, a causa quase sempre está em quatro registros de DNS: MX, SPF, DKIM e DMARC. Desde 2024, Gmail e Yahoo exigem esses registros de quem envia muitos e-mails, e na prática todos os provedores passaram a valorizá-los.
MX: quem recebe os seus e-mails
O registro MX diz para qual servidor as mensagens enviadas ao seu domínio devem ser entregues. Sem ele, ninguém consegue mandar e-mail para voce@seudominio.com.br.
Exemplo: 10 mx1.provedor.com e 20 mx2.provedor.com. O número é a prioridade: o menor é tentado primeiro, e o outro serve de reserva.
Erros comuns: MX apontando para a hospedagem antiga depois de uma migração, ou para um IP em vez de um nome. O MX deve sempre apontar para um nome que tenha registro A.
SPF: quem pode enviar em seu nome
O SPF é um registro TXT que lista os servidores autorizados a enviar e-mail pelo seu domínio. O servidor que recebe a mensagem confere se ela veio de um desses endereços.
Exemplo: v=spf1 include:_spf.google.com include:servidor-do-site.com.br -all
include:autoriza os servidores de um serviço, como o Google Workspace ou um serviço de e-mail marketing.-allno final diz para rejeitar o que não estiver na lista.~allé mais brando e marca como suspeito.
Erros comuns: ter dois registros SPF (só pode haver um; junte tudo em uma linha), esquecer de incluir o serviço que envia os e-mails do site ou da loja, e ultrapassar o limite de 10 consultas de include.
DKIM: a assinatura digital
O DKIM assina cada mensagem com uma chave secreta guardada no servidor de envio. A chave pública correspondente fica publicada no DNS, em um registro TXT com um nome como seletor._domainkey.seudominio.com.br. Quem recebe confere a assinatura e tem a garantia de que a mensagem não foi alterada e saiu de um servidor autorizado.
Você não cria a chave à mão: o serviço de e-mail (Google Workspace, Microsoft 365, o painel da hospedagem) gera o registro e você só o copia para o DNS. Cada serviço que envia em seu nome tem o seu próprio seletor.
DMARC: a política e os relatórios
O DMARC junta tudo. Ele diz aos provedores o que fazer quando uma mensagem falha no SPF e no DKIM, e para onde mandar relatórios. Fica em um registro TXT no nome _dmarc.seudominio.com.br.
Exemplo inicial seguro: v=DMARC1; p=none; rua=mailto:dmarc@seudominio.com.br
p=none: só observa e envia relatórios. Comece por aqui.p=quarantine: manda para o spam o que falhar.p=reject: recusa o que falhar. É a proteção máxima contra quem tenta se passar pelo seu domínio.
O caminho recomendado é começar com none, acompanhar os relatórios por algumas semanas até ter certeza de que todos os serviços legítimos passam, e então subir para quarantine e depois reject.
Como conferir o seu domínio
- Na consulta de DNS, digite o seu domínio e veja os registros MX e os TXT. O SPF é a linha que começa com
v=spf1. - Para ver o DMARC, consulte o nome
_dmarc.seudominio.com.bre procure o TXT que começa comv=DMARC1. - Se os e-mails saem de um servidor próprio, confira também o DNS reverso do IP e se ele está em alguma lista negra.
Resumo
- MX: para onde chegam os e-mails.
- SPF: quem pode enviar.
- DKIM: assinatura que prova a origem.
- DMARC: o que fazer quando algo falha, e relatórios.
Com os quatro configurados, os seus e-mails têm muito mais chance de chegar à caixa de entrada, e fica bem mais difícil alguém se passar pelo seu domínio.