Configurar SPF, DKIM, DMARC: e-mail que chega
«Porque é que o meu próprio email de negócio vai parar ao spam?» raramente tem a ver com o que escreveu. Tem a ver com três registos DNS que ninguém lhe disse para configurar: SPF, DKIM e DMARC. Com eles, os fornecedores de caixas de correio conseguem verificar que o seu email é mesmo seu; sem eles, uma mensagem perfeitamente legítima é — para um filtro automatizado — indistinguível de alguém a falsificar o seu nome.
Três registos, três funções diferentes
SPF — quem pode enviar em seu nome — um registo TXT publicado no seu domínio que lista os servidores de correio autorizados a enviar email dizendo vir de si. Um servidor recetor verifica a origem real face à lista; uma incompatibilidade é um sinal forte — embora não, por si só, uma rejeição imediata — de que a mensagem pode não ser mesmo sua.
DKIM — prova de que nada foi adulterado — o servidor de envio assina criptograficamente cada mensagem com uma chave privada que só ele detém; a chave pública correspondente é publicada no seu DNS. Uma assinatura válida prova ao mesmo tempo que um detentor da sua chave enviou a mensagem e que nada foi alterado em trânsito depois da assinatura.
DMARC — a política que os liga — declara se o SPF e o DKIM têm de estar alinhados com o domínio no endereço «De» visível, diz aos servidores recetores o que fazer quando uma mensagem falha ambas as verificações (nada, quarentena ou rejeição), e pede relatórios periódicos sobre o que está a ser enviado em seu nome, com ou sem sucesso.
De onde vêm realmente estes registos
1
Saiba o que envia realmente o seu correio
Não o alojamento do seu site — o serviço de caixa de correio ou de envio de onde a mensagem sai realmente: Google Workspace, Microsoft 365, Zoho, Proton ou semelhante.
2
Publique SPF para esse remetente
O seu fornecedor de correio publica a sua própria linha SPF exata na documentação de configuração; cole-a no DNS do seu domínio, no mesmo painel que usa para qualquer outro registo DNS.
3
Ative a assinatura DKIM nesse fornecedor
A maioria dos fornecedores gera o par de chaves por si e dá-lhe o registo DNS exato para publicar — a configuração de DKIM é conduzida pelo fornecedor, não é algo que construa à mão.
4
Adicione um registo DMARC, começando apenas em monitorização
Escreva você mesmo um registo TXT de DMARC, começando em p=none, e só o aperte quando os relatórios confirmarem que todos os remetentes reais estão a passar sem falhas.
Como a Olmira trata disto
O SMTP por tenant é a resposta da Olmira exatamente a isto: ligue a sua própria conta de correio para cada finalidade — transacional, marketing, apoio, faturação e mais — para que uma mensagem saia mesmo através de uma conta que já controla, com o endereço «de» que definir. A sua capacidade de entrega passa então a depender do SPF, DKIM e DMARC que o domínio dessa conta já tem: ligue uma caixa de correio de negócio real a partir da qual já envia, e a sua autenticação existente cobre também o correio enviado pela Olmira.
Uma regra é a mais importante: defina o endereço «de» de uma finalidade no mesmo domínio a partir do qual a conta ligada está mesmo autorizada a enviar — desencontrar os dois é a causa mais comum de uma falha com ar de falsificação, em qualquer plataforma. Uma finalidade que deixe por configurar simplesmente recorre ao próprio relay da Olmira em vez de falhar o envio. O resto do que as Integrações cobrem: Integrações.
Tecnicamente a mensagem é enviada, mas o SPF e o DKIM de um fornecedor de webmail de consumo autenticam o domínio deles, não um domínio próprio que coloque no campo «de» — mensagens que dizem vir do domínio da sua empresa mas são enviadas através dos servidores autenticados de outra pessoa tendem a falhar o alinhamento. Vale a pena criar uma caixa de correio verdadeira no seu próprio domínio antes de precisar de parecer credível em escala.
SPF e DKIM são hoje quase obrigatórios — vários grandes fornecedores de caixa de correio já exigem pelo menos um deles a quem envia em massa. O DMARC é o que na verdade liga os dois e diz aos destinatários o que fazer quando a verificação falha; ignorá-lo não parte nada de imediato, mas é a peça que transforma «autenticado» em «imposto».
A autenticação prova que a mensagem vem mesmo de si; não a isenta da filtragem antispam habitual. O conteúdo, o volume de envio, o envolvimento dos destinatários e a reputação do domínio continuam todos a contar, para além de a autenticação passar de forma limpa.
O mesmo atraso de propagação de DNS que qualquer outro registo — consulte ligar os registos DNS do domínio para perceber o que está realmente a acontecer enquanto espera, e porque «ainda não» não é o mesmo que «errado».
Todas as fontes de envio legítimas — a sua caixa de correio do dia-a-dia, uma plataforma de marketing, um formulário de contacto do site — têm de constar do mesmo registo SPF e, quando o fornecedor o permitir, ter a sua própria assinatura DKIM. Deixar uma de fora é a razão mais comum para uma ferramenta legítima começar a falhar verificações depois de tudo «já estar configurado».