Existe um fato incômodo sobre e-mail que muita gente desconhece: por padrão, qualquer um pode enviar uma mensagem fingindo vir do seu domínio. O sistema de e-mail nasceu confiando, e essa confiança é explorada em golpes que se passam por empresas, bancos e pessoas. A boa notícia é que três configurações, trabalhando juntas, fecham essa porta. Elas se chamam SPF, DKIM e DMARC.
Este guia explica as três sem jargão, porque configurá-las é uma das defesas de melhor retorno que existem, e ainda melhora a entrega dos seus e-mails legítimos.
O problema: e-mail nasceu sem porteiro
Quando o e-mail foi criado, ninguém previu o golpe. O sistema simplesmente aceita que uma mensagem diga de quem ela é, sem checar. É como uma carta onde o remetente é escrito à mão: qualquer um pode escrever o nome de qualquer pessoa ali. É essa falha de origem que a falsificação de remetente explora, e que alimenta boa parte do phishing.
SPF, DKIM e DMARC são, juntos, o porteiro que faltava. Cada um resolve uma parte, e o conjunto é que fecha o cerco.
O que cada um faz
Sem entrar na parte técnica de configuração, a função de cada um é simples de entender:
| Peça | O que faz, em uma frase |
|---|---|
| SPF | Declara quais servidores têm permissão de enviar e-mail pelo seu domínio |
| DKIM | Assina cada mensagem, provando que ela é autêntica e não foi adulterada |
| DMARC | Diz o que fazer com a mensagem que falha nas checagens acima, e te avisa |
Pense assim: SPF é a lista de quem pode enviar, DKIM é o selo de autenticidade na mensagem, e DMARC é a regra que manda rejeitar o que não passa e ainda te manda um relatório de quem tentou se passar por você.
Por que os três, e não um só
Cada peça sozinha tem brecha. SPF quebra quando a mensagem é encaminhada. DKIM não diz o que fazer com quem falha. É o DMARC que amarra os dois, define a ação e fecha as folgas. Por isso a recomendação é sempre o conjunto, não uma peça isolada.
E há um bônus prático: além de barrar quem se passa por você, essas configurações melhoram a reputação do seu domínio, fazendo seus e-mails legítimos caírem menos na caixa de spam. Segurança e entrega andam juntas aqui.
Como colocar em prática
O caminho, em ordem, evita dor de cabeça:
- Comece pelo SPF, listando com cuidado todos os serviços que enviam e-mail em seu nome, para não bloquear os legítimos.
- Ative o DKIM no seu provedor de e-mail, que passa a assinar as mensagens.
- Implante o DMARC em modo de observação primeiro, só recebendo relatórios, para ver quem envia em seu nome antes de bloquear.
- Aperte o DMARC aos poucos, passando de observar para rejeitar, quando tiver certeza de que os legítimos estão cobertos.
Uma defesa que protege quem confia em você
Configurar SPF, DKIM e DMARC tem uma particularidade bonita: você não protege só a si mesmo, protege todo mundo que recebe e-mail em seu nome. É a sua marca deixando de ser roubada para enganar seus clientes. Para o esforço que dá, uma configuração feita uma vez e revisada de tempos em tempos, é difícil achar defesa com retorno maior. Se o seu domínio ainda não tem os três, essa é uma das primeiras portas a fechar.