Autenticação de E-mail

A autenticação de e-mail é o conjunto de padrões baseados em DNS que permitem aos servidores de correio receptores verificar se uma mensagem realmente veio do domínio que ela afirma — e rejeitá-la quando não veio. Três padrões centrais fazem o trabalho: o SPF autoriza quais servidores podem enviar em nome do seu domínio, o DKIM adiciona uma assinatura criptográfica que prova que uma mensagem não foi alterada, e o DMARC vincula ambos ao endereço De (From) visível e diz aos receptores o que fazer quando uma verificação falha.

Juntos, SPF, DKIM e DMARC transformam um protocolo aberto e sem confiança em um no qual os provedores de caixa de entrada conseguem distinguir seu correio legítimo de falsificações. Este hub explica o que cada padrão prova, como eles se combinam em um único veredito em camadas, e onde aprofundar em qualquer um deles.

Por que a autenticação de e-mail existe

O SMTP, o protocolo que transporta praticamente todo o e-mail, foi projetado em uma era de confiança mútua. Ele não tem uma forma integrada de verificar que o remetente é quem afirma ser. Qualquer pessoa pode se conectar a um servidor de correio e definir o endereço De (From) para qualquer coisa — seu banco, seu CEO, ou seu próprio domínio. Nada no protocolo básico os impede.

Essa lacuna é exatamente o que os atacantes exploram. A falsificação de e-mail forja o endereço do remetente para fazer uma mensagem parecer legítima, e campanhas de phishing se apoiam nela para roubar credenciais, redirecionar faturas ou instalar malware. A autenticação de e-mail fecha a lacuna ao publicar sinais verificáveis no DNS — sinais que um falsificador não consegue forjar sem controlar seu domínio e suas chaves privadas. Quando esses sinais estão implementados e aplicados, o correio falsificado é detectado e rejeitado antes de chegar a uma caixa de entrada.

SPF, DKIM e DMARC em resumo

Cada padrão responde a uma pergunta diferente, e cada um reside em um lugar diferente. Veja como eles se alinham.

Padrão	O que prova	Onde reside
SPF	O servidor que se conecta está autorizado a enviar em nome do seu domínio	Um registro TXT no DNS do seu domínio
DKIM	A mensagem carrega uma assinatura criptográfica válida e não foi alterada em trânsito	Um cabeçalho de assinatura na mensagem, verificado contra uma chave pública no DNS
Verificador de DMARC	SPF e/ou DKIM passam e estão alinhados com o domínio De (From) visível, além de uma política para falhas	Um registro TXT no DNS, aplicado pelo receptor

SPF e DKIM validam, cada um, uma peça do quebra-cabeça. O DMARC é a camada que decide se essas peças realmente protegem o endereço que seus destinatários veem.

Como os três funcionam juntos

Os três padrões formam uma verificação em camadas que um servidor receptor executa em cada mensagem.

Primeiro, o SPF examina o endereço IP que se conectou e pergunta se o registro SPF do seu domínio o autoriza a enviar. Isso valida o envelope — o servidor, não a mensagem.

Segundo, o DKIM verifica a assinatura criptográfica anexada à mensagem contra a chave pública publicada no seu DNS. Uma assinatura válida prova que o corpo da mensagem e os cabeçalhos principais não foram adulterados após a assinatura.

Terceiro, o DMARC vincula ambos os resultados de volta ao domínio que seus destinatários realmente veem no campo De (From). Ele exige alinhamento: o domínio que passou no SPF ou DKIM deve corresponder ao domínio De (From). Isso importa porque um falsificador pode facilmente passar no SPF ou DKIM para um domínio que ele controla — o alinhamento é o que força a verificação para o seu domínio.

Fundamentalmente, o DMARC precisa que pelo menos um entre SPF ou DKIM passe e esteja alinhado. O DMARC por si só não autentica nada; ele é a camada de política e alinhamento que dá força ao SPF e ao DKIM. Quando o alinhamento falha, o DMARC aplica a imposição que você publicou: none (apenas monitorar), quarantine (encaminhar para spam) ou reject (recusar a mensagem imediatamente). Passar de none para reject é como você deixa de observar falsificações e passa a bloqueá-las.

Comparando um a um

Como os três padrões se sobrepõem no propósito, mas diferem no mecanismo, ajuda compará-los em pares. Cada guia abaixo aprofunda uma comparação — o que cada um prova, onde diferem, e por que você geralmente precisa dos dois.

• SPF vs DKIM — autorização de servidor versus assinatura de mensagem.
• DKIM vs DMARC — assinatura versus alinhamento e política.
• SPF vs DMARC — autorização de caminho versus imposição.

Além dos três principais

Dois padrões mais recentes se apoiam sobre uma base autenticada.

O BIMI (Brand Indicators for Message Identification) permite que seu logotipo verificado apareça ao lado de mensagens autenticadas em caixas de entrada compatíveis. Ele só funciona depois que o DMARC estiver aplicado em quarantine ou reject, então é uma recompensa por acertar os fundamentos, e não um substituto para eles. Saiba mais no guia BIMI.

O MTA-STS (Mail Transfer Agent Strict Transport Security) protege o correio em trânsito ao dizer aos servidores de envio que exijam criptografia TLS e rejeitem ataques de rebaixamento (downgrade) que, de outra forma, exporiam as mensagens à interceptação. Onde SPF, DKIM e DMARC verificam o remetente, o MTA-STS protege a própria conexão. Veja o guia MTA-STS para configuração.

Acertando os três

Você não precisa adivinhar se seus registros são válidos. Construa e verifique cada camada com uma ferramenta dedicada: verifique sua política de remetente com o Verificador de SPF, confirme que sua assinatura está publicada e sendo interpretada com o DKIM Lookup, e valide o alinhamento e a política com o Verificador de DMARC.

A coisa mais comum que silenciosamente quebra uma configuração é um registro SPF que excede o limite de 10 consultas (lookups). Cada include, a, mx e redirect no seu registro conta, e assim que você ultrapassa dez consultas DNS, o SPF retorna um permerror — o correio legítimo começa a falhar na autenticação mesmo que o registro pareça correto. O AutoSPF previne isso automaticamente ao achatar (flatten) seu registro em um conjunto compacto e sempre válido de IPs, mantendo-o abaixo do limite conforme seus remetentes mudam, para que esse modo de falha nunca ressurja.

Perguntas Frequentes

O que é autenticação de e-mail?

A autenticação de e-mail é um grupo de padrões baseados em DNS — principalmente SPF, DKIM e DMARC — que permitem aos servidores de correio receptores verificar se uma mensagem realmente veio do domínio que ela afirma representar. Como o SMTP não tem verificação de remetente integrada, esses padrões publicam sinais que os falsificadores não conseguem forjar, permitindo que os provedores de caixa de entrada detectem e bloqueiem mensagens falsificadas ou de phishing.

Qual é a diferença entre SPF, DKIM e DMARC?

O SPF autoriza quais servidores podem enviar correio em nome do seu domínio. O DKIM adiciona uma assinatura criptográfica que prova que uma mensagem não foi alterada em trânsito. O DMARC vincula ambos os resultados ao endereço De (From) visível por meio do alinhamento e diz aos receptores o que fazer quando as verificações falham. SPF e DKIM validam, cada um, uma peça; o DMARC os combina em uma política aplicável.

Preciso dos três — SPF, DKIM e DMARC?

Sim. SPF e DKIM cobrem, cada um, apenas parte do quadro, e o DMARC exige que pelo menos um deles passe e esteja alinhado antes de poder proteger o endereço que os destinatários realmente veem. Pular qualquer camada deixa uma lacuna: sem o DMARC não há imposição, e sem SPF ou DKIM não há nada para o DMARC alinhar.

Qual devo configurar primeiro — SPF, DKIM ou DMARC?

Comece pelo SPF, já que é o mais simples de publicar e as outras camadas dependem dele. Adicione o DKIM em seguida, para que as mensagens carreguem uma assinatura verificável. Implemente o DMARC por último, começando na política none para monitorar os relatórios, depois aperte para quarantine e finalmente reject assim que confirmar que seu correio legítimo passa e está alinhado.