Revisado em por Roberto Lima
Neste artigo
O Problema do Email Spoofing
O protocolo de email (SMTP) foi criado em 1982, quando a internet era confiável e pequena. Não havia verificação de identidade - qualquer servidor podia enviar email alegando ser de qualquer domínio. Atacantes exploram isso para phishing, BEC (Business Email Compromise) e fraudes.
SPF, DKIM e DMARC são os três pilares da autenticação de email. Juntos, permitem que servidores receptores verifiquem se um email realmente veio de quem diz ter vindo, e o que fazer quando a verificação falha.
Os três pilares
- SPF: Lista quais servidores podem enviar email pelo seu domínio
- DKIM: Assina digitalmente cada email para provar autenticidade
- DMARC: Define política do que fazer quando SPF/DKIM falham
SPF - Sender Policy Framework
SPF e um registro DNS TXT que lista os servidores autorizados a enviar email em nome do seu domínio. Quando um servidor recebe email de "@seudominio.com", ele consulta o SPF para verificar se o IP de origem esta autorizado.
Como funciona
- Servidor de email envia mensagem de @seudominio.com
- Servidor receptor consulta DNS TXT de seudominio.com
- Verifica se IP do remetente esta na lista SPF
- Se não estiver, marca como SPF fail
Sintaxe do registro SPF
v=spf1 ip4:192.168.1.0/24 include:_spf.google.com include:sendgrid.net -all
- v=spf1: Versão do SPF (sempre spf1)
- ip4: IPs autorizados diretamente
- include: Inclui SPF de outro domínio (provedores de email)
- a: Autoriza IPs do registro A do domínio
- mx: Autoriza IPs dos servidores MX
- -all: Rejeitar tudo que não esta listado (hard fail)
- ~all: Soft fail (marcar mas não rejeitar)
Limite de lookups DNS
SPF tem limite de 10 lookups DNS. Cada "include" conta como lookup. Se exceder, SPF falha silenciosamente. Use ferramentas de flatten SPF se necessário ou consolide provedores.
DKIM - DomainKeys Identified Mail
DKIM adiciona uma assinatura criptográfica a cada email enviado. O servidor receptor usa a chave publica publicada no DNS para verificar que o email não foi alterado em trânsito e realmente veio do domínio alegado.
Como funciona
- Servidor de envio assina headers e corpo do email com chave privada
- Assinatura e adicionada ao header "DKIM-Signature"
- Servidor receptor busca chave publica no DNS
- Verifica assinatura - se valida, DKIM pass
Registro DKIM no DNS
v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA2K4PavXoNY8eGK2u61LIQlOHS8f5sWsCK5b+HMOfo0M+aNHwfqlVdzi/IwmYnuDKuXYuCllrgnxZ4fG4yVaux58v9grVsFHdzdjPlAQfp5rkiETYpCMZwgsmdseJ95RNJpG5JJKqvNgN...
- v=DKIM1: Versão do DKIM
- k=rsa: Algoritmo (RSA e padrão)
- p=: Chave publica em base64
- selector: Identificador da chave (permite rotação)
Header DKIM em um email
DKIM-Signature: v=1; a=rsa-sha256; d=seudominio.com; s=selector1;
c=relaxed/relaxed; q=dns/txt; h=from:to:subject:date;
bh=2jUSOH9NhtVGCQWNr9BrIAPreKQjO6Sn7XIkfJVOzv8=;
b=AuUoFEfDxTDkHlLXSZEpZj79LICEps6eda7W3deTVFOk4yAUoqOB...
DMARC - Domain-based Message Authentication
DMARC e a política que une SPF e DKIM. Define o que servidores receptores devem fazer quando a autenticação falha e configura relatórios para visibilidade do que esta acontecendo com seu domínio.
Alinhamento DMARC
DMARC exige "alinhamento" - o domínio no header "From:" deve corresponder ao domínio validado por SPF ou DKIM:
- SPF alignment: Domínio do envelope (MAIL FROM) = domínio do From:
- DKIM alignment: Domínio assinado (d=) = domínio do From:
Registro DMARC
v=DMARC1; p=reject; rua=mailto:dmarc@seudominio.com; ruf=mailto:dmarc-forensic@seudominio.com; pct=100; adkim=s; aspf=s
- v=DMARC1: Versão
- p=: Política (none, quarantine, reject)
- rua=: Email para relatórios agregados (diarios)
- ruf=: Email para relatórios forenses (por falha)
- pct=: Percentual de emails para aplicar política
- adkim=: Alinhamento DKIM (s=strict, r=relaxed)
- aspf=: Alinhamento SPF (s=strict, r=relaxed)
Políticas DMARC
Níveis de política
- p=none: Apenas monitoramento, não afeta entrega. Use inicialmente.
- p=quarantine: Emails que falham vão para spam/quarentena.
- p=reject: Emails que falham são rejeitados. Máximo nível de proteção.
Implementação Passo a Passo
Fase 1: Inventário de fontes de email
Antes de configurar, liste todas as fontes que enviam email pelo seu domínio:
- Servidor de email corporativo (Exchange, Google Workspace)
- Plataformas de marketing (Mailchimp, HubSpot, RD Station)
- CRM e sistemas de vendas (Salesforce, Pipedrive)
- Sistemas de suporte (Zendesk, Freshdesk)
- Aplicações que enviam email (notificações, alertas)
- Terceiros (parceiros que enviam em seu nome)
Fase 2: Configurar SPF
v=spf1 include:_spf.google.com include:sendgrid.net include:mailchimp.com ip4:203.0.113.5 -all
Adicione cada provedor via "include" e IPs próprios via "ip4/ip6".
Fase 3: Configurar DKIM
Cada provedor de email tem processo próprio para gerar chaves DKIM:
- Google Workspace: Admin Console > Apps > Gmail > Authenticate email
- Microsoft 365: Defender > Email & collaboration > Policies > DKIM
- Provedores de marketing: Configurações de domínio no painel
Fase 4: Configurar DMARC em modo monitoramento
v=DMARC1; p=none; rua=mailto:dmarc-reports@seudominio.com; pct=100
Mantenha p=none por 2-4 semanas enquanto analisa relatórios.
Fase 5: Analisar relatórios e ajustar
Use serviços como DMARC Analyzer, Valimail ou dmarcian para processar relatórios XML. Identifique:
- Fontes legítimas que estão falhando (adicione ao SPF/configure DKIM)
- Fontes desconhecidas que podem ser spoofing
- Taxa de alinhamento SPF e DKIM
Fase 6: Escalar para reject
# Semana 1-4: Monitoramento v=DMARC1; p=none; rua=mailto:dmarc@exemplo.com # Semana 5-8: Quarentena parcial v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc@exemplo.com # Semana 9-12: Quarentena total v=DMARC1; p=quarantine; pct=100; rua=mailto:dmarc@exemplo.com # Produção: Rejeição v=DMARC1; p=reject; rua=mailto:dmarc@exemplo.com
Ferramentas de Verificação
Ferramentas gratuitas para teste
- Validador SPF/DKIM/DMARC (Inteligência Brasil): Nossa ferramenta em português, com analise detalhada e recomendações
- MXToolbox: mxtoolbox.com - Verifica SPF, DKIM, DMARC
- DMARC Analyzer: dmarcanalyzer.com - Relatórios DMARC
- Mail-Tester: mail-tester.com - Teste completo de email
- Google Admin Toolbox: Verificação de registros DNS
- DKIM Validator: dkimvalidator.com - Teste de assinatura
BIMI e MTA-STS
BIMI - Brand Indicators for Message Identification
BIMI permite exibir seu logo ao lado de emails autenticados em clientes de email compatíveis (Gmail, Yahoo). Requer DMARC em p=quarantine ou p=reject.
v=BIMI1; l=https://seudominio.com/logo.svg; a=https://seudominio.com/vmc.pem
MTA-STS - Mail Transfer Agent Strict Transport Security
MTA-STS força conexões TLS entre servidores de email, prevenindo ataques de downgrade. Requer arquivo de política em https://mta-sts.seudominio.com/.well-known/mta-sts.txt
Perguntas Frequentes
SPF/DKIM/DMARC são apenas parte da equação. Reputação do IP, conteúdo do email, engajamento dos destinatarios e práticas de envio também afetam entregabilidade. Verifique se seu IP não esta em blacklists e siga boas práticas de email marketing.
Sim. Google e Microsoft configuram SPF e DKIM automaticamente, mas DMARC você precisa configurar. Sem DMARC, atacantes ainda podem fazer spoofing do seu domínio mesmo que seus emails legítimos estejam autenticados.
Encaminhamento quebra SPF porque o IP muda. DKIM sobrevive ao encaminhamento se o conteúdo não for alterado. Por isso DMARC aceita se SPF OU DKIM passar. Configure DKIM corretamente e o encaminhamento funcionara via alinhamento DKIM.
Conclusão
Implementar SPF, DKIM e DMARC não e opcional em 2026 - e requisito básico de segurança de email. Sem esses controles, seu domínio pode ser usado por atacantes para phishing contra seus clientes, parceiros e funcionários.
A implementação deve ser gradual: comece com SPF, adicione DKIM, configure DMARC em monitoramento, analise relatórios por algumas semanas, e só então escale para política de rejeição. Pressa causa bloqueio de emails legítimos.
Além da segurança, DMARC melhora entregabilidade. Provedores como Gmail e Microsoft favorecem domínios com autenticação completa. E com BIMI, você ainda ganha visibilidade de marca nos clientes de email.
Precisa de Ajuda com Email Security?
Oferecemos assessment de autenticação de email, configuração de SPF/DKIM/DMARC e monitoramento de domínios.
Falar com Especialista
