E-mail com domínio próprio: como SPF, DKIM e DMARC ajudam a combater fraudes

Um cliente recebe uma cobrança com o nome da sua empresa, o endereço do seu financeiro e uma chave Pix controlada por um criminoso. A mensagem parece legítima, mas ninguém precisou invadir a sua caixa postal para enviá-la. Em determinadas condições, basta falsificar o remetente apresentado no e-mail e encontrar um destinatário que não rejeite essa falsificação. É por isso que ter um endereço como financeiro@suaempresa.com.br não significa, por si só, ter uma comunicação autenticada.

SPF, DKIM e DMARC ajudam a fechar essa brecha. Publicados ou referenciados no DNS do domínio, esses mecanismos permitem verificar servidores autorizados, assinaturas digitais e a relação dessas evidências com o remetente visível. Eles não eliminam todas as fraudes, mas dão aos provedores de e-mail critérios técnicos para identificar e tratar mensagens que tentam se passar pela sua organização.

E-mail com domínio próprio: por que o endereço pode ser falsificado?

O e-mail possui diferentes identidades em uma mesma mensagem. Existe o remetente exibido ao usuário, no cabeçalho From, e existe o remetente do envelope SMTP, usado durante o transporte e normalmente refletido no Return-Path após a entrega. Esses endereços podem ser diferentes em operações legítimas, como disparos feitos por plataformas de marketing. O problema aparece quando alguém explora essa flexibilidade para apresentar um domínio que não controla.

Imagine que o campo visível mostre cobranca@suaempresa.com.br, mas a infraestrutura de envio pertença a um terceiro desconhecido. Sem uma autenticação adequada e sem uma política que conecte as verificações ao domínio visível, o destinatário pode não ter elementos suficientes para distinguir esse envio de uma comunicação autorizada. Autenticar o transporte não basta: é preciso verificar se ele está alinhado à identidade que o usuário enxerga.

Comprar domínio .com.br não configura a segurança do e-mail automaticamente

Registrar ou comprar domínio dá ao titular o controle sobre aquele endereço, mas não configura automaticamente os serviços de e-mail. Registros MX indicam os servidores que recebem mensagens; eles não definem, sozinhos, quem pode enviar em nome da empresa. SPF, DKIM e DMARC precisam ser configurados na zona DNS autoritativa, que pode estar na Registro.br, na hospedagem ou em outro provedor, conforme os servidores de nomes utilizados.

Ao pesquisar um domínio para a operação, portanto, inclua a autenticação de e-mail no planejamento técnico. O mesmo cuidado vale para um endereço recém-registrado ou adquirido no mercado secundário: antes de começar os envios, identifique quem administra o DNS e quais sistemas precisarão de autorização.

SPF no domínio .com.br: quais servidores podem enviar e-mails?

O SPF permite publicar, em um registro TXT, quais origens estão autorizadas a enviar mensagens usando determinado domínio no envelope SMTP. O servidor destinatário compara o IP de origem com essa política. Em situações específicas, como mensagens com envelope vazio, a verificação utiliza a identidade HELO/EHLO. O ponto central é que SPF não autentica diretamente o endereço visível no campo From.

Na prática, a política pode autorizar IPs próprios e incluir as políticas dos fornecedores utilizados. O registro deve ser construído com as instruções oficiais de cada serviço. Copiar uma configuração encontrada na internet pode deixar de fora o sistema de notas fiscais, a ferramenta de suporte ou a plataforma responsável por recuperar carrinhos abandonados.

Erros de SPF que prejudicam o e-mail corporativo

• Publicar dois registros SPF no mesmo nome DNS: a configuração deve ter uma única política iniciada por v=spf1, reunindo as autorizações necessárias.
• Ultrapassar o limite de consultas: a avaliação SPF limita a dez os termos que provocam consultas DNS, incluindo expansões de mecanismos como include e redirect. Exceder esse limite pode gerar erro permanente.
• Usar +all: isso autoriza qualquer origem e esvazia a proteção pretendida.
• Manter fornecedores desativados: autorizações antigas ampliam desnecessariamente a superfície de confiança.
• Adotar -all antes de inventariar os envios: sistemas legítimos esquecidos podem passar a falhar na verificação.

O encaminhamento de mensagens também exige atenção. Quando um e-mail passa por outro servidor antes de chegar ao destino, o IP observado pode deixar de corresponder ao autorizado pelo remetente original. Por isso, SPF não deve ser tratado como solução isolada, e seu resultado não equivale automaticamente a uma decisão de entrega ou rejeição.

DKIM para e-mail com domínio próprio: assinatura e integridade

O DKIM acrescenta uma assinatura criptográfica à mensagem. O serviço de envio utiliza uma chave privada, enquanto a chave pública correspondente fica disponível no DNS. O destinatário consulta essa chave para verificar a assinatura e identificar se as partes assinadas da mensagem foram alteradas durante o transporte. O domínio responsável pela assinatura aparece no parâmetro d= do cabeçalho DKIM.

A busca pela chave utiliza um seletor, indicado por s=, em um endereço como seletor._domainkey.suaempresa.com.br. Dependendo do fornecedor, a configuração envolve publicar um TXT com a chave pública ou um CNAME apontando para uma estrutura administrada pelo serviço. Depois disso, ainda pode ser necessário ativar a assinatura no painel da plataforma: publicar o registro DNS não garante que as mensagens já estejam sendo assinadas.

Como configurar DKIM em vários serviços de envio

Uma empresa pode utilizar seletores diferentes para o e-mail dos funcionários, o CRM e os disparos transacionais. Essa separação facilita a gestão e a rotação de chaves sem depender de uma única configuração para todos os sistemas. Quando houver suporte, prefira chaves RSA de 2048 bits, mantenha as chaves privadas protegidas e siga o procedimento de rotação do fornecedor.

DKIM não criptografa o conteúdo do e-mail nem comprova que uma cobrança é verdadeira. Ele comprova a validade de uma assinatura vinculada a um domínio. Uma conta comprometida pode enviar mensagens fraudulentas com assinatura válida, e alterações feitas por intermediários podem quebrar uma assinatura originalmente legítima. Esses limites explicam por que autenticação deve funcionar junto de controles de acesso e processos de conferência financeira.

DMARC no domínio próprio: alinhamento para combater remetentes falsificados

O DMARC conecta SPF e DKIM ao domínio mostrado no campo From. Para uma mensagem passar no DMARC, basta que exista SPF aprovado e alinhado ou DKIM aprovado e alinhado. Não é obrigatório que ambos passem, embora configurar os dois aumente a robustez da operação. Uma assinatura DKIM válida de um domínio sem relação com o remetente visível, por exemplo, não resolve sozinha a verificação DMARC.

O alinhamento pode ser relaxado ou estrito. No relaxado, os domínios podem compartilhar o mesmo domínio organizacional: envio.suaempresa.com.br e suaempresa.com.br, por exemplo. No estrito, precisam ser idênticos. Os parâmetros aspf e adkim controlam esses modos; quando omitidos, o alinhamento relaxado é o padrão. A escolha deve considerar a arquitetura dos seus fornecedores, não apenas a aparência de uma configuração mais restritiva.

Políticas DMARC: diferenças entre none, quarantine e reject

| Política | O que comunica ao destinatário | Uso típico | |---|---|---| | p=none | Não solicita tratamento restritivo com base na falha DMARC | Observar resultados e identificar fontes de envio | | p=quarantine | Solicita tratamento como mensagem suspeita | Aplicar restrição após validar os fluxos legítimos | | p=reject | Solicita rejeição das mensagens que falham no DMARC | Proteger uma operação com autenticação validada |

Essas políticas expressam a orientação do titular do domínio. O destinatário mantém suas próprias decisões de tratamento, inclusive exceções locais. Assim, p=reject não é uma garantia universal de bloqueio, e p=none não deve ser apresentado como proteção ativa contra falsificação. Mesmo mensagens autenticadas podem cair no spam por outros motivos, como reputação, conteúdo ou falta de consentimento.

Como implementar SPF, DKIM e DMARC sem bloquear mensagens legítimas

A implantação segura começa com um inventário, não com a política mais rígida. Liste o provedor das caixas postais, formulários do site, sistemas financeiros, ferramentas comerciais, plataformas de atendimento e qualquer aplicação que envie usando seu domínio. Para cada fonte, confirme quem administra a configuração, qual domínio aparece no remetente e quais opções de alinhamento o fornecedor oferece.

1. Revise o SPF: reúna as origens necessárias em uma política válida e confira as consultas DNS.
2. Ative o DKIM em cada plataforma: publique os registros exigidos e valide a assinatura em mensagens reais.
3. Configure o alinhamento: quando necessário, habilite um domínio personalizado de retorno para SPF ou uma assinatura DKIM alinhada.
4. Publique DMARC em observação: use p=none e um endereço preparado para receber relatórios agregados.
5. Analise os resultados: diferencie fontes legítimas mal configuradas, encaminhamentos e tentativas de falsificação.
6. Avance para políticas restritivas: somente após validar os fluxos, migre para quarentena e, quando adequado, rejeição.
7. Monitore continuamente: novos fornecedores e alterações operacionais podem exigir ajustes.

Um exemplo didático de registro TXT, publicado em _dmarc.suaempresa.com.br, seria:

v=DMARC1; p=none; rua=mailto:relatorios-dmarc@suaempresa.com.br

Substitua o domínio pelo seu e prepare o destino antes de publicar. Os relatórios agregados normalmente chegam em XML e podem exigir uma ferramenta de análise. Se forem enviados para um domínio externo, pode ser necessária uma autorização DNS adicional nesse destino. O recebimento depende dos provedores participantes; não espere visibilidade completa de todas as mensagens da internet.

Como testar a autenticação do e-mail corporativo

Envie mensagens por cada sistema utilizado e examine os cabeçalhos no destinatário. Procure os resultados spf, dkim e dmarc em Authentication-Results, considerando o cabeçalho inserido pelo provedor receptor confiável. Confira também os domínios avaliados: enxergar spf=pass não significa necessariamente que houve alinhamento com o remetente visível. Teste fluxos menos frequentes, como redefinição de senha e cobrança mensal, e considere o tempo de cache do DNS antes de concluir que uma mudança falhou.

Comprar ou vender domínio: cuidados com autenticação na mudança de titular

No mercado de domínios, a passagem de controle exige revisar mais do que o site. Ao comprar um endereço, confira MX, SPF, seletores DKIM, DMARC e acessos ao provedor DNS. Não mantenha autorizações do antigo titular por conveniência. Se houver continuidade operacional acordada, documente a transição para não interromper envios legítimos nem deixar terceiros autorizados além do necessário.

Para quem pretende vender domínio, vale separar claramente o ativo negociado das caixas postais, dos históricos de mensagens e das contas de serviços. Esses elementos não devem ser presumidos como parte da venda. Ao avaliar domínios premium, o comprador também deve prever a configuração da nova infraestrutura: o nome adquirido não vem acompanhado de uma reputação de envio garantida.

Domínio sem envio de e-mail também precisa de proteção?

Um domínio estacionado pode ser usado em tentativas de falsificação mesmo que nunca tenha enviado uma mensagem legítima. Quando realmente não existe qualquer envio autorizado, uma política SPF v=spf1 -all e DMARC restritivo podem ajudar a declarar essa condição. Se também não houver recebimento, um registro Null MX pode sinalizar que o domínio não aceita e-mail. São funções diferentes: Null MX não substitui SPF ou DMARC. Verifique ainda os subdomínios e suas políticas antes de aplicar restrições.

Segurança de e-mail no mercado de domínios: o que esses protocolos não resolvem

SPF, DKIM e DMARC dificultam a falsificação direta do seu domínio, mas não impedem um criminoso de registrar um endereço parecido e autenticá-lo corretamente. Também não bloqueiam, por si sós, o uso enganoso do nome de exibição, a invasão de contas ou uma fraude enviada por um fornecedor comprometido. Complete a estratégia com autenticação multifator, proteção do acesso ao DNS, revisão de permissões e confirmação de mudanças bancárias por um canal independente.

Acompanhar as notícias do mercado de domínios ajuda a conectar decisões de aquisição à gestão técnica do ativo. O objetivo não é apenas colocar um endereço corporativo em funcionamento, mas manter controle verificável sobre quem pode usá-lo para representar sua empresa.

Quer comprar ou vender um endereço para o seu próximo projeto? Explore os domínios à venda no Domínios Top, veja como funciona a intermediação com pagamento via Pix em custódia e transferência pela Registro.br ou aproveite para anunciar domínio grátis. Escolha seu próximo domínio e inclua a autenticação do e-mail desde o início da operação.