Autenticação de correio do domínio

Como funciona esta verificação

Esta verificação não toca no teu site: consulta o DNS do teu domínio. E fá-lo subindo pela cadeia de domínios (se analisas app.teudominio.com, olha também para teudominio.com), porque o correio configura-se no domínio registável. Procura cinco coisas. SPF: um registo TXT que comece por v=spf1; se não houver em nenhum nível, severidade média; se terminar em +all, alta; se houver mais do que um, média. DMARC: um TXT em _dmarc. com v=DMARC1; ausente, média; presente com p=none, baixa. BIMI: só se já tens DMARC, e a sua ausência é informativa. Se houver SPF ou DMARC (sinal de que o domínio usa correio), verifica ainda os registos MX (ausentes, baixa) e o DKIM, testando catorze seletores habituais (google, default, selector1, selector2, k1, s1, dkim, mail, mandrill, zoho…); se nenhum responder, baixa, com o aviso de que podes usar outro seletor. Por fim, MTA-STS em _mta-sts.; ausente, baixa. Se alguma consulta DNS falhar, o achado não é inventado.

Porque importa

Sem SPF nem DMARC, qualquer pessoa pode enviar e-mails que dizem vir de suporte@teudominio.com e os servidores recetores não têm forma de saber que são falsos. É a base do phishing com a tua marca: aos teus clientes, aos teus fornecedores ou à tua própria equipa. Além disso, desde 2024 o Gmail e o Yahoo exigem SPF, DKIM e DMARC a quem envia em volume; sem eles os teus e-mails legítimos vão para spam ou são rejeitados. O DKIM assina cada mensagem para que não possa ser alterada em trânsito. O MTA-STS evita que um atacante na rede obrigue a entregar o teu correio sem cifrar. E o BIMI, quando tudo o anterior está feito, põe o teu logótipo junto aos teus e-mails no Gmail e no Apple Mail.

Como corrigir

SPF

v=spf1 include:_spf.google.com ~all

Um único registo TXT no domínio, com um include: por cada serviço que envie correio em teu nome (Google Workspace, Microsoft 365 com spf.protection.outlook.com, o teu fornecedor transacional). Termina em ~all ou -all, nunca +all. Se tens dois registos, funde-os num só. Máximo de dez consultas DNS no total; se passares, o SPF deixa de validar.

DKIM

Ativa-se no fornecedor de correio (Google Workspace, Microsoft 365, Resend, SendGrid…), que te dá um registo TXT ou CNAME para publicar em seletor._domainkey.teudominio.com. Para saber que seletor usas, abre um e-mail enviado do teu domínio, vê os cabeçalhos e procura DKIM-Signature: ... s=seletor.

DMARC

v=DMARC1; p=none; rua=mailto:dmarc@teudominio.com

Em _dmarc.teudominio.com. Começa em p=none para receber relatórios sem bloquear nada, revê durante duas ou três semanas que serviços enviam em teu nome, adiciona-os ao SPF e ao DKIM, e sobe para p=quarantine e depois para p=reject.

MTA-STS e BIMI

O MTA-STS são duas peças: um TXT em _mta-sts.teudominio.com com v=STSv1; id=2026100901 e um ficheiro em https://mta-sts.teudominio.com/.well-known/mta-sts.txt com mode: enforce, os teus servidores MX e um max_age. O BIMI exige DMARC em quarantine ou reject, um logótipo SVG quadrado e um TXT em default._bimi; o Gmail pede ainda um certificado de marca verificada (VMC), que é pago.

Confirma que está corrigido

dig +short TXT teudominio.com | grep spf1
dig +short TXT _dmarc.teudominio.com
dig +short MX teudominio.com
dig +short TXT google._domainkey.teudominio.com
dig +short TXT _mta-sts.teudominio.com

Substitui google pelo teu seletor. No Windows, nslookup -type=TXT _dmarc.teudominio.com faz o mesmo. As alterações de DNS demoram de minutos a algumas horas a ver-se.

Perguntas frequentes

O meu domínio não envia correio. Preciso disto tudo?

Precisas de SPF e DMARC na mesma, mas na versão "ninguém envia": v=spf1 -all e v=DMARC1; p=reject. Assim ninguém te pode suplantar. MX, DKIM e o resto não te serão pedidos porque só se verificam quando o domínio usa correio.

Tenho DKIM mas aparece "sem DKIM nos seletores comuns".

Usas um seletor que não está na lista. O achado di-lo e é de severidade baixa precisamente por isso. Confirma-o com o comando de cima e o teu seletor real, e marca-o como aceite.

DMARC em p=none não serve de nada?

Serve para veres quem envia em teu nome, que é o passo prévio imprescindível. Mas não bloqueia nada: um e-mail falso com DMARC em p=none chega na mesma. A proteção começa em quarantine. O resto da saúde do domínio (CAA, DNSSEC, caducidade) vê-o saúde do domínio.