Checklist de entregabilidade de e-mail: SPF, DKIM e DMARC para SaaS

Você pode escrever o e-mail de boas-vindas perfeito, enviá-lo em milissegundos e mesmo assim perdê-lo para a caixa de spam. Provedores de caixa de entrada como Gmail, Outlook e Yahoo decidem onde uma mensagem vai parar muito antes de alguém lê-la, e a primeira coisa que verificam é se o remetente é quem diz ser.

Três registros DNS respondem a essa pergunta: SPF, DKIM e DMARC. Este checklist explica cada um de forma simples e mostra como configurá-los para o domínio do qual você envia.

Por que isso importa mais do que nunca

Em fevereiro de 2024, Google e Yahoo passaram a aplicar regras mais rígidas para todos que enviam e-mails aos seus usuários:

• Todos os remetentes precisam se autenticar com SPF ou DKIM, enviar via TLS e manter baixa a taxa de reclamações de spam (o Google pede menos de 0,3%).
• Remetentes em massa, ou seja, cerca de 5.000 mensagens ou mais por dia para o Gmail, precisam ter SPF e DKIM e uma política de DMARC, com o domínio visível no From alinhado a eles. E-mails de marketing também precisam de descadastro com um clique.

Outros provedores seguiram o mesmo caminho. Mensagens que falham nessas verificações são cada vez mais rejeitadas de vez, e não apenas enviadas para o spam.

Onde a Inbixio entra

Com a Inbixio, seus e-mails são entregues pelo seu próprio servidor SMTP: a caixa de e-mail que você conectou em Email Servers (servidores de e-mail). Isso significa que os seus registros de autenticação descrevem o seu provedor de e-mail (Google Workspace, Microsoft 365, Zoho, sua hospedagem), e não a Inbixio. Configure-os uma vez para o seu domínio, e todos os e-mails enviados pela API se beneficiam.

Os exemplos abaixo usam yourco.com. Substitua pelo seu domínio.

1. SPF: quem pode enviar pelo seu domínio

O SPF (Sender Policy Framework) é um registro TXT que lista os servidores autorizados a enviar e-mails pelo seu domínio. Os destinatários comparam o servidor que entregou a mensagem com essa lista.

Adicione um registro TXT na raiz do seu domínio:

yourco.com.  TXT  "v=spf1 include:_spf.google.com ~all"

A parte include: depende do seu provedor:

Regras que costumam confundir:

• Um registro SPF por domínio. Se você usa dois serviços, combine-os: v=spf1 include:_spf.google.com include:spf.protection.outlook.com ~all. Dois registros SPF separados tornam ambos inválidos.
• No máximo 10 consultas DNS. Cada include: conta, assim como os includes dentro dele. Remova serviços que você não usa mais.
• Termine com ~all (soft fail) enquanto estiver configurando. Mude para -all (hard fail) quando tiver certeza de que a lista está completa.

2. DKIM: uma assinatura em cada mensagem

O DKIM (DomainKeys Identified Mail) adiciona uma assinatura criptográfica a cada e-mail. Seu provedor de e-mail assina com uma chave privada, e você publica a chave pública correspondente no DNS, para que os destinatários possam verificar que a mensagem não foi alterada e realmente veio do seu domínio.

Você não escreve esse registro à mão. Seu provedor o gera:

• Google Workspace: Admin console → Apps → Google Workspace → Gmail → Authenticate email.
• Microsoft 365: Microsoft Defender portal → Email authentication settings → DKIM.
• Zoho Mail: Admin console → Domains → seu domínio → Email configuration → DKIM.

Cada um fornece um registro para publicar, normalmente um TXT ou CNAME em um nome como google._domainkey.yourco.com. Adicione-o no seu DNS, espere a propagação e então clique em Start authentication (ou no equivalente) no console do provedor. Use uma chave de 2048 bits se tiver essa opção.

3. DMARC: a política que amarra tudo

O DMARC diz aos destinatários o que fazer quando uma mensagem falha no SPF e no DKIM e pede que eles enviem relatórios para você. Ele também verifica o alinhamento: o domínio do endereço visível no From precisa coincidir com o domínio aprovado no SPF ou no DKIM.

Comece no modo de monitoramento:

_dmarc.yourco.com.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@yourco.com; adkim=r; aspf=r"

• p=none apenas monitora. Nada é bloqueado enquanto você analisa os relatórios.
• rua= é para onde vão os relatórios agregados diários. Eles são arquivos XML, então um visualizador gratuito de relatórios DMARC os torna legíveis.

Depois de duas a quatro semanas de relatórios sem problemas, endureça a política passo a passo: p=quarantine (e-mails reprovados vão para o spam) e depois p=reject (e-mails reprovados são recusados). Esse último passo é o que impede que outras pessoas enviem phishing em seu nome.

4. Mantenha seu endereço remetente consistente

Com a Inbixio, os e-mails são enviados do endereço do nome de usuário SMTP que você conectou, por exemplo notifications@yourco.com. Para manter o alinhamento simples:

• envie de um endereço no mesmo domínio para o qual você configurou SPF, DKIM e DMARC,
• use um conjunto pequeno e estável de endereços remetentes (notifications@, security@, billing@), e
• se serviços diferentes devem usar endereços diferentes, conecte um servidor por endereço e vincule cada chave de API ao servidor dela.

5. Hábitos que protegem sua reputação

A autenticação prova quem você é; o seu comportamento decide se os destinatários confiam em você:

• Envie e-mails só para quem os espera. E-mails transacionais (recibos, redefinições, códigos) têm taxas de reclamação muito baixas. Mantenha o marketing separado e com opt-in.
• Remova os endereços que geram bounce. Enviar repetidamente para caixas de e-mail inválidas parece lista de spammer. Os avisos de bounce chegam na caixa de e-mail da qual você envia (a que você conectou à Inbixio), então confira essa caixa e remova esses endereços das suas listas.
• Escreva como um ser humano. Um assunto claro, um layout que funcione bem em texto puro, um endereço remetente que aceite respostas e nada de encurtadores de link.
• Aumente o volume aos poucos. Um domínio novo que de repente envia 50.000 e-mails parece suspeito. Aumente o volume ao longo de algumas semanas.

Como verificar sua configuração

1. Envie um teste pela Inbixio para um endereço do Gmail que você controla.
2. No Gmail, abra a mensagem, clique em ⋮ → Show original (mostrar original) e procure por SPF: PASS, DKIM: PASS e DMARC: PASS.
3. Para um monitoramento contínuo, cadastre seu domínio no Google Postmaster Tools para ver sua taxa de spam e sua reputação.

O checklist

• Um único registro SPF que inclua seu provedor de e-mail, com menos de 10 consultas
• DKIM ativado no seu provedor, com o registro DNS publicado e verificado
• DMARC em p=none, com os relatórios indo para um endereço monitorado
• Endereços remetentes no mesmo domínio dos seus registros SPF, DKIM e DMARC
• O “Show original” do Gmail mostra PASS para os três
• Um lembrete para mudar o DMARC para quarantine e depois para reject

Em seguida, coloque isso em prática nos e-mails que os usuários mais esperam: OTP e códigos de verificação e redefinições de senha.