Como Corrigir SPF, DKIM e DMARC

O que cada registro faz

• SPF lista os servidores autorizados a enviar e-mails do seu domínio.
• DKIM adiciona uma assinatura que comprova que a mensagem não foi alterada e que veio do seu domínio.
• DMARC diz aos servidores receptores o que fazer quando uma mensagem falha, e envia relatórios para você.

Comece passando seu domínio pelo Email DNS Checker para ver quais dos três precisam de ajustes. O Google e o Yahoo agora exigem esses registros de remetentes em massa, então a falta de algum deles pode prejudicar a entrega.

Como corrigir o SPF

O SPF é um único registro TXT no domínio raiz. Ele lista todos os serviços que enviam seus e-mails:

v=spf1 include:_spf.google.com ~all

Use o valor include fornecido pelo seu provedor. Os erros mais comuns são:

• Dois registros SPF. Um domínio deve ter apenas um. Una-os: v=spf1 include:_spf.google.com include:sendgrid.net ~all.
• Consultas demais. O SPF permite 10 consultas DNS. Cada include conta, assim como os aninhados dentro dele. Remova os serviços que você não usa mais.
• Um remetente esquecido. Newsletters, notas fiscais e formulários de contato costumam enviar por outros serviços. Adicione cada um deles.

Como corrigir o DKIM

Você não escreve o DKIM sozinho. Seu provedor de e-mail gera uma chave, e você a publica em um endereço como este:

selector._domainkey.example.com

Encontre a configuração de DKIM no painel administrativo do seu provedor, copie o registro que ele fornece e ative a assinatura por lá. Se uma verificação diz que o DKIM está faltando, talvez ele só precise do seletor correto, que varia de provedor para provedor. Para confirmar, envie um e-mail para você mesmo e leia os cabeçalhos com o Email Header Analyzer. Procure por dkim=pass.

Como corrigir o DMARC

Adicione um registro TXT em _dmarc.example.com. Comece no modo de monitoramento, que não altera nada na entrega:

v=DMARC1; p=none; rua=mailto:dmarc@example.com

Avance em etapas quando os relatórios mostrarem que seus e-mails reais estão passando:

1. p=none: acompanhe os relatórios por algumas semanas.
2. p=quarantine: e-mails que falham vão para o spam.
3. p=reject: e-mails que falham são recusados.

Não pule direto para o p=reject. Se algum serviço que você usa ainda não está coberto por SPF e DKIM, os e-mails dele vão simplesmente desaparecer.

Verifique o resultado

Alterações de DNS podem levar um tempo para se propagar, então use primeiro o DNS Propagation Checker e depois rode o Email DNS Checker novamente. Para o teste final, envie um e-mail real e confirme que SPF, DKIM e DMARC passam nos cabeçalhos dele.