Como configurar DKIM e SPF da forma certa

Se os seus cold emails estão caindo no spam, voltando sem motivo aparente ou sendo marcados pelo Google e pela Microsoft, o seu problema não é, em primeiro lugar, o texto. É um problema de confiança. Saber como configurar DKIM e SPF corretamente é uma das formas mais rápidas de melhorar a entregabilidade, porque isso mostra aos provedores de e-mail que o seu domínio realmente autorizou a mensagem.

Para qualquer empresa que faz campanhas de outbound, isso não é uma tarefa técnica opcional. Faz parte da infraestrutura de receita. Se você usa um domínio próprio para prospecção, precisa ter SPF e DKIM configurados antes de aumentar o volume, testar campanhas ou avaliar resultados.

Como configurar DKIM e SPF sem complicar

SPF e DKIM têm funções relacionadas, mas não são a mesma coisa.

O SPF, ou Sender Policy Framework, informa aos servidores de destino quais servidores de e-mail têm permissão para enviar mensagens em nome do seu domínio. Pense nele como uma lista de remetentes aprovados publicada nos seus registros DNS.

O DKIM, ou DomainKeys Identified Mail, adiciona uma assinatura criptográfica aos seus e-mails enviados. Essa assinatura prova que a mensagem foi autorizada pelo seu domínio e que não foi alterada no caminho.

Se o SPF não existe, os provedores de e-mail têm menos confiança de que o seu servidor de envio é legítimo. Se o DKIM não existe, eles têm menos provas de que a mensagem em si é autêntica. Você quer os dois funcionando juntos. Na maioria dos casos, você vai querer o DMARC também, mas SPF e DKIM são o primeiro passo.

Antes de configurar qualquer coisa

Você precisa de acesso a dois lugares: as configurações de DNS do seu domínio e a sua plataforma de envio de e-mails. O DNS normalmente é gerenciado pelo registrador do domínio ou pelo provedor de hospedagem. Sua plataforma de envio pode ser o Google Workspace, o Microsoft 365, o seu software de cold email, o seu provedor de SMTP ou um serviço de envio dedicado.

As telas exatas variam, mas o processo costuma ser o mesmo. Seu provedor de e-mail fornece registros DNS para adicionar. Você os publica nas configurações do domínio. Depois, verifica se estão ativos.

Se você envia a prospecção a partir de um domínio ou subdomínio separado, essa costuma ser a configuração mais inteligente. Ela protege a reputação do seu domínio principal caso a qualidade das campanhas caia ou o volume cresça rápido demais. Muitos remetentes ignoram isso até o desempenho despencar. Aí já estão consertando o estrago em vez de preveni-lo.

Passo 1: adicione o registro SPF

O seu registro SPF é um registro TXT no DNS. Ele começa com v=spf1 e inclui os serviços autorizados a enviar e-mails pelo seu domínio.

Um exemplo simples seria assim:

v=spf1 include:_spf.google.com ~all

Esse exemplo informa aos provedores de e-mail que o Google tem permissão para enviar e-mails pelo seu domínio. Se você usa outra plataforma também, como uma ferramenta de prospecção ou um serviço de e-mail transacional, talvez ela também precise ser incluída.

O ponto-chave do SPF é que você deve ter apenas um registro SPF por domínio. Não dois. Não um para cada ferramenta. Um único registro que contenha todos os remetentes autorizados.

É aqui que muitas empresas prejudicam a entregabilidade sem perceber. Elas adicionam um segundo registro TXT de SPF ao conectar uma nova plataforma. O DNS aceita, mas os servidores de e-mail de destino podem tratar a configuração de SPF como inválida. A solução é reunir todos os remetentes autorizados em um único registro SPF.

Você também precisa prestar atenção ao final do registro. A tag ~all é uma falha branda (soft fail), comum em configurações iniciais. A tag -all é uma falha rígida (hard fail) e mais restritiva. Qual usar depende do quanto você tem certeza de que todas as fontes de envio legítimas foram incluídas. Se você partir cedo demais para o -all e esquecer algum remetente, e-mails válidos podem falhar.

Passo 2: adicione o registro DKIM

O DKIM também é adicionado pelo DNS, mas normalmente usa um ou mais registros CNAME ou TXT, dependendo do seu provedor.

Sua plataforma de e-mail vai gerar um seletor DKIM e uma chave pública. Você adiciona essas informações ao DNS exatamente como foram fornecidas. Depois, sua plataforma de envio usa a chave privada correspondente, nos bastidores, para assinar as mensagens enviadas.

Um registro DKIM costuma parecer mais técnico que o SPF, mas a regra de verdade é simples: copie exatamente. Um caractere faltando, uma quebra de linha ou um nome de host errado pode impedir a validação.

Alguns provedores pedem que você publique um valor de host como:

selector1._domainkey.yourdomain.com

Depois, associe o valor TXT ou o destino CNAME correspondente que eles fornecerem.

Quando esse registro for propagado, o seu provedor deve conseguir verificá-lo. Depois da verificação, os e-mails enviados por esse provedor terão uma assinatura DKIM vinculada ao seu domínio.

Se você envia por vários provedores, pode ter vários seletores DKIM. Isso é normal. Ao contrário do SPF, o DKIM aceita vários registros, porque cada seletor é independente.

Passo 3: verifique os dois registros antes de aumentar o volume

Não parta do princípio de que as mudanças no DNS funcionaram só porque você clicou em salvar. A propagação do DNS pode levar alguns minutos ou, em alguns casos, mais tempo. A maioria das plataformas de envio oferece um botão de verificação ou uma checagem de status. Use-o.

Você também deve enviar e-mails de teste para contas que controla, como Gmail ou Outlook, e inspecionar os cabeçalhos da mensagem ou os resultados de autenticação. O que você procura é SPF pass e DKIM pass.

Se um passa e o outro falha, você está parcialmente autenticado, não totalmente configurado. Isso ainda pode melhorar o desempenho em comparação a enviar sem nenhuma autenticação, mas não é o padrão que você quer para campanhas de outbound.

Erros comuns que prejudicam a entregabilidade

O maior erro é tratar SPF e DKIM como uma tarefa a ser cumprida só para constar. Não são. Uma configuração ruim pode ser quase tão prejudicial quanto nenhuma configuração, porque gera uma autenticação inconsistente.

Um problema comum é usar o domínio de envio errado. O endereço visível no campo De (From) precisa estar alinhado com o domínio que você autenticou. Se a sua plataforma assina com um domínio, mas a mensagem diz vir de outro, a confiança desmorona rapidamente.

Outro ponto é esquecer que o encaminhamento pode afetar o SPF. Como o SPF verifica o caminho do servidor de envio, um e-mail encaminhado pode falhar no SPF mesmo quando o remetente original era legítimo. O DKIM é mais resistente nesse cenário, porque valida a assinatura sobre o conteúdo. Essa é uma das razões pelas quais o DKIM importa tanto.

Há ainda o problema da simplificação de registros (flattening) e dos limites de consultas do SPF. O SPF permite apenas um número limitado de consultas DNS. Se você empilha includes demais, de ferramentas demais, pode estourar o limite e causar falhas. Para uma empresa com um conjunto de ferramentas bagunçado, isso importa. Às vezes a resposta é fazer uma limpeza, e não aplicar mais um remendo.

Como isso afeta o desempenho da prospecção por cold email

Se você envia e-mails de vendas, a autenticação afeta diretamente a chegada à caixa de entrada, e não apenas a conformidade. Uma oferta forte não vale nada se o e-mail nunca for visto.

Os provedores de e-mail usam a autenticação como um dos vários sinais de confiança. Ela não vai salvar uma segmentação ruim, um texto fraco ou padrões de envio irresponsáveis. Mas, sem ela, até uma campanha bem montada já começa em desvantagem.

Isso vale ainda mais se você envia para novos prospects em escala. A prospecção fria já recebe mais atenção do que a comunicação com clientes. Você precisa que a sua configuração técnica reduza o atrito, e não que crie mais.

É por isso que as empresas que fazem campanhas de outbound devem pensar além do software de envio. O sistema completo importa – configuração do domínio, saúde das caixas de entrada, registros DNS, aumento gradual do volume, qualidade da lista e relevância da mensagem. As ferramentas podem acelerar a execução, mas nenhuma ferramenta supera uma reputação de domínio quebrada.

Você também precisa de DMARC?

Sim, normalmente. Mas alinhe bem as expectativas.

O DMARC se apoia no SPF e no DKIM. Ele diz aos provedores de e-mail o que fazer quando a autenticação falha e dá a você visibilidade por meio de relatórios. Se SPF e DKIM não estiverem configurados antes, o DMARC tem muito pouco com o que trabalhar.

Para muitas empresas, a ordem inteligente é SPF primeiro, DKIM depois, DMARC por último. Se você correr direto para o DMARC com uma política de rejeição e a sua base estiver errada, pode acabar bloqueando e-mails legítimos. Comece pelo monitoramento, confirme o alinhamento e depois endureça a política aos poucos.

Um padrão prático de configuração para a maioria das empresas

Se você quer uma base confiável, use um domínio ou subdomínio de envio dedicado à prospecção, publique um registro SPF limpo, ative o DKIM na sua plataforma de envio, verifique os dois e teste antes de lançar as campanhas. Depois, adicione o DMARC quando a base estiver estável.

Essa abordagem dá controle a você. Protege o domínio principal da sua marca, facilita a solução de problemas e abre um caminho mais limpo para escalar o outbound.

Para equipes não técnicas, a boa notícia é que isso costuma ser uma configuração feita uma única vez, e não uma tarefa do dia a dia. Quando estiver feita do jeito certo, sua atenção pode voltar ao que realmente move o pipeline – segmentar os prospects certos, escrever ofertas melhores e enviar com disciplina.

Se você leva o e-mail a sério como canal de vendas, não trate a autenticação como algo secundário. Configure uma vez, verifique direito e dê às suas campanhas uma chance justa de chegar à caixa de entrada.