Resposta curta
O SPF lista os servidores autorizados a enviar e-mail pelo seu domínio, o DKIM adiciona uma assinatura que torna adulterações detectáveis, e o DMARC vincula os dois ao endereço de remetente exibido e define o que o destinatário faz quando as verificações falham. O DMARC passa quando SPF ou DKIM passa em alinhamento com o domínio do From. Gmail, Yahoo e Outlook.com esperam os três de remetentes de alto volume.
O que cada padrão verifica?
| Padrão | Verifica | Fica em | Falha quando |
|---|---|---|---|
| SPF (RFC 7208) | O servidor de envio está na sua lista de autorizados | Registro TXT no seu domínio | Falta um remetente ou há mais de 10 consultas DNS |
| DKIM (RFC 6376) | A assinatura corresponde a uma chave pública | TXT em selector._domainkey | Mensagem alterada, chave errada ou sem assinatura para o seu domínio |
| DMARC | SPF ou DKIM passou para um domínio alinhado ao From | TXT em _dmarc | Nenhum dos dois passa em alinhamento |
Como implantar os três?
- Publique exatamente um registro SPF que cubra todos os serviços que enviam em nome do seu domínio.
- Configure o DKIM em cada provedor, usando autenticação de domínio personalizado para que a assinatura use o seu domínio.
- Publique o DMARC em p=none com um endereço rua para receber relatórios.
- Corrija as falhas mostradas nos relatórios e depois passe para p=quarantine e p=reject.
O que os provedores de caixa de entrada exigem?
- Google: SPF ou DKIM para todos os remetentes; SPF, DKIM e DMARC para remetentes em massa acima de 5.000 mensagens por dia para o Gmail.
- Yahoo: autenticação para todos os remetentes, mais DMARC e cancelamento com um clique para remetentes em massa.
- Microsoft: SPF e DKIM devem passar e o DMARC deve estar ao menos em p=none para domínios acima de 5.000 e-mails por dia.
- A referência atual do DMARC é a RFC 9989, que substitui a RFC 7489.