SPF, DKIM e DMARC: como configurar no DNS do domínio

Entenda para que servem SPF, DKIM e DMARC, configure cada registro no DNS, veja o que o Gmail exige e confira o resultado passo a passo.

Por Redação Eleven Host · @robson.direitodigital · 27 de outubro de 2026 · 8 min de leitura

SPF, DKIM e DMARC são três registros TXT no DNS do seu domínio que provam aos provedores de quem recebe que o e-mail com o seu nome foi enviado por quem você autorizou. Este guia mostra como configurar cada um, na ordem certa.

Sem esses registros, mensagens legítimas têm mais chance de cair no spam ou ser recusadas, e fica mais fácil alguém falsificar o seu domínio. Também vale o aviso: a entrega depende ainda do conteúdo, da reputação e das reclamações, então nenhum registro sozinho promete caixa de entrada. Os exemplos usam seudominio.com.br e o IP de documentação 203.0.113.10; troque pelos seus valores.

Para que servem os três registros

Pense no e-mail como uma encomenda. O SPF é a lista de entregadores autorizados a sair com o seu nome. O DKIM é o lacre assinado na caixa, que mostra que ninguém mexeu no conteúdo no caminho. O DMARC é a instrução que você deixa na portaria: o que fazer com a encomenda que não passou na conferência.

• SPF: diz quais servidores podem enviar e-mail em nome do domínio.
• DKIM: assina cada mensagem, e o destinatário confere a assinatura no DNS.
• DMARC: define a política para o que falha e pede relatórios.

Os três ficam no painel de DNS do domínio. Os valores de SPF e DKIM quem fornece é o serviço que envia o e-mail: o seu provedor de e-mail, a ferramenta de newsletter, a loja virtual ou o sistema de nota. Cada serviço que envia em nome do domínio precisa estar coberto, e o seu provedor de e-mail informa os valores.

SPF: quem pode enviar pelo seu domínio

O SPF (RFC 7208) é um registro TXT no próprio domínio que começa com v=spf1. Depois vêm os mecanismos que listam os remetentes autorizados:

• include: autoriza os servidores de um provedor.
• ip4: e ip6: autorizam um endereço IP.
• a e mx autorizam os servidores que aparecem nesses registros do domínio.

O registro termina com all e um qualificador, que diz o que fazer com quem não está na lista:

• -all: falha, o remetente não está autorizado.
• ~all: falha leve (softfail), aceitar a mensagem mas marcá-la como suspeita.
• ?all: neutro, sem opinião.

Um exemplo didático, que você adapta com os valores do seu provedor:

• v=spf1 include:_spf.seuprovedor.com.br ip4:203.0.113.10 ~all

Os dois erros que mais derrubam o SPF

O primeiro é ter dois registros v=spf1 no mesmo domínio. Só pode haver um por domínio: com dois, o resultado é erro permanente. Se precisa autorizar vários serviços, junte tudo em um registro só, com vários include:.

O segundo é passar de 10 consultas de DNS. Contam para o limite include, a, mx, ptr, exists e redirect, e passar de 10 também dá erro permanente. Cada serviço novo que você inclui pode gastar consultas do limite, então enxugue o registro quando tirar uma ferramenta de uso.

Um detalhe: o SPF confere o remetente de envelope (o Return-Path), que não é necessariamente o endereço que aparece no campo "De:". É para fechar essa brecha que existe o DMARC.

DKIM: a assinatura de cada mensagem

No DKIM (RFC 6376), o servidor que envia assina cada mensagem com uma chave privada. A chave pública fica no DNS, em um registro TXT no nome seletor._domainkey.seudominio.com.br, e o conteúdo começa com v=DKIM1; k=rsa; p= seguido da chave.

O seletor e a chave quem gera é o provedor ou a ferramenta de envio. Você só copia os dois para o DNS. Se o texto da chave vier quebrado em partes, cole como o painel orientar: alguns painéis aceitam o texto inteiro em uma linha.

DMARC: a política e os relatórios

O DMARC (RFC 7489) é um TXT no nome _dmarc.seudominio.com.br. Um exemplo de partida:

• v=DMARC1; p=none; rua=mailto:dmarc@seudominio.com.br

A tag p= diz ao destinatário o que fazer com a mensagem que falha:

• none: só monitorar, sem mudar o tratamento.
• quarantine: tratar como suspeita, por exemplo mandando para o spam.
• reject: recusar a mensagem.

A tag rua= é o endereço que recebe os relatórios agregados, arquivos XML com o resultado das conferências. O DMARC passa quando o SPF ou o DKIM passam e estão alinhados com o domínio do campo "De:".

O caminho seguro: de none a reject

Comece com p=none e leia os relatórios por algumas semanas. Eles mostram serviços legítimos que você esqueceu de cobrir no SPF ou no DKIM. Depois de corrigir, suba para quarantine e, quando estiver confiante, para reject. Pular direto para reject pode fazer você perder mensagens legítimas de um serviço esquecido.

Passo a passo no painel de DNS

A ordem abaixo evita mexer no escuro. Se o domínio é registrado na Eleven Host, o painel de DNS fica na área do cliente.

1. Liste todos os serviços que enviam e-mail com o seu domínio: provedor de e-mail, newsletter, loja virtual, sistema de nota, formulários do site.
2. No painel de cada serviço, localize os valores de SPF e de DKIM. O seu provedor de e-mail informa os valores.
3. Veja se o domínio já tem um registro TXT começando com v=spf1. Se tiver, edite esse registro em vez de criar outro.
4. Crie ou ajuste o TXT do SPF no domínio, juntando os include: e ip4: em um registro só.
5. Crie o TXT do DKIM no nome seletor._domainkey, com o seletor e a chave que o serviço entregou.
6. Crie o TXT do DMARC em _dmarc, começando com p=none e um endereço no rua=.
7. Espere o DNS atualizar e confira com os comandos da próxima seção.

A mudança no DNS passa por cache em vários pontos da internet. O guia Propagação de DNS: quanto tempo leva e como conferir explica como acompanhar. E se o domínio ainda nem aponta para o seu servidor, veja antes Apontar domínio para VPS: passo a passo com registro A.

Precisa de um domínio com DNS gerenciado grátis na rede da Cloudflare, com painel na área do cliente? Vale para domínios registrados na Eleven Host. Registrar domínio

O que o Gmail exige de quem envia

As diretrizes para remetentes do Google, em vigor desde 1º de fevereiro de 2024, têm duas faixas. A primeira vale para os remetentes em geral que escrevem para contas do Gmail:

• configurar SPF ou DKIM;
• ter DNS direto e reverso (PTR) válidos no IP de envio;
• usar TLS;
• manter a taxa de spam no Postmaster Tools abaixo de 0,3%.

A segunda faixa vale para quem envia mais de 5.000 mensagens por dia para contas do Gmail. Nesse caso, pedem SPF e DKIM, DMARC publicado (a política pode ser none), alinhamento do "De:" com SPF ou DKIM e cancelamento de inscrição com um clique nas mensagens de marketing.

Como conferir se está funcionando

Existem duas conferências, uma no DNS e outra na mensagem recebida. No terminal, use o dig:

• dig +short TXT seudominio.com.br mostra o SPF.
• dig +short TXT _dmarc.seudominio.com.br mostra o DMARC.
• dig +short TXT seletor._domainkey.seudominio.com.br mostra o DKIM, com o seletor do seu provedor no lugar de seletor.

A segunda conferência é no Gmail. Envie uma mensagem do seu domínio para uma conta do Gmail, abra-a, clique no menu de três pontos e escolha "Mostrar original". O topo mostra SPF, DKIM e DMARC com PASS ou FAIL. Se aparecer FAIL, compare o registro do DNS com o valor que o provedor mandou, caractere por caractere.

Site ou WordPress na VPS que envia e-mail

Se o seu site manda e-mail direto da VPS, como um WordPress enviando o formulário de contato, o IP da VPS precisa estar no SPF com ip4:, por exemplo ip4:203.0.113.10. O DNS reverso (PTR) do IP também conta para o Gmail. Sobre o DNS reverso, consulte o suporte da sua hospedagem. Se a sua hospedagem for a Eleven Host, você pode abrir um chamado.

Para montar o site em si, veja Instalar WordPress na VPS: passo a passo com Nginx.

Quer uma VPS para o seu site? Os planos de VPS começam em R$ 17,00/mês, no Plano Bronze; confira na loja o que cada plano inclui. Conhecer a VPS

Perguntas frequentes

Preciso dos três registros ou só de um?

Para o Gmail, a primeira faixa de exigências pede SPF ou DKIM, e quem envia mais de 5.000 mensagens por dia precisa de SPF, DKIM e DMARC. Configurar os três cobre os dois casos e reforça a proteção do domínio contra falsificação.

Posso ter dois registros SPF?

Não. Dois registros v=spf1 no mesmo domínio geram erro permanente. Junte os serviços em um registro só.

Qual política de DMARC devo usar?

Comece com p=none, leia os relatórios por algumas semanas, corrija os serviços esquecidos e então suba para quarantine e reject.

Configurei tudo e o e-mail ainda vai para o spam. E agora?

A entrega depende também do conteúdo, da reputação do IP e das reclamações dos destinatários. Confira o resultado em "Mostrar original" e acompanhe a taxa de spam no Postmaster Tools, que o Google pede abaixo de 0,3%.