SPF, DKIM e DMARC: como conferir e corrigir no seu domínio

Este artigo é para quem quer conferir se o domínio está autenticando corretamente os e-mails enviados, ou recebeu um erro citando SPF, DKIM ou DMARC. Esses três registros ficam no DNS do domínio e ajudam os provedores (Gmail, Outlook, Yahoo e outros) a confiar nas suas mensagens.

O que cada registro faz

• SPF: um registro TXT que lista quais servidores podem enviar e-mails pelo seu domínio.
• DKIM: uma assinatura digital colocada em cada mensagem. A chave pública fica em um registro TXT no DNS.
• DMARC: um registro TXT que diz aos provedores o que fazer quando o SPF ou o DKIM falham, e para onde mandar relatórios.

Como fica o SPF na ValueHost

O SPF dos domínios hospedados na ValueHost autoriza o servidor da hospedagem e também os serviços de envio usados pela ValueHost. Por isso ele costuma ter, além do IP ou do +a +mx do servidor, inclusões como estas:

include:spf.antispamcloud.com
include:relay.mailbaby.net

Em alguns servidores a inclusão do relay aparece como include:spf-c.mailbaby.net. O valor exato muda de servidor para servidor. Não remova essas inclusões: sem elas, parte dos envios é recusada ou devolvida como spam.

Regras importantes:

• O domínio deve ter um único registro SPF. Vários registros TXT começando com v=spf1 fazem a verificação falhar.
• Se você usa outros serviços que enviam pelo seu domínio (Google Workspace, Microsoft 365, plataforma de marketing, sistema de notas fiscais), as inclusões deles precisam entrar no mesmo registro.

Onde conferir e corrigir

cPanel

1. Acesse o cPanel e abra Entregabilidade de e-mail (Email Deliverability).
2. Veja o status do SPF e do DKIM do domínio. Quando há problema, a tela mostra o valor sugerido.
3. Se o DNS do domínio está na ValueHost, use o botão de reparo da própria tela ou abra um ticket para a equipe corrigir.

Os registros também podem ser editados no Editor de zona do cPanel.

DirectAdmin e Plesk

Os registros ficam na gestão de DNS do domínio no painel. Se tiver dúvida sobre o valor correto, abra um ticket: a equipe confere e corrige o SPF e o DKIM quando o DNS está na ValueHost.

DNS em outro provedor (Cloudflare, registro.br, Wix e outros)

Quando o DNS do domínio fica fora da ValueHost, as correções precisam ser feitas lá. Copie os valores exatamente como o painel mostra (no cPanel, em Entregabilidade de e-mail) ou como a equipe informar no ticket:

• SPF: registro TXT no nome do próprio domínio.
• DKIM: registro TXT com o nome indicado pelo painel, por exemplo default._domainkey ou x._domainkey, e o valor completo que começa com v=DKIM1;. Copie a chave inteira, sem quebrar nem cortar.

DMARC

Confira em Entregabilidade de e-mail (cPanel) ou no DNS se o domínio já tem um registro DMARC. Se não tiver e você quiser criar, comece só com monitoramento:

Nome: _dmarc
Tipo: TXT
Valor: v=DMARC1; p=none

No cPanel, o Editor de zona tem um formulário próprio para isso: clique em Gerenciar no domínio, clique na seta ao lado de Adicionar registro e escolha DMARC. O formulário pede a política (none, quarantine ou reject) e, se você quiser, os endereços que vão receber os relatórios. Comece com none e salve.

Mantenha um único registro DMARC. Só mude para políticas mais restritivas (quarantine ou reject) depois de ter certeza de que todos os serviços que enviam pelo seu domínio passam no SPF ou no DKIM.

Depois de alterar

Mudanças de DNS levam algumas horas para propagar e podem chegar a 24 horas. Teste os envios depois desse prazo. Bons registros ajudam muito, mas não garantem a caixa de entrada: cada provedor também avalia conteúdo, volume e reputação.

Se não resolver

Abra um ticket com:

• o domínio;
• onde está o DNS do domínio (ValueHost ou outro provedor);
• a mensagem de erro completa que cita SPF, DKIM ou DMARC, com remetente, destinatário, data e horário;
• os serviços externos que também enviam e-mails pelo domínio.

Não envie senhas no ticket. Se a equipe precisar acessar o seu DNS externo, ela vai orientar como dar acesso com segurança.