Usa Microsoft 365 (antigo Office 365) com domínio próprio? Então preste atenção: o M365 já cuida do SPF, mas o DKIM costuma vir desligado e o DMARC não é criado sozinho. Veja como deixar os três corretos.
Passo 1 — SPF do Microsoft 365
O M365 envia os e-mails do seu domínio pelos servidores da Microsoft. Para autorizá-los, seu SPF precisa incluir o domínio de proteção do Outlook:
v=spf1 include:spf.protection.outlook.com -all
Se você também envia por outros serviços (marketing, ERP), some os include deles — sempre de olho no limite de 10 lookups. E lembre-se: só pode existir um registro SPF.
Passo 2 — Ative o DKIM (ele vem desligado!)
Este é o erro mais comum. Por padrão, o M365 assina os e-mails com o domínio onmicrosoft.com, e não com o seu — o que quebra o alinhamento do DMARC. Você precisa ativar o DKIM para o seu domínio:
- Acesse o Microsoft 365 Defender → Email & collaboration → Policies → DKIM.
- Selecione o seu domínio e clique em Enable.
- O painel vai pedir para criar dois registros CNAME no seu DNS (
selector1._domainkeyeselector2._domainkey), apontando para oonmicrosoft.com. - Crie os CNAMEs, volte e conclua a ativação.
Passo 3 — Publique o DMARC (o M365 não faz isso por você)
Crie um registro TXT no seu DNS, em _dmarc.suaempresa.com.br. Comece monitorando:
v=DMARC1; p=none; rua=mailto:[email protected]
Depois de confirmar nos relatórios que tudo está alinhado, avance para quarantine e reject, como no passo a passo geral.
Erros comuns com Microsoft 365
- Achar que o DKIM já está ativo. Quase nunca está para o domínio próprio — verifique.
- Esquecer o DMARC. O M365 cuida de SPF e DKIM, mas o registro
_dmarcé por sua conta. - Ter dois registros SPF (um antigo + o do Outlook). Una em um só.
- Enviar por serviços não alinhados sem incluí-los no SPF/DKIM, fazendo o DMARC reprovar e-mails legítimos.
Confira se ficou tudo certo
Depois de configurar, valide cada peça com as ferramentas gratuitas — incluindo o DKIM, informando o seletor selector1: