SPF, DKIM e DMARC parecem três siglas confusas que fazem a mesma coisa. Não fazem. Cada uma resolve uma parte diferente do problema — e só juntas elas protegem o seu domínio de verdade. Vamos usar uma analogia simples: o envio de uma carta registrada.
SPF — a lista de remetentes autorizados
Imagine que os Correios têm uma lista de quem pode postar cartas em seu nome. Se chega uma carta de alguém que não está na lista, ela é tratada como suspeita.
O SPF (Sender Policy Framework) é exatamente isso: um registro no seu DNS que diz quais servidores estão autorizados a enviar e-mail pelo seu domínio. Quando o Gmail recebe uma mensagem, ele checa se o servidor que enviou está nessa lista.
Limitações: o SPF olha só o "envelope" e quebra quando o e-mail é encaminhado. Por isso ele não basta sozinho.
DKIM — o lacre inviolável
Agora imagine que cada carta leva um lacre de cera com o seu brasão. Se alguém abrir ou adulterar a carta no caminho, o lacre quebra e o destinatário percebe.
O DKIM (DomainKeys Identified Mail) faz isso com criptografia: cada e-mail recebe uma assinatura digital. O provedor que recebe usa a sua chave pública (publicada no DNS) para confirmar que a mensagem é autêntica e não foi alterada. Diferente do SPF, o DKIM sobrevive ao encaminhamento.
DMARC — a regra e o relatório
SPF e DKIM checam a identidade, mas não dizem o que fazer quando algo falha — nem avisam você de que falhou. É aqui que entra o DMARC.
Ele faz duas coisas que faltavam:
- Alinhamento: garante que o domínio verificado pelo SPF/DKIM seja o mesmo que o destinatário vê no campo "De". Sem isso, um golpista poderia passar no SPF com o domínio dele e ainda fingir ser você.
- Política + relatórios: define o que fazer com quem falha (
none,quarantineoureject) e envia relatórios diários do que circula em seu nome.
Resumo em uma tabela
| SPF | DKIM | DMARC | |
|---|---|---|---|
| O que faz | Lista servidores autorizados | Assina a mensagem | Define política + alinhamento + relatórios |
| Onde fica | TXT no domínio | TXT no seletor | TXT em _dmarc |
| Sobrevive a encaminhamento? | Não | Sim | Depende do SPF/DKIM |
| Gera relatórios? | Não | Não | Sim |
Por que você precisa dos três
Pense assim: o SPF e o DKIM são as provas de identidade; o DMARC é a autoridade que confere essas provas, decide o que fazer e te mantém informado. Faltando qualquer um, sobra uma brecha.
Veja como cada um está no seu domínio agora: