E-mails da Plataforma Indo para o Spam? SPF, DKIM e DMARC Explicados

Um membro faz um depósito, e o e-mail de confirmação vai para o spam. Ele não culpa o Gmail — ele culpa você, e abre um chamado de suporte com um tom áspero. A entregabilidade de e-mails é uma das partes menos glamourosas e mais críticas para a confiança ao operar uma plataforma. A boa notícia: ela se resume, em grande parte, a três registros DNS e a alguns hábitos.

Os três registros que decidem onde o seu e-mail cai

SPF: quem pode enviar pelo seu domínio

Um registro SPF é uma linha no seu DNS que lista os servidores autorizados a enviar e-mail pelo seu domínio. Sem ele, qualquer pessoa no mundo pode enviar e-mails dizendo ser você, e os filtros de recebimento tratam as suas mensagens genuínas com suspeita como resultado. Com ele, o servidor da sua plataforma e a sua caixa de e-mail comercial estão na lista de convidados; os spammers, não.

O detalhe que pega as pessoas de surpresa: todos os remetentes precisam estar nessa lista. Se a sua plataforma envia a partir do servidor, mas a sua caixa de suporte envia por um provedor de e-mail separado, os dois pertencem ao registro. Deixe um de fora, e esse fluxo de e-mails perfeitamente genuínos começa a falhar nas verificações — geralmente descoberto por um membro, em um chamado, depois que um aviso de pagamento nunca chegou.

DKIM: uma assinatura em cada mensagem

O DKIM anexa uma assinatura criptográfica a cada e-mail enviado. O receptor a confere com uma chave no seu DNS e sabe duas coisas: o e-mail realmente veio do seu domínio, e ninguém o alterou no caminho. E-mails sem assinatura vindos de uma plataforma financeira são exatamente o que os filtros modernos são treinados para desconfiar.

A assinatura só conta se a chave no seu DNS realmente corresponder à chave privada com a qual o seu servidor assina. Publique uma chave que o servidor não possui — depois de uma migração, por exemplo, ou de uma reinstalação do painel — e o seu e-mail sai sem assinatura, enquanto todas as páginas de configurações continuam insistindo que o DKIM está ligado. É a falha mais silenciosa de todo este artigo, e a seção de testes abaixo é como você a detecta.

DMARC: a política que une os dois

O DMARC diz aos receptores o que fazer com e-mails que falham no SPF ou no DKIM — monitorá-los, colocá-los em quarentena ou rejeitá-los. Mesmo começar com uma política de monitoramento melhora a forma como os filtros pontuam o seu domínio, e os relatórios que ele gera mostram quem mais está enviando (ou fingindo enviar) como você.

O DMARC também acrescenta a verificação que falta aos outros dois: o domínio que o seu membro realmente vê na linha De precisa estar alinhado com os domínios autenticados pelo SPF e pelo DKIM. Essa regra de alinhamento é o que impede uma configuração de envio parecida de passar por um detalhe técnico. Na prática, implemente em etapas — monitore primeiro enquanto lê os relatórios, depois coloque em quarentena, e então rejeite quando tiver certeza de que nenhum remetente legítimo ficou de fora.

Configurar os três corretamente é um trabalho único; também é um dos serviços no nosso hub de serviços, porque fazer isso pela metade é pior do que parece — uma chave DKIM quebrada envenena um domínio silenciosamente por semanas. O nosso serviço Business Email Setup cobre exatamente esse terreno: SPF e DKIM configurados em uma caixa de e-mail no seu próprio domínio no nível Basic de $20, e o conjunto completo — SPF, DKIM e DMARC, até cinco caixas de e-mail — por $50, com o e-mail testado para confirmar que chega à caixa de entrada.

Leia os seus relatórios DMARC, pelo menos no início

Os relatórios que o DMARC gera são o diagnóstico mais subutilizado do e-mail de plataforma. Os grandes provedores de caixas de e-mail enviam resumos agregados dos e-mails que receberam dizendo ser do seu domínio: quais servidores os enviaram, quanto passou na autenticação e quanto não passou. Nas primeiras semanas após a configuração, esses relatórios são como você encontra o remetente que esqueceu — um formulário de contato antigo, um segundo provedor de caixa de e-mail, uma instalação de teste em um subdomínio — antes que uma política mais rígida comece a rejeitar os e-mails dele. Depois, eles são um sistema de alerta precoce: uma origem que você não reconhece, enviando como você e falhando, é uma falsificação contra a qual você pode agir enquanto ainda é pequena.

Hábitos que ajudam (e prejudicam)

• Envie a partir do seu próprio domínio. Os e-mails da plataforma devem vir de endereços no seu domínio, em um e-mail comercial adequado — nunca de uma caixa de e-mail gratuita.
• Aqueça um domínio novo. Um domínio novinho enviando centenas de mensagens no primeiro dia corresponde quase exatamente ao perfil de um spammer. Aumente o volume ao longo das primeiras semanas.
• Mantenha o conteúdo limpo. Assuntos em tom de grito, URLs encurtadas e e-mails só com imagem são sinais clássicos de spam.
• Processe os seus bounces. Enviar repetidamente para endereços mortos prejudica a reputação de remetente também para todos os outros membros.
• Separe os fluxos. E-mail transacional (depósitos, redefinições) é sagrado. Envios de marketing a partir do mesmo domínio o colocam em risco; use um subdomínio se precisar enviá-los.
• Reteste após cada mudança. Uma mudança de hospedagem, um novo provedor de caixa de e-mail ou uma limpeza no DNS pode quebrar silenciosamente um dos três registros. Os registros apontam para remetentes; mude um remetente e o registro precisa mudar junto.

Teste do jeito que um membro vivencia

Crie contas de teste nos principais provedores de caixa de e-mail e dispare todos os e-mails que a sua plataforma envia: cadastro, confirmação de depósito, aviso de pagamento, redefinição de senha. Verifique onde cada um cai e veja os resultados de autenticação nos cabeçalhos da mensagem — você quer ver SPF aprovado, DKIM aprovado, DMARC aprovado. Quinze minutos disso encontram problemas que, de outro modo, os seus membros encontrariam por você, em público, no pior momento. Isso pertence à mesma lista de verificação pré-lançamento dos itens do nosso guia de lançamento GoldCoders.

Observe os cabeçalhos, e não só a pasta. Um e-mail pode chegar à caixa de entrada em um dia bom com uma assinatura quebrada por baixo, porque a reputação o carregou — e reputação é um colchão, não uma correção. As linhas do cabeçalho são a evidência: elas dizem claramente quais verificações foram executadas e quais passaram, para aquela mensagem exata, daquele fluxo exato.

Por que isso importa além da caixa de entrada

A entregabilidade também é, silenciosamente, um recurso de segurança: SPF, DKIM e DMARC são o que impede estranhos de enviar e-mails falsos convincentes de “problema no pagamento” em seu nome. Se ainda não o fez, leia a nossa lista de verificação de reforço da plataforma — a configuração de e-mail do seu domínio faz parte das defesas da sua plataforma.

Da nossa própria mesa

O nosso próprio domínio passa em SPF, DKIM e DMARC — nós os verificamos cabeçalho por cabeçalho quando configuramos o e-mail da HyipTemplates, porque as nossas confirmações de pedido e respostas de suporte viajam pelo mesmo canal em que os nossos clientes confiam. Quando um único desses registros estava errado durante a configuração, o nosso próprio e-mail de teste caiu no spam em menos de uma hora. É assim que isso aparece rápido. Se você prefere não viver dentro de registros DNS, esse é todo o trabalho da nossa configuração de e-mail comercial, disponível na nossa loja — SPF, DKIM e DMARC configurados e testados com mensagens reais.

Conclusão

Publique registros SPF, DKIM e DMARC corretos, envie a partir do seu próprio domínio com um e-mail comercial de verdade, aqueça gradualmente e teste cada tipo de mensagem como um membro. As suas confirmações vão chegar à caixa de entrada — e os membros vão parar de se perguntar para onde elas foram.

Perguntas frequentes

Configurei SPF, DKIM e DMARC, mas o e-mail ainda cai no spam. Por quê?

A autenticação prova que o e-mail realmente veio do seu domínio; ela não torna o e-mail bem-vindo. Domínios novos começam sem reputação, então as primeiras mensagens são julgadas com mais rigor — mantenha o volume honesto, nunca envie para listas que você não conquistou e deixe algumas semanas de envios limpos construírem o histórico. Se até um registro estiver desalinhado — o domínio do DKIM não corresponder ao domínio do De, por exemplo — toda a prova balança, então verifique o alinhamento antes de culpar a reputação.

Quanto tempo as mudanças nos registros DNS levam para fazer efeito?

Geralmente de minutos a algumas horas, ocasionalmente até um dia enquanto os caches expiram. Mude um registro de cada vez e teste depois de cada um — três mudanças ao mesmo tempo transformam qualquer falha em um jogo de adivinhação.

O DMARC pode quebrar o meu e-mail se eu o configurar errado?

Sim, se você pular direto para uma política rígida. Comece com p=none, que só gera relatórios, leia os relatórios até eles mostrarem os seus remetentes reais passando, e só então avance para quarentena ou rejeição. A política é um botão giratório, não um interruptor — a nossa configuração de e-mail comercial segue a mesma ordem.