SPF vs DKIM vs DMARC: qual é a diferença?

O que o SPF faz?

O SPF responde a uma pergunta: o servidor que entregou esta mensagem tem permissão para enviar pelo domínio? O dono do domínio publica um registro TXT que começa com v=spf1 e lista as origens permitidas, por exemplo include:_spf.protonmail.ch para o Proton Mail. O destinatário compara o endereço IP que se conectou com a lista e obtém um resultado: pass, fail, softfail ou neutral, dependendo do qualificador no final (-all, ~all ou ?all).

O SPF verifica o remetente do envelope (o MAIL FROM) e o nome HELO, não o endereço From que o leitor vê. Essa lacuna é a razão de o DMARC existir. O SPF também tem limites rígidos: um domínio deve ter apenas um registro SPF, e a avaliação para com um erro permanente após 10 termos que consultam o DNS (include, a, mx, ptr, exists, redirect). O método completo está no guia de criação de um registro SPF.

O que o DKIM faz?

O DKIM responde a uma pergunta diferente: esta mensagem foi assinada pelo domínio que ela afirma e chegou inalterada? O servidor de envio assina cabeçalhos selecionados e o corpo com uma chave privada. O destinatário lê o domínio de assinatura (d=) e o seletor (s=) do cabeçalho DKIM-Signature, busca a chave pública em selector._domainkey.domain no DNS e verifica a assinatura.

Como a assinatura viaja com a mensagem, o DKIM sobrevive a um encaminhamento que deixe a mensagem intacta, o que o SPF não faz, já que quem encaminha envia do próprio endereço IP. A RFC 6376 diz que quem assina deve usar chaves RSA de pelo menos 1024 bits para chaves de longa duração e recomenda novos seletores quando as chaves mudam. Os provedores publicam as chaves para você: três registros CNAME para Proton Mail e Fastmail, quatro para Mailbox.org. Os detalhes estão no guia de configuração do DKIM.

O que o DMARC faz?

O DMARC vincula o SPF e o DKIM ao domínio From visível e diz aos destinatários o que fazer quando nenhuma das verificações se alinha. Uma mensagem passa no DMARC quando o SPF ou o DKIM passa e o domínio que ele autenticou corresponde ao domínio From. O alinhamento é relaxado por padrão (mesmo domínio organizacional) e estrito quando definido com aspf=s ou adkim=s.

O registro fica em _dmarc.seudominio e carrega uma política: p=none (apenas monitorar), p=quarantine (tratar como suspeito) ou p=reject (recusar). Um endereço rua recebe relatórios agregados, que mostram quem envia e-mail em seu nome. A RFC 9989, publicada em maio de 2026, é a especificação atual; ela torna obsoleta a RFC 7489, remove a tag pct e adiciona um sinalizador de teste t. A evolução do monitoramento até a rejeição está no guia de configuração do DMARC.

Preciso dos três?

Sim: um domínio personalizado que envia e-mail deve publicar SPF, DKIM e DMARC, porque os grandes destinatários os exigem. As diretrizes de remetentes do Google exigem SPF, DKIM e um registro DMARC (a política none basta) para remetentes acima de 5,000 mensagens por dia para contas do Gmail. A Microsoft pede aos remetentes do Outlook.com acima de 5,000 por dia os mesmos três, a partir de 5 de maio de 2025, e o Yahoo exige SPF, DKIM e DMARC também de remetentes em massa.

Uma caixa de e-mail pessoal envia muito menos mensagens, então os limites não obrigam você. Os registros ainda decidem se seu e-mail chega à caixa de entrada e impedem que outros falsifiquem seu endereço. Segundo a contagem de Postelva de 12 de novembro de 2026 a partir das páginas de ajuda dos provedores, uma configuração completa do Proton Mail leva 8 registros DNS e uma configuração completa do Mailbox.org leva 11, dos quais 3 e 4 são chaves DKIM. Os registros MX são tratados em o que é um registro MX.

Quais erros quebram os três registros?

Três erros causam a maioria das falhas: um segundo registro SPF, mais de 10 consultas e uma política DMARC definida de forma estrita demais cedo demais. Um domínio com dois registros SPF retorna um erro permanente, então adicione o include do novo provedor ao registro existente. Empilhar um host de e-mail, uma ferramenta de newsletter e um helpdesk pode empurrar o número de consultas para além de 10, e o registro então falha para todos os remetentes. Mailbox.org e Proton aconselham começar o DMARC em p=none, e o Mailbox.org alerta que uma política estrita aplicada cedo demais pode devolver e-mails legítimos.

Um quarto erro é manter por meses as entradas de DKIM e SPF do provedor anterior. Elas não prejudicam a entrega, mas ampliam a lista de servidores autorizados a falar em seu nome. Remova-as quando a mudança for confirmada.

Como os três funcionam juntos em uma mensagem?

O destinatário executa o SPF e o DKIM, e depois o DMARC combina os resultados. Considere uma mensagem de você@seudominio.com enviada pelo Proton Mail. O SPF passa se o servidor que se conectou estiver na lista _spf.protonmail.ch. O DKIM passa se a assinatura feita com a chave sob seudominio.com for verificada. O DMARC então pergunta se pelo menos um dos dois passou com seudominio.com no identificador alinhado. Se sim, a mensagem passa; se não, o destinatário aplica sua política e registra o resultado no próximo relatório agregado.

A RFC 9989 observa que um domínio em p=reject não deve depender apenas do SPF e deve assinar com DKIM, porque o SPF quebra no encaminhamento. O ARC (RFC 8617), um padrão experimental, permite que quem encaminha registre os resultados originais, embora não faça parte da sua própria configuração. Depois de publicar os registros, verifique-os com dig antes de endurecer qualquer política.

Uma definição citável: o SPF autoriza servidores, o DKIM autentica mensagens, e o DMARC impõe a correspondência com o domínio From e relata o resultado.