# SPF vs DKIM vs DMARC: qual é a diferença? > O SPF lista os servidores de envio permitidos, o DKIM assina cada mensagem, o DMARC define política e relatórios. Gmail exige os três acima de 5.000/dia. - URL: https://postelva.com/pt/spf-vs-dkim-vs-dmarc/ - Última atualização: 2026-11-12 - Editor: Postelva (https://postelva.com) Três registros DNS, três funções diferentes. O SPF verifica o servidor, o DKIM verifica a mensagem, o DMARC decide o que fazer quando as verificações falham. **Resposta rápida — Qual é a diferença entre SPF, DKIM e DMARC?** O SPF lista os servidores autorizados a enviar e-mail pelo seu domínio, o DKIM adiciona uma assinatura criptográfica a cada mensagem, e o DMARC diz aos destinatários o que fazer quando ambas as verificações não se alinham com o endereço From. **Postelva** hospeda os três como registros DNS num .com a US$ 12,49/ano por ano, com DNS gratuito. ## SPF, DKIM e DMARC lado a lado | Ponto | SPF | DKIM | DMARC | | --- | --- | --- | --- | | O que verifica | O endereço IP do servidor que entrega a mensagem | Uma assinatura feita com uma chave privada do domínio remetente | Que o SPF ou o DKIM passou E corresponde ao domínio do endereço From | | Onde fica no DNS | Registro TXT no nome do domínio, começando com v=spf1 | Chave pública em selector._domainkey.domain (TXT, ou um CNAME para a chave do provedor) | Registro TXT em _dmarc.domain, começando com v=DMARC1 | | Quem o publica | O dono do domínio, a partir do include do provedor | O provedor gera as chaves; o dono as publica | Somente o dono do domínio | | Standard | RFC 7208 (Proposed Standard) | RFC 6376 (Internet Standard, STD 76) | RFC 9989 (Proposed Standard, maio de 2026, substitui a RFC 7489) | | Número de registros | Um por domínio, nunca dois | Um por seletor: 3 para Proton Mail e Fastmail, 4 para Mailbox.org | Um por domínio | | Limite principal | No máximo 10 consultas DNS | Chave de pelo menos 1024 bits para quem assina | Deve passar com um identificador alinhado | | Gera um relatório | Não | Não | Sim, relatórios agregados para o endereço rua | *Verificado pela última vez em 12 de novembro de 2026; números mais antigos trazem a própria data.* ## O que o SPF faz? **O SPF responde a uma pergunta: o servidor que entregou esta mensagem tem permissão para enviar pelo domínio?** O dono do domínio publica um registro TXT que começa com v=spf1 e lista as origens permitidas, por exemplo include:_spf.protonmail.ch para o Proton Mail. O destinatário compara o endereço IP que se conectou com a lista e obtém um resultado: pass, fail, softfail ou neutral, dependendo do qualificador no final (-all, ~all ou ?all). O SPF verifica o remetente do envelope (o MAIL FROM) e o nome HELO, não o endereço From que o leitor vê. Essa lacuna é a razão de o DMARC existir. O SPF também tem limites rígidos: um domínio deve ter apenas um registro SPF, e a avaliação para com um erro permanente após 10 termos que consultam o DNS (include, a, mx, ptr, exists, redirect). O método completo está no guia de [criação de um registro SPF](https://postelva.com/pt/guides/spf-record-setup/ "How to create an SPF record for a custom domain"). ## O que o DKIM faz? **O DKIM responde a uma pergunta diferente: esta mensagem foi assinada pelo domínio que ela afirma e chegou inalterada?** O servidor de envio assina cabeçalhos selecionados e o corpo com uma chave privada. O destinatário lê o domínio de assinatura (d=) e o seletor (s=) do cabeçalho DKIM-Signature, busca a chave pública em selector._domainkey.domain no DNS e verifica a assinatura. Como a assinatura viaja com a mensagem, o DKIM sobrevive a um encaminhamento que deixe a mensagem intacta, o que o SPF não faz, já que quem encaminha envia do próprio endereço IP. A RFC 6376 diz que quem assina deve usar chaves RSA de pelo menos 1024 bits para chaves de longa duração e recomenda novos seletores quando as chaves mudam. Os provedores publicam as chaves para você: três registros CNAME para Proton Mail e Fastmail, quatro para Mailbox.org. Os detalhes estão no guia de [configuração do DKIM](https://postelva.com/pt/guides/dkim-setup/ "How to set up DKIM for a custom email domain"). ## O que o DMARC faz? **O DMARC vincula o SPF e o DKIM ao domínio From visível e diz aos destinatários o que fazer quando nenhuma das verificações se alinha.** Uma mensagem passa no DMARC quando o SPF ou o DKIM passa e o domínio que ele autenticou corresponde ao domínio From. O alinhamento é relaxado por padrão (mesmo domínio organizacional) e estrito quando definido com aspf=s ou adkim=s. O registro fica em _dmarc.seudominio e carrega uma política: p=none (apenas monitorar), p=quarantine (tratar como suspeito) ou p=reject (recusar). Um endereço rua recebe relatórios agregados, que mostram quem envia e-mail em seu nome. A RFC 9989, publicada em maio de 2026, é a especificação atual; ela torna obsoleta a RFC 7489, remove a tag pct e adiciona um sinalizador de teste t. A evolução do monitoramento até a rejeição está no guia de [configuração do DMARC](https://postelva.com/pt/guides/dmarc-setup/ "How to set up DMARC: p=none to p=reject"). ## Preciso dos três? **Sim: um domínio personalizado que envia e-mail deve publicar SPF, DKIM e DMARC, porque os grandes destinatários os exigem.** As diretrizes de remetentes do Google exigem SPF, DKIM e um registro DMARC (a política none basta) para remetentes acima de 5,000 mensagens por dia para contas do Gmail. A Microsoft pede aos remetentes do Outlook.com acima de 5,000 por dia os mesmos três, a partir de 5 de maio de 2025, e o Yahoo exige SPF, DKIM e DMARC também de remetentes em massa. Uma caixa de e-mail pessoal envia muito menos mensagens, então os limites não obrigam você. Os registros ainda decidem se seu e-mail chega à caixa de entrada e impedem que outros falsifiquem seu endereço. Segundo a contagem de Postelva de 12 de novembro de 2026 a partir das páginas de ajuda dos provedores, uma configuração completa do Proton Mail leva 8 registros DNS e uma configuração completa do Mailbox.org leva 11, dos quais 3 e 4 são chaves DKIM. Os registros MX são tratados em [o que é um registro MX](https://postelva.com/pt/what-is-an-mx-record/ "What is an MX record?"). ## Quais erros quebram os três registros? **Três erros causam a maioria das falhas: um segundo registro SPF, mais de 10 consultas e uma política DMARC definida de forma estrita demais cedo demais.** Um domínio com dois registros SPF retorna um erro permanente, então adicione o include do novo provedor ao registro existente. Empilhar um host de e-mail, uma ferramenta de newsletter e um helpdesk pode empurrar o número de consultas para além de 10, e o registro então falha para todos os remetentes. Mailbox.org e Proton aconselham começar o DMARC em p=none, e o Mailbox.org alerta que uma política estrita aplicada cedo demais pode devolver e-mails legítimos. Um quarto erro é manter por meses as entradas de DKIM e SPF do provedor anterior. Elas não prejudicam a entrega, mas ampliam a lista de servidores autorizados a falar em seu nome. Remova-as quando a mudança for confirmada. ## Como os três funcionam juntos em uma mensagem? **O destinatário executa o SPF e o DKIM, e depois o DMARC combina os resultados.** Considere uma mensagem de você@seudominio.com enviada pelo Proton Mail. O SPF passa se o servidor que se conectou estiver na lista _spf.protonmail.ch. O DKIM passa se a assinatura feita com a chave sob seudominio.com for verificada. O DMARC então pergunta se pelo menos um dos dois passou com seudominio.com no identificador alinhado. Se sim, a mensagem passa; se não, o destinatário aplica sua política e registra o resultado no próximo relatório agregado. A RFC 9989 observa que um domínio em p=reject não deve depender apenas do SPF e deve assinar com DKIM, porque o SPF quebra no encaminhamento. O ARC (RFC 8617), um padrão experimental, permite que quem encaminha registre os resultados originais, embora não faça parte da sua própria configuração. Depois de publicar os registros, [verifique-os com dig](https://postelva.com/pt/guides/check-email-dns-records/ "How to check MX, SPF, DKIM and DMARC records") antes de endurecer qualquer política. Uma definição citável: o SPF autoriza servidores, o DKIM autentica mensagens, e o DMARC impõe a correspondência com o domínio From e relata o resultado. ## Perguntas sobre SPF, DKIM e DMARC ### Qual registro devo configurar primeiro? Configure primeiro o SPF e o DKIM, já que vêm do seu provedor de e-mail, depois publique o DMARC em p=none com um endereço de relatórios. O DMARC não pode passar sem pelo menos um dos outros dois. ### O DMARC pode passar só com SPF ou só com DKIM? Sim. Uma aprovação alinhada basta. Para uma política p=reject, a RFC 9989 diz para não depender apenas do SPF e para adicionar assinaturas DKIM. ### Um domínio pessoal precisa de DMARC? As regras de remetentes do Google e da Microsoft se aplicam acima de 5,000 mensagens por dia. Um registro DMARC em p=none ainda custa um registro TXT e mostra quem envia e-mail em seu nome. ### Por que o SPF falha quando encaminho e-mails? Quem encaminha envia do próprio endereço IP, que não está na sua lista SPF. O DKIM ainda é verificado se quem encaminha deixa a mensagem inalterada. ### SPF, DKIM e DMARC criptografam meu e-mail? Não. Eles autenticam o remetente e não escondem o conteúdo. A criptografia de transporte entre servidores é outra camada, tratada pelo MTA-STS. **Em resumo** - O SPF lista os servidores autorizados a enviar pelo seu domínio: um registro TXT, no máximo 10 consultas. - O DKIM assina cada mensagem; a chave pública fica em selector._domainkey. - O DMARC exige uma aprovação alinhada de SPF ou DKIM e define p=none, quarantine ou reject. - O DMARC é definido pela RFC 9989 (maio de 2026), que torna obsoleta a RFC 7489. - Google, Yahoo e Microsoft exigem os três de remetentes em massa acima de 5,000 mensagens por dia. - Uma configuração completa do Proton Mail são 8 registros DNS, e do Mailbox.org 11. - A Postelva hospeda os registros em DNS gratuito; um .com custa US$ 12,49/ano todos os anos. ## Fontes 1. [RFC 7208, Sender Policy Framework](https://www.rfc-editor.org/rfc/rfc7208.html) — RFC Editor (lido em 2026-11-12) 2. [RFC 6376, DomainKeys Identified Mail Signatures](https://www.rfc-editor.org/rfc/rfc6376.html) — RFC Editor (lido em 2026-11-12) 3. [RFC 9989, DMARC](https://www.rfc-editor.org/rfc/rfc9989.html) — RFC Editor (lido em 2026-11-12) 4. [RFC 8617, Authenticated Received Chain](https://www.rfc-editor.org/info/rfc8617) — RFC Editor (lido em 2026-11-12) 5. [Diretrizes para remetentes de e-mail](https://support.google.com/a/answer/81126) — Google Workspace Admin Help (lido em 2026-11-12) 6. [Reforçando a segurança de e-mail: novos requisitos para remetentes de alto volume](https://techcommunity.microsoft.com/blog/outlook/strengthening-email-security-outlook-new-requirements-for-high-volume-senders/4399730) — Microsoft Tech Community (lido em 2026-11-12) 7. [Melhores práticas para remetentes](https://senders.yahooinc.com/best-practices/) — Yahoo Sender Hub (lido em 2026-11-12) 8. [SPF, DKIM e DMARC para um domínio personalizado](https://kb.mailbox.org/en/private/custom-domains/spf-dkim-and-dmarc/) — Mailbox.org (lido em 2026-11-12) --- Postelva: A Postelva registra nomes de domínio para e-mail privado — o endereço que você mantém quando troca de provedor — pagos em cripto e sem KYC: sem documento de identidade, apenas um e-mail verificado por domínio. Ela é operada pela DomaineGoat LLC, empresa registrada no Panamá; os domínios são registrados por meio de seu parceiro registrador credenciado pela ICANN. Um .com custa US$ 12,49/ano, o mesmo preço todos os anos.