POR DENTRO // EMAIL

A viagem de um e-mail: SPF, DKIM e DMARC por dentro

O próprio e-mail conta a viagem: as camadas que ganha, os carimbos no cabeçalho e onde SPF, DKIM e DMARC decidem se ele vai para o spam.

Atualizado em 2026-10-14Explicação animada · 6 paradas

TESTAR MEU DOMÍNIO →

Eu sou o e-mail que você acabou de enviar

Venha comigo. No caminho vão me embrulhar, carimbar, abrir e conferir. É isso que decide se eu chego na caixa de entrada ou no spam. Use os botões ou as setas do teclado para avançar, e troque para Com falha para ver o mesmo caminho quando a identidade não fecha.

Parada 1 de 6

Parada 1 · Nascimento

Acabei de nascer

Sou só isto: quatro cabeçalhos e um texto. Antes de sair do notebook, o programa de e-mail me fecha num túnel TLS para eu chegar ao servidor do provedor sem ninguém me ler no caminho.

Túnel TLS até a porta 587, com login da loja

O túnel protege o trajeto, não a minha identidade. Quem eu sou ainda não foi provado para ninguém.

EU, POR DENTRO

ENVELOPE SMTP · só os servidores leem

From: Loja Exemplo <vendas@loja-exemplo.com.br>

To: ana@destino.com.br

Subject: Seu pedido 4821 foi enviado

Date: Wed, 14 Oct 2026 19:02:11 -0300

Olá, Ana! O seu pedido saiu hoje e chega até sexta…

Acabei de nascer. Sou só isto: quatro cabeçalhos e um texto. Antes de sair do notebook, o programa de e-mail me fecha num túnel TLS para eu chegar ao servidor do provedor sem ninguém me ler no caminho.

Ganhei um lacre. O túnel foi aberto e me tiraram dele. O servidor me assinou com a chave privada da loja e anotou que passei por ali. Também me colocou num envelope com o endereço de quem manda e de quem recebe.

Para onde eu vou?. Fico esperando na fila enquanto o servidor pergunta ao DNS quem recebe e-mail para destino.com.br. A resposta: mx1.destino.com.br, no endereço 192.0.2.40.

Embrulhado para viajar. Agora sim estou na internet. Me fecharam de novo num túnel TLS e, por fora, vai o endereço de rede: saí do IP 203.0.113.25 e vou para a porta 25 do servidor da Ana.

Hora da inspeção. Cheguei, tiraram o túnel e começaram a me examinar. Olharam o IP de onde vim e o domínio do envelope (SPF), conferiram o meu lacre com a chave pública no DNS da loja (DKIM) e viram se tudo bate com o From (DMARC).

Caixa de entrada. O envelope foi jogado fora; dele só ficou o Return-Path. Com a identidade provada, o filtro olhou reputação e conteúdo e me colocou na caixa de entrada da Ana.

As camadas em volta do e-mail

A mensagem que a Ana lê é só o miolo. Durante a viagem, ela passa por dentro de outras camadas que aparecem e somem em cada trecho:

Cabeçalhos e corpo: o que fica gravado na mensagem. Cada servidor acrescenta um Received no topo, como carimbos de passaporte, e o servidor de envio acrescenta a assinatura DKIM-Signature.
Envelope SMTP: o MAIL FROM e o RCPT TO que os servidores trocam entre si. Ele pode ser diferente do From que a pessoa vê, e é descartado na entrega. Só sobra uma cópia no Return-Path.
TLS: o túnel cifrado de cada trecho. Protege o conteúdo no caminho, mas não prova quem enviou.
TCP/IP: o endereço de rede de origem e de destino. É o IP de origem que o SPF confere.

REGRA PRÁTICA //

O DMARC só passa se o SPF ou o DKIM passarem com o mesmo domínio do From. Uma assinatura válida de outro domínio não serve.

Onde costuma quebrar

Serviço novo fora do SPF. A ferramenta de newsletter, o ERP ou o CRM manda e-mail com o seu domínio, mas o IP dele não está no registro SPF.
DKIM com o domínio de outro. O serviço assina com o domínio dele. A assinatura é válida, mas não alinha com o From e não conta para o DMARC.
Mais de 10 consultas no SPF. Cada include custa consultas DNS. Passou de 10, o SPF dá erro permanente e conta como falha.
DMARC endurecido cedo demais. Ir direto para p=reject sem ler os relatórios bloqueia envios legítimos que ninguém sabia que existiam. Veja DMARC: p=none, quarantine e reject.

Os registros, para consulta

Registro	Onde fica	Exemplo	Responde a
MX	`destino.com.br`	`10 mx1.destino.com.br.`	Para qual servidor eu entrego?
SPF	`loja-exemplo.com.br` (TXT)	`v=spf1 include:_spf.provedor.net -all`	Este IP pode enviar pelo domínio?
DKIM	`mail._domainkey.loja-exemplo.com.br` (TXT)	`v=DKIM1; k=rsa; p=MIIBIjAN…`	A assinatura confere e a mensagem não mudou?
DMARC	`_dmarc.loja-exemplo.com.br` (TXT)	`v=DMARC1; p=quarantine; rua=mailto:dmarc@loja-exemplo.com.br`	O que fazer se SPF e DKIM não alinharem com o From?

Para conferir o seu domínio, use o Email Health. Para ver os carimbos de uma mensagem real que você recebeu, cole o cabeçalho no Email Header Analyzer. O passo a passo com comandos está em Como verificar SPF, DKIM e DMARC.