SPF, DKIM e DMARC: como proteger o e-mail corporativo

Receber um e-mail com o nome e o domínio de uma empresa não significa, por si só, que a mensagem realmente saiu dos servidores autorizados por ela. A falsificação do remetente, conhecida como spoofing, é usada em golpes para tentar fazer uma mensagem parecer legítima.

SPF, DKIM e DMARC são mecanismos que ajudam os servidores de destino a verificar se um e-mail está coerente com as regras publicadas pelo domínio do remetente.

Eles não substituem MFA e proteção das contas, mas formam uma camada essencial da segurança e da reputação do e-mail corporativo.

O que é SPF?

SPF, ou Sender Policy Framework, é um registro publicado no DNS do domínio que informa quais servidores estão autorizados a enviar e-mails em nome dele.

Se uma empresa usa Microsoft 365, uma plataforma de marketing e um sistema de emissão de notas para enviar mensagens, todos esses serviços precisam ser considerados na política de envio.

Quando o servidor destinatário recebe um e-mail, ele pode comparar a origem da mensagem com o SPF publicado.

Erros comuns no SPF

• manter mais de uma política SPF separada para o mesmo domínio;
• esquecer sistemas que também enviam e-mail;
• deixar mecanismos antigos depois de trocar de provedor;
• usar configuração excessivamente permissiva;
• fazer alterações sem testar o impacto nos envios legítimos.

SPF precisa ser tratado como parte do inventário de serviços ligados ao domínio.

O que é DKIM?

DKIM, ou DomainKeys Identified Mail, adiciona uma assinatura criptográfica às mensagens enviadas.

O servidor de envio assina o e-mail com uma chave privada. A chave pública correspondente fica disponível no DNS. O destinatário usa essa informação para validar se a assinatura corresponde ao domínio e se partes relevantes da mensagem não foram alteradas depois do envio.

Na prática, DKIM ajuda a comprovar a autenticidade do fluxo de envio.

Em Microsoft 365, Google Workspace e várias plataformas de disparo, a ativação normalmente envolve publicar registros específicos no DNS e habilitar a assinatura no serviço.

O que é DMARC?

DMARC, ou Domain-based Message Authentication, Reporting and Conformance, usa os resultados de SPF e DKIM e acrescenta uma política definida pelo proprietário do domínio.

Essa política pode começar apenas em modo de observação e evoluir para ações mais restritivas.

Os modos mais conhecidos são:

• p=none monitora sem pedir bloqueio das mensagens que falham;
• p=quarantine orienta que mensagens suspeitas sejam tratadas de forma mais restritiva, por exemplo indo para spam;
• p=reject orienta rejeição quando as condições de autenticação e alinhamento não são atendidas.

DMARC também pode gerar relatórios que ajudam a descobrir quem está enviando e-mail usando o domínio.

Por que os três trabalham juntos?

SPF verifica a infraestrutura autorizada de envio. DKIM valida uma assinatura associada ao domínio. DMARC conecta esses mecanismos à identidade visível para o usuário e define a política.

Isso permite reduzir um cenário em que alguém envia uma mensagem de um servidor não autorizado tentando usar o domínio da empresa como remetente.

Nenhum dos três, isoladamente, resolve todo o problema.

Posso configurar DMARC direto como reject?

Tecnicamente é possível, mas fazer isso sem levantamento pode bloquear mensagens legítimas.

Empresas frequentemente possuem mais emissores do que imaginam: sistema financeiro, ERP, CRM, site, formulários, plataforma de newsletter, ferramenta de suporte, automação e aplicações internas.

Uma implantação segura normalmente começa pelo inventário de emissores e por uma fase de observação. Depois que os fluxos legítimos estão autenticados, a política pode ser endurecida.

O objetivo é chegar a uma proteção forte sem interromper processos reais.

SPF, DKIM e DMARC melhoram a entrega de e-mail?

Eles ajudam a construir uma base de autenticação e reputação, mas não garantem que todas as mensagens irão para a caixa de entrada.

Entregabilidade também depende de reputação do domínio e do IP, conteúdo, volume, comportamento dos destinatários, listas de envio e políticas dos provedores.

Uma empresa pode ter SPF, DKIM e DMARC corretos e ainda enfrentar problemas se fizer disparos inadequados ou usar uma infraestrutura com baixa reputação.

E-mails recebidos também precisam de proteção

Esses protocolos ajudam o destinatário a identificar mensagens falsificadas, mas a segurança das contas continua essencial.

Proteja o e-mail corporativo com:

• MFA;
• senhas únicas;
• revisão de sessões e dispositivos;
• processos de entrada e saída de funcionários;
• filtros antiphishing e antimalware;
• treinamento da equipe;
• limitação de privilégios administrativos.

O e-mail costuma ser a chave para redefinir senhas de muitos outros serviços. Por isso, uma conta comprometida pode gerar efeito em cadeia.

Quem deve administrar esses registros?

SPF, DKIM e DMARC ficam no DNS, mas dependem de conhecimento sobre todos os sistemas que enviam mensagens. Por isso, o responsável pelo domínio precisa trabalhar em conjunto com quem administra e-mail, ERP, site e plataformas externas.

Uma mudança de fornecedor sem atualização do DNS pode deixar registros antigos ou quebrar um fluxo legítimo.

Na SY Consultoria, a configuração de e-mail corporativo inclui domínio, usuários, segurança e revisão dos mecanismos de autenticação necessários para Microsoft 365, Google Workspace e serviços integrados.

Checklist prático

• Existe apenas um SPF válido e atualizado?
• Todos os serviços que enviam em nome do domínio estão mapeados?
• DKIM está ativado nos principais emissores?
• Existe política DMARC publicada?
• Os relatórios são acompanhados durante a implantação?
• Sistemas antigos foram removidos da política?
• Contas administrativas usam MFA?
• O domínio e o DNS possuem responsáveis definidos?

Perguntas frequentes

SPF impede alguém de falsificar meu endereço?

Ele ajuda os servidores de destino a identificar envios não autorizados, mas a proteção é mais completa quando combinado com DKIM e DMARC.

DKIM criptografa o conteúdo do e-mail?

Não. DKIM usa assinatura criptográfica para autenticação e integridade de partes da mensagem, mas não é uma ferramenta de criptografia do conteúdo para o destinatário.

DMARC pode bloquear e-mail legítimo?

Sim, se a política for aplicada antes de mapear e autenticar todos os emissores válidos. Por isso, a implantação deve ser gradual e monitorada.

Preciso disso usando Microsoft 365 ou Google Workspace?

Sim. As plataformas oferecem suporte a esses mecanismos, mas o domínio precisa ser configurado corretamente e os demais emissores também devem ser considerados.