Guia
SPF, DKIM e DMARC: proteger o e-mail de uma PME
O SPF, o DKIM e o DMARC impedem que sejam enviados e-mails falsos em seu nome e ajudam as suas mensagens verdadeiras a chegar ao destino. A Google, a Yahoo e a Microsoft já os exigem aos grandes remetentes. Eis o que fazem, explicado de forma clara, e como os implementar sem bloquear as suas próprias faturas.
Atualizado a 18 de outubro de 2026 · Os números têm as fontes indicadas no fundo da página; as apreciações são da IT CyberWall.
Porque é um assunto seu
Qualquer pessoa pode enviar um e-mail que parece vir do seu domínio: uma fatura falsa aos seus clientes, uma ordem de transferência falsa ao seu contabilista. Três configurações, publicadas no DNS do seu nome de domínio, permitem aos serviços de e-mail dos seus destinatários reconhecer as suas mensagens verdadeiras. Protegem o seu e-mail e a sua reputação, não os seus dados: não são uma cópia de segurança.
SPF, DKIM e DMARC explicados
| Configuração | O que diz | Imagem |
|---|---|---|
| SPF | A lista dos servidores autorizados a enviar mensagens em nome do seu domínio[1]. | A lista dos carteiros autorizados. |
| DKIM | Uma assinatura digital acrescentada a cada mensagem, que liga a mensagem ao seu domínio[2]. | O carimbo da empresa no envelope. |
| DMARC | A sua instrução aos destinatários quando uma mensagem falha os controlos (não fazer nada, colocar no spam, rejeitar) e o envio de relatórios[3]. | A instrução deixada na receção. |
A ANSSI dedica a estes três mecanismos uma parte das suas recomendações sobre a interligação de um sistema de informação à internet[4].
O que a Google, a Yahoo e a Microsoft exigem
- Google, desde 1 de fevereiro de 2024: SPF ou DKIM para todos os remetentes; SPF, DKIM e DMARC para quem envia mais de 5 000 mensagens por dia para o Gmail[5].
- Yahoo: SPF ou DKIM para todos; SPF, DKIM e DMARC para os envios em massa[6].
- Microsoft Outlook.com, desde 5 de maio de 2025: SPF, DKIM e DMARC para os domínios que enviam mais de 5 000 mensagens por dia; caso contrário, as mensagens vão para o spam e, depois, são rejeitadas[7].
Mesmo uma PME que envia poucas mensagens tem interesse em publicar os três: as suas faturas e orçamentos chegam melhor ao destino e o seu nome torna-se mais difícil de usurpar.
A implementação, passo a passo
- Identificar tudo o que envia mensagens em seu nome: e-mail, software de faturação, CRM, website, ferramenta de e-mailing, impressora que envia digitalizações.
- Publicar um SPF que liste estes remetentes, sem esquecer nenhum.
- Ativar o DKIM em cada serviço que o permita.
- Publicar um DMARC em observação (política «none») e receber os relatórios.
- Ler os relatórios durante algumas semanas: revelam os remetentes esquecidos e as usurpações.
- Reforçar progressivamente: envio para spam («quarantine») e, depois, rejeição («reject»), que a Microsoft recomenda[7].
O que a IT CyberWall faz
Fazemos o inventário dos seus remetentes, publicamos e testamos os registos SPF, DKIM e DMARC, lemos os relatórios consigo e reforçamos a política quando isso não tem risco. É uma intervenção curta, que se integra nos nossos serviços de cibersegurança.
Os seus e-mails vão parar ao spam ou o seu nome está a ser usurpado?
Verificamos os seus registos e implementamos o SPF, o DKIM e o DMARC.
Fontes
Fontes consultadas a 18 de outubro de 2026. Os preços dos fornecedores são indicados sem IVA, na moeda e na região da tabela publicada, e podem mudar: confirme sempre a página oficial antes de decidir.
- IETF – RFC 7208, Sender Policy Framework (SPF), abril de 2014 — www.rfc-editor.org/rfc/rfc7208
- IETF – RFC 6376, DomainKeys Identified Mail (DKIM) Signatures, setembro de 2011 — www.rfc-editor.org/rfc/rfc6376
- IETF – RFC 9989, DMARC (maio de 2026, substitui a RFC 7489) — www.rfc-editor.org/rfc/rfc9989
- ANSSI – Recommandations relatives à l’interconnexion d’un système d’information à internet, v3.0 (19 de junho de 2020), § 5.4 — messervices.cyber.gouv.fr/guides/recommandations-relatives-linterconnexion-dun-si-internet
- Google – Consignes pour les expéditeurs de messages — support.google.com/a/answer/81126?hl=fr
- Yahoo – Sender Best Practices — senders.yahooinc.com/best-practices/
- Microsoft – Outlook.com Policies, Practices, and Guidelines — substrate.office.com/ip-domain-management-snds/Postmaster/Policies