Configurar SPF, DKIM e DMARC para Evitar que Emails Caiam no Spam

Emails enviados de uma VPS recém-provisionada caem em spam no Gmail e Outlook por padrão. O motivo raramente é o conteúdo da mensagem — é a falta dos três registros DNS de autenticação que provedores grandes esperam encontrar: SPF, DKIM e DMARC. Sem eles, o servidor de destino trata o email como “anônimo” e aplica a regra mais restritiva da política antispam.

Este guia mostra como configurar os três registros do zero numa VPS Ubuntu 24.04 LTS rodando Postfix, com chave DKIM real gerada via OpenDKIM. O foco é deixar a configuração em produção, validada por ferramentas públicas, e com política DMARC progressiva pra não bloquear emails legítimos durante a transição. Tempo estimado: 30 a 45 minutos contando propagação DNS.

A persona aqui é o sysadmin que já tem Postfix instalado e enviando emails — só que esses emails estão indo pra caixa de spam. Se você está montando o servidor de email do zero, o mesmo procedimento se aplica depois que o Postfix estiver recebendo e enviando.

Pré-requisitos

Antes de mexer em DNS, confirme que o Postfix está enviando mensagens. Rode echo "teste" | mail -s "teste" [email protected] e verifique o cabeçalho recebido — você vai ver spf=none, dkim=none e dmarc=none no Authentication-Results. É exatamente isso que vamos resolver.

Configurar o registro SPF

SPF (Sender Policy Framework) é o registro mais simples dos três. Ele diz quais servidores estão autorizados a enviar emails em nome do seu domínio. O servidor de destino consulta o registro SPF do envelope-from e compara com o IP que originou a conexão.

curl -s https://api.ipify.org

v=spf1 ip4:SEU.IP.AQUI.123 -all

v=spf1 ip4:SEU.IP.AQUI.123 include:_spf.google.com -all

dig +short TXT seudominio.com.br | grep spf1

Instalar e configurar OpenDKIM

DKIM (DomainKeys Identified Mail) assina cada email com uma chave privada armazenada no servidor. A chave pública fica num registro DNS — o destinatário usa ela pra verificar a assinatura. Isso protege contra modificação do conteúdo em trânsito e prova que o email saiu mesmo do seu domínio.

sudo apt update
sudo apt install -y opendkim opendkim-tools

sudo mkdir -p /etc/opendkim/keys/seudominio.com.br
cd /etc/opendkim/keys/seudominio.com.br
sudo opendkim-genkey -b 2048 -d seudominio.com.br -s mail
sudo chown -R opendkim:opendkim /etc/opendkim
sudo chmod 600 /etc/opendkim/keys/seudominio.com.br/mail.private

Domain                  seudominio.com.br
KeyFile                 /etc/opendkim/keys/seudominio.com.br/mail.private
Selector                mail
Socket                  inet:8891@localhost
Mode                    sv
SubDomains              no
AutoRestart             yes
UMask                   002
Syslog                  yes

milter_protocol = 6
milter_default_action = accept
smtpd_milters = inet:localhost:8891
non_smtpd_milters = inet:localhost:8891

sudo systemctl restart opendkim
sudo systemctl restart postfix
sudo systemctl enable opendkim

sudo cat /etc/opendkim/keys/seudominio.com.br/mail.txt

Publicar a política DMARC

DMARC (Domain-based Message Authentication, Reporting, and Conformance) amarra SPF e DKIM ao nome do domínio visível pro usuário (o From: do cabeçalho) e diz ao destinatário o que fazer quando a autenticação falha. Sem DMARC, SPF e DKIM são meramente informativos — o destinatário escolhe a política sozinho.

v=DMARC1; p=quarantine; pct=25; rua=mailto:[email protected]; fo=1

Verificar a entrega real

Configuração no DNS não garante que emails chegam na caixa de entrada. A verificação tem que ser feita com mensagens reais entregues a provedores reais.

Authentication-Results: mx.google.com;
  dkim=pass [email protected]
  spf=pass [email protected]
  dmarc=pass header.from=seudominio.com.br

Resolução de problemas comuns

DKIM passa em testes mas falha no Gmail

Quase sempre é discrepância entre o seletor configurado no OpenDKIM e o publicado no DNS. Confirme com dig +short TXT mail._domainkey.seudominio.com.br — o valor retornado deve bater exatamente com o conteúdo de mail.txt. Outro motivo frequente: a chave foi colada com quebras de linha que o painel DNS não removeu.

SPF retorna PermError

Indica múltiplos registros TXT começando com v=spf1 no mesmo domínio. Liste com dig +short TXT seudominio.com.br e remova duplicados consolidando tudo num registro só.

Emails ainda caem em spam apesar de tudo passar

Verifique a reputação do IP em mxtoolbox.com/blacklists.aspx. IPs novos ou recém-saídos de blacklist precisam de aquecimento — comece com volume baixo (5-10 emails/dia pra contatos engajados) e suba gradualmente ao longo de 4-6 semanas.

Próximos passos

• Configure relatórios DMARC agregados num parser dedicado (postmark, dmarcian) pra visualizar fontes não autorizadas de forma estruturada
• Adicione um seletor DKIM secundário rotativo a cada 6 meses pra manter higiene criptográfica
• Implemente MTA-STS e TLS Reporting pra garantir entrega via TLS estrito em provedores que suportam
• Configure BIMI depois que p=quarantine ou p=reject estiver estável por 30+ dias — exibe seu logo na caixa de entrada do Gmail e Yahoo

Se você está colocando email transacional em produção, uma VPS Hostini já vem com PTR reverso editável pelo painel e porta 25 liberada por padrão — duas barreiras comuns que VPS de outros provedores deixam fechadas.