Porque a autenticação de email é essencial
Três peças que se complementam
SPF indica quais servidores têm o direito de enviar pelo seu domínio. A regra é publicada num registo TXT no apex. Bem configurado, limita o spoofing. Muito permissivo, deixa passar abusos.
DKIM assina as suas mensagens. A chave pública vive num TXT sob selector._domainkey. Uma assinatura válida prova que a mensagem não foi modificada e indica qual domínio a assinou.
DMARC vincula o endereço visível ao SPF e DKIM. Se SPF ou DKIM passa e está alinhado com o domínio do remetente, a mensagem é considerada conforme. A política decide então o tratamento em caso de falha: observação, quarentena ou rejeição.
O que um servidor destinatário vê
Ao receber, o servidor lê os seus registos DNS e adiciona um cabeçalho Authentication-Results. Encontrará spf=pass ou fail, dkim=pass ou fail, dmarc=pass ou fail, com o domínio avaliado. Este cabeçalho é a sua verdade de campo. Confirma o efeito real das suas configurações, além da teoria.
O que BIMI muda
BIMI não é um filtro antispam. Exibe um logo validado quando DMARC está em vigor com uma política aplicada. O logo é solicitado via um registo DNS dedicado e por vezes um certificado VMC. Resultado: o destinatário identifica melhor a sua marca e deteta um falso mais rápido.
Os erros mais comuns
- Dois SPF com o mesmo nome → Unificar num único valor
- SPF que ultrapassa 10 lookups → Simplificar os include ou usar o SPF Flattener
- Seletor DKIM mal escrito → A chave torna-se impossível de encontrar
- Chave pública truncada → A verificação falha silenciosamente
- DMARC sem alinhamento → A mensagem passa mas não protege a identidade
- Relatórios DMARC para caixa não monitorizada → Perde observabilidade. Use o Monitoring DMARC para recolher e visualizar os relatórios automaticamente
TTL e propagação DNS
A rede não "propaga" no sentido estrito. Armazena em cache conforme o TTL. Um TTL curto ajuda durante uma atualização. Um TTL muito curto ao longo do tempo sobrecarrega desnecessariamente. Um TTL médio (3600-86400s) estabiliza uma configuração validada. Reduza antes de uma mudança, restaure depois.
Como usar a caixa de ferramentas CaptainDNS
Validadores de sintaxe SPF, DKIM, DMARC
Os validadores leem os seus registos brutos e explicam cada elemento:
SPF: ordem dos mecanismos, include, redirect, presença de all, contagem de consultas DNS, IPs e domínios inexistentes. O objetivo é ficar abaixo de 10 lookups e evitar loops.
DKIM: leitura das tags v, k, p, t, s. Verificação do comprimento da chave, deteção de truncamentos, caracteres inválidos e melhores práticas de rotação.
DMARC: leitura das tags v, p, sp, adkim, aspf, pct, rua, ruf. Verificação do alinhamento escolhido e validade dos endereços de relatório.
Inspetores de registos ao vivo
Os inspetores resolvem DNS e mostram a resposta como vista pela Internet:
- Inspetor SPF: expande a cadeia include, mostra os domínios chamados e onde o limite seria ultrapassado
- Inspetor DKIM: resolve o seletor, extrai a chave pública e verifica a consistência do formato
- Inspetor DMARC: lê _dmarc.domínio, mostra a política ativa, endereços rua/ruf e percentagem de aplicação
Essas ferramentas verificam o presente, não a teoria. Ideal para um ticket ou implantação em produção.
Auditoria de segurança e entregabilidade de email
Esta auditoria cobre a higiene, a segurança e a autenticação de email do domínio, tanto ao enviar como ao receber, num só scan. A vertente de envio verifica SPF, DKIM, DMARC e BIMI (entregabilidade e autenticação). A vertente de receção verifica MX, MTA-STS, DANE, TLS-RPT e DNSSEC (segurança do transporte e do DNS). Obtém uma pontuação sobre 100 e a causa mais provável de falha: SPF muito permissivo, chave DKIM em falta, política DMARC não aplicada, sem MTA-STS, MX a apontar para um CNAME.
Gerador de registo DMARC
O gerador ajuda-o a criar registos DMARC completos e em conformidade com as RFCs:
- Configuração de domínio: entrada simples com geração automática do hostname _dmarc
- Políticas flexíveis: escolha entre none, quarantine e reject com gestão de subdomínios
- Relatórios integrados: endereços rua/ruf com validação e guia de implementação
- Opções avançadas: alinhamentos DKIM/SPF, percentagens, intervalos e opções de falha
A ferramenta gera o registo completo pronto para publicar e encaminha para o inspetor para verificação pós-implantação.
DMARCbis: preparar a transição para o DMARC v2
DMARCbis sucede à RFC 7489 e eleva o DMARC ao status de Proposed Standard do IETF. A mudança principal: a Public Suffix List é substituída por um algoritmo DNS Tree Walk para identificar o domínio organizacional.
Três tags são adicionadas (psd, np, t), três são removidas (pct, ri, rf). O reporting é separado em três documentos normativos distintos.
DMARCbis Checker analisa a compatibilidade dos seus registos DMARC com o novo padrão. Deteta tags obsoletas, verifica a descoberta via Tree Walk e recomenda os ajustes necessários.
Migração DMARCbis gera automaticamente um registo em conformidade com o novo padrão a partir do seu registo DMARC atual, com um comparativo antes/depois.
BIMI operacional
O validador BIMI controla a estrutura do registo, testa a URL HTTPS do logo, verifica as restrições Tiny-PS e descarrega o VMC quando disponível. Combinado com DMARC aplicado em quarantine ou reject, protege a exibição do seu logo em clientes webmail compatíveis.
MTA-STS para segurança do transporte
MTA-STS (RFC 8461) adiciona uma camada crítica de proteção ao impor encriptação TLS para email de entrada. Sem MTA-STS, o TLS oportunista pode ser degradado por atacantes. Com MTA-STS, os servidores remetentes devem usar TLS ou rejeitar a entrega.
Ferramentas MTA-STS
Validador de sintaxe: Cole o seu registo DNS TXT e o conteúdo do ficheiro de política. O validador verifica versão, modo, padrões MX e diretivas max_age antes da publicação.
Inspetor de registo: Introduza um domínio para obter o registo MTA-STS e ficheiro de política ao vivo. Verifica certificados TLS e cruza padrões MX com servidores de email reais.
Gerador: Crie registos e ficheiros de política MTA-STS em conformidade. Configure modo testing ou enforce, adicione padrões MX, defina duração de cache. Saída pronta para copiar com instruções de implantação.
Alojamento MTA-STS: Deixe o CaptainDNS alojar o seu ficheiro de política MTA-STS. Sem servidor web para configurar: crie a sua política, verifique a propriedade do domínio, aponte um CNAME e pronto. HTTPS automático, certificados geridos e atualizações instantâneas ao modificar a sua política.
Implantação MTA-STS recomendada
- Gere o registo DNS TXT e o ficheiro de política
- Aloje o ficheiro de política: use o alojamento MTA-STS para alojamento sem manutenção, ou aloje por si próprio em
https://mta-sts.seudominio.pt/.well-known/mta-sts.txt - Publique o registo DNS TXT em
_mta-sts.seudominio.pt - Comece em modo testing para identificar problemas sem quebrar a entrega
- Mude para enforce depois de verificar que todos os servidores MX suportam TLS
- Monitorize com TLS-RPT para receber relatórios de falha
TLS-RPT para relatórios de transporte
TLS-RPT (RFC 8460) complementa MTA-STS recebendo relatórios sobre falhas de negociação TLS. Sem esses relatórios, não saberia se emails de entrada estão a falhar silenciosamente por um certificado expirado ou configuração incorreta.
Validador de sintaxe: Cole o seu registo DNS TXT TLS-RPT e valide a conformidade RFC antes de publicar. Verificação dos URIs de relatório mailto e HTTPS.
Inspetor de registo: Resolva o registo TLS-RPT de um domínio ao vivo. Verifique os endereços de relatório e identifique os destinos externos; a título informativo, o TLS-RPT não exige nenhuma autorização do lado do destinatário, ao contrário do DMARC.
Gerador: Crie um registo TLS-RPT válido com URIs de relatório mailto e/ou HTTPS. Saída pronta para copiar na sua zona DNS.
Monitorização TLS-RPT: Acompanhe os relatórios TLS-RPT dos seus domínios sem sair do CaptainDNS. Visualize falhas de negociação TLS, identifique certificados problemáticos e receba alertas em caso de anomalias.
DANE/TLSA para autenticação de certificados
DANE (RFC 6698/7672) vincula certificados TLS a nomes de domínio via registos DNS TLSA assinados por DNSSEC. Diferente do modelo clássico baseado em autoridades certificadoras, DANE permite ao proprietário do domínio especificar exatamente qual certificado um servidor deve apresentar.
Validador de sintaxe DANE TLSA: Cole um registo TLSA bruto e verifique os campos usage, selector, matching type e dados do certificado antes de publicar. Deteta combinações não recomendadas e erros de formato hexadecimal.
Inspetor DANE TLSA: Introduza um domínio para verificar a configuração DANE completa: resolução MX, consulta TLSA, validação DNSSEC e correspondência com o certificado TLS do servidor.
Gerador DANE TLSA: Crie um registo TLSA a partir do seu certificado PEM ou diretamente do servidor via STARTTLS. Suporta DANE-EE, DANE-TA, SHA-256, SHA-512 e o seletor SPKI.
Implantação DANE recomendada
- Ative DNSSEC no seu domínio (pré-requisito absoluto)
- Gere o registo TLSA com o gerador DANE
- Valide a sintaxe com o validador DANE TLSA antes de publicar
- Publique o registo em
_25._tcp.seumailhost - Verifique com o inspetor DANE após a propagação
- Ative TLS-RPT para receber relatórios de falha DANE
- Planeie a rotação: atualize o registo TLSA antes de cada renovação de certificado
Geradores de registos
Além do gerador DMARC, a caixa de ferramentas cobre a criação de registos para cada protocolo:
Gerador DMARC: Construa um registo DMARC completo e em conformidade com as RFC. Escolha a política, configure os alinhamentos DKIM/SPF e os endereços de relatório rua/ruf, e publique um registo pronto para usar.
Gerador SPF: Construa um registo SPF válido selecionando os seus fornecedores de email pré-configurados (Google Workspace, Microsoft 365, etc.). O gerador monta os mecanismos, verifica o limite de 10 lookups e produz um registo pronto para publicar.
SPF Flattener: Achate os seus registos SPF para eliminar includes aninhados. A ferramenta resolve cada include em endereços IP diretos, reduzindo os lookups DNS e prevenindo erros permerror em produção.
Gerador DKIM: Gere um par de chaves DKIM (RSA 2048/4096 bits ou Ed25519) e o registo DNS TXT associado. A ferramenta produz a chave privada para o seu servidor e a chave pública para publicação no DNS.
Gerador BIMI: Crie um registo BIMI DNS com a URL do seu logo SVG e o certificado VMC opcional. A ferramenta verifica os pré-requisitos DMARC e guia a publicação.
DKIM Selector Finder
Encontrar um seletor DKIM pode ser trabalhoso quando não conhece o nome dele. O DKIM Selector Finder consulta automaticamente uma base de dados de seletores conhecidos (Google, Microsoft, Amazon SES, etc.) e testa cada um contra o seu domínio. Resultado: a lista de seletores ativos com as suas chaves públicas, sem necessidade de adivinhar.
Verificação de reputação e conectividade
Blacklists de IP e domínio
SPF e DKIM perfeitos não adiantam nada se o seu IP ou domínio está numa blacklist. O verificador blacklist IP consulta as principais DNSBLs (Spamhaus, Barracuda, SpamCop, etc.) e o verificador blacklist domínio verifica as listas URI (SURBL, URIBL, etc.). Um domínio em blacklist terá os seus emails rejeitados ou marcados como spam, independentemente da autenticação.
SMTP/MX Tester
O testador SMTP verifica a conectividade dos seus servidores MX: resolução DNS, ligação SMTP, banner, suporte STARTTLS, validade do certificado TLS e deteção de open relay. É o último elo: a autenticação DNS está correta, mas o servidor é realmente acessível e seguro?
Método recomendado para implantação em produção
- Documentar estado inicial: capturas DNS e exemplos de Authentication-Results
- Reduzir TTL antes das mudanças (300-600s)
- Implantar SPF limpo e único, verificar com o inspetor
- Publicar chave DKIM num novo seletor, testar a assinatura
- Ativar DMARC em p=none, analisar relatórios, corrigir e então aplicar
- Adicionar BIMI quando DMARC estiver aplicado e logo/VMC passarem validação
- Restaurar TTL confortável (3600-86400s) quando estável
Monitorização e operação diária
As configurações evoluem com fornecedores, subdomínios, microsserviços e campanhas pontuais. Mantenha um ciclo simples: controlo regular, leitura de relatórios, rotação de chaves, limpeza de includes e seletores obsoletos. Uma mudança deve deixar sempre rasto: data, autor, valor anterior, novo valor, motivo. Isso encurta cada diagnóstico.
Ferramentas complementares
| Ferramenta | Utilidade |
|---|---|
| Verificador de propagação DNS | Confirmar que as suas mudanças DNS são visíveis globalmente |
| Pesquisa DNS | Consultar qualquer tipo de registo DNS |
| Whois IP | Identificar o proprietário de um endereço IP |
| Verificador blacklist IP | Verificar se o seu IP está numa blacklist |
| Verificador blacklist domínio | Verificar se o seu domínio está em blacklist |
| Monitoring DMARC | Recolher e visualizar os relatórios DMARC agregados dos seus domínios |
| Monitorização de segurança email | Ser avisado quando uma mudança de registo ou de pontuação de pilar coloca o seu domínio em risco |
| SMTP/MX Tester | Testar conectividade SMTP, STARTTLS e certificados TLS |
Recursos úteis
- RFC 7208 - Sender Policy Framework (SPF) (especificação oficial)
- RFC 6376 - DomainKeys Identified Mail (DKIM) (especificação oficial)
- RFC 7489 - Domain-based Message Authentication (DMARC) (especificação oficial)
- RFC 8461 - MTA Strict Transport Security (MTA-STS) (especificação oficial)
- RFC 8460 - SMTP TLS Reporting (TLS-RPT) (especificação oficial)
- RFC 6698 - DNS-Based Authentication of Named Entities (DANE) (especificação oficial)
- RFC 7672 - SMTP Security via Opportunistic DANE TLS (DANE para SMTP)
- Google - Diretrizes para remetentes de email (requisitos Gmail)
- Microsoft - Autenticação de email no Microsoft 365 (guia Outlook/M365)