Porque a autenticação de email é essencial
Três pilares complementares
SPF indica que servidores podem enviar em nome do domínio. A regra publica-se num TXT no ápice. Bem configurada, limita a falsificação. Demasiado permissiva, deixa passar abusos.
DKIM assina as mensagens. A chave pública reside num TXT em selector._domainkey. Uma assinatura válida prova que o email não foi alterado e identifica o domínio que o assinou.
DMARC liga o endereço visível a SPF e DKIM. Se SPF ou DKIM passar e estiver alinhado com o domínio do remetente, a mensagem é considerada conforme. A política decide então o tratamento em caso de falha: observação, quarentena ou rejeição.
O que vê um servidor recetor
Ao receber, o servidor lê os seus registos DNS e adiciona um cabeçalho Authentication-Results. Lá encontramos spf pass ou fail, dkim pass ou fail, dmarc pass ou fail, com o domínio avaliado. Esse cabeçalho é a fonte de verdade. Confirma o efeito real das configurações para além da teoria.
O que muda com BIMI
BIMI não é um filtro anti-spam. Mostra um logótipo validado quando DMARC está operacional com política aplicada. O logótipo é referenciado via registo DNS dedicado e, por vezes, um certificado VMC. Resultado simples: o destinatário identifica melhor a marca e detecta mais depressa uma falsificação.
Erros mais comuns
- Dois SPF no mesmo nome. É preciso fundi-los num único valor.
- Um SPF que ultrapassa o limite de pesquisas DNS. Simplifique os include.
- Um seletor DKIM mal escrito. A chave torna-se impossível de encontrar.
- Uma chave pública truncada. A verificação falha silenciosamente.
- Um DMARC sem alinhamento. A mensagem passa teoricamente mas não protege a identidade.
- Relatórios DMARC enviados para uma caixa não monitorizada. Perde-se observabilidade.
TTL e a famosa propagação
A rede não “propaga” no sentido estrito: armazena em cache segundo o TTL. Um TTL curto ajuda durante uma atualização. Um TTL demasiado curto a longo prazo sobrecarrega desnecessariamente e complica o diagnóstico. Um TTL médio estabiliza uma configuração validada. Reduza antes de uma alteração. Restaure depois.
Como usar a caixa de ferramentas CaptainDNS
Validadores de sintaxe SPF, DKIM, DMARC
Os validadores lêem os registos e explicam cada elemento.
SPF: ordem dos mecanismos, include, redirect, presença de all, contagem de consultas DNS, IP e domínios inexistentes. Objetivo: manter-se abaixo das dez pesquisas e evitar ciclos.
DKIM: leitura das etiquetas v, k, p, t, s. Verificação do comprimento da chave pública, deteção de cortes, caracteres inválidos e lembrete de boas práticas de rotação de chaves.
DMARC: leitura das etiquetas v, p, sp, adkim, aspf, pct, rua, ruf. Verificação da alinhamento escolhido e da validade dos endereços de relatório. Os validadores explicam o impacto real de cada etiqueta.
Inspectores de registos em tempo real
Os inspectores resolvem o DNS e mostram a resposta tal como é vista na Internet.
Inspector SPF: expande a cadeia include, mostra os domínios chamados e onde o limite de pesquisas seria excedido.
Inspector DKIM: resolve o seletor, extrai a chave pública e verifica a coerência do formato.
Inspector DMARC: lê _dmarc.<domínio>, mostra a política ativa, endereços rua/ruf e assinala se a percentagem de aplicação é parcial.
Estas ferramentas servem para verificar o presente, não a teoria. Ideais para um ticket ou uma entrada em produção.
Controlo de prontidão para email
Este controlo lê MX, SPF, DKIM e DMARC de uma só vez para responder à pergunta: está o domínio pronto para enviar? Também identifica a causa provável de uma falha: SPF demasiado permissivo, chave DKIM em falta, política DMARC não aplicada, alinhamento estrito que falha num subdomínio, MX que aponta para um CNAME.
Gerador de registos DMARC
O gerador ajuda a criar registos DMARC completos e conformes com as RFC.
- Configuração de domínio: entrada simples com geração automática do hostname
_dmarc. - Políticas flexíveis: escolha entre
none,quarantineerejectcom gestão de subdomínios. - Relatórios integrados: endereços rua/ruf com validação e guias de implementação.
- Opções avançadas: alinhamento DKIM/SPF, percentagens, intervalos e opções de falha.
A ferramenta gera o registo pronto a publicar e orienta o inspector para verificação pós-deployment.
BIMI disponível
O validador BIMI verifica a estrutura do registo, testa o endpoint HTTPS do logótipo, confirma os requisitos Tiny-PS e descarrega o VMC quando existe. Em conjunto com uma política DMARC quarantine ou reject, garante a apresentação fiável do logótipo nas caixas compatíveis.
Método recomendado para entrada em produção
- Documente o estado inicial. Capturas DNS e exemplos de Authentication-Results.
- Reduza o TTL antes da alteração.
- Implemente um SPF limpo e único. Valide em tempo real com o inspector.
- Publique a chave DKIM num novo seletor. Teste a assinatura à saída.
- Ative DMARC em
p=none, analise os relatórios, corrija e só depois aplique. - Adicione BIMI quando DMARC estiver aplicado e o logótipo/VMC passarem na validação.
- Restaure um TTL confortável quando tudo estiver estável.
Acompanhamento contínuo
As configurações evoluem com fornecedores, subdomínios, microserviços e campanhas. Mantenha um ciclo simples: controlo regular, leitura de relatórios, rotação de chaves, limpeza de include e selectores obsoletos. Cada alteração deve deixar rasto: data, autora, valor anterior, valor novo, motivo. Isto encurta qualquer diagnóstico.
Resumindo, a caixa de ferramentas de autenticação de email permite validar a sintaxe, verificar a resposta real, preparar uma política DMARC que se aplica de facto e, em breve, ativar um BIMI impecável. Testes claros, passos simples, mensagens entregues e identidade protegida.