MConect
Blog

Tecnologia · 23/10/2026

Como configurar SPF, DKIM, DMARC e BIMI em 2026 (Gmail/Yahoo)

Entenda como configurar SPF, DKIM, DMARC e BIMI no seu domínio em 2026 para atender às regras do Gmail e Yahoo, evitar spam e proteger sua marca.

Como configurar SPF, DKIM, DMARC e BIMI em 2026 (Gmail/Yahoo)

Se o e-mail é um canal estratégico da sua PME, 2026 é o ano de ajustar de vez a autenticação do seu domínio. Gmail e Yahoo apertaram o cerco: quem não estiver com SPF, DKIM, DMARC e práticas de descadastro em dia tende a cair em spam, sofrer rejeições 5.7.x e ver a performance despencar. A boa notícia: com um passo a passo claro, dá para configurar corretamente e ganhar segurança e entregabilidade.

O que mudou em 2026 (e por que isso importa)

  • Gmail: desde nov/2025, reforçou a fiscalização. Exige SPF e DKIM ativos, DMARC publicado (mínimo p=none), TLS e DNS reverso, alinhamento do domínio From com SPF ou DKIM e “one‑click unsubscribe” (RFC 8058) para envios promocionais. Recomenda manter taxa de spam <0,1% e nunca atingir 0,3%. Erros comuns: 550 5.7.26 (remetente não autenticado) e 5.7.27 (SPF falhou), conforme documentação oficial.
  • Yahoo: desde fev/2024 mantém exigências semelhantes: SPF e DKIM ativos, DMARC (pelo menos p=none) e “one‑click unsubscribe” para marketing. Define remetente de volume “significativo” sem um corte numérico oficial.

Além disso, o Gmail já sinaliza que, no futuro, pode exigir alinhamento simultâneo de SPF e DKIM com o domínio do remetente (hoje basta um dos dois alinhar para cumprir). Por isso, a melhor prática é alinhar ambos desde já.

No Brasil, o CERT.br/NIC.br monitora mensalmente phishing e spam voltados a serviços de e-mail e nuvem. As estatísticas reforçam: domínios .br de PMEs precisam ter SPF/DKIM/DMARC operando para reduzir spoofing e fraudes.

Conceitos essenciais: autenticar não é o mesmo que alinhar

  • SPF: registra no DNS quais IPs/servidores podem enviar e-mail em nome do seu domínio.
  • DKIM: assina criptograficamente as mensagens usando uma chave vinculada ao seu domínio.
  • DMARC: define a política de validação do domínio do remetente (From) e exige que ele alinhe com SPF ou DKIM (idealmente ambos). Também envia relatórios (RUA/RUF) para você monitorar.
  • BIMI: padrão para exibir o logo do remetente. No Gmail, exige DMARC e um certificado de marca (VMC) ou CMC; o “check” azul aparece com VMC.

Ponto crítico para quem usa plataformas de e-mail (ESPs): se o seu From é suaempresa.com.br mas a assinatura DKIM sai como mail.vendor.com, você pode estar autenticado, porém sem alinhamento com o seu domínio — e o DMARC falha. Solução: assinar o DKIM e configurar o domínio de envio no seu próprio domínio.

Checklist mínimo para cumprir Gmail/Yahoo em 2026

  1. Publicar SPF no seu domínio
  • Use um único registro TXT do tipo SPF (v=spf1 ... -all) por domínio.
  • Evite “+all” (libera tudo). Prefira incluir só provedores necessários, com um include por provedor.
  • Exemplo seguro (genérico): v=spf1 include:_spf.seuprovedor.com include:_spf.segundoprovedor.com a mx -all
  1. Assinar todos os envios com DKIM do seu domínio
  • Gere a chave DKIM dentro do seu ESP ou servidor de e-mail, escolha seletor (ex.: s1) e publique o TXT em s1._domainkey.seudominio.com.br.
  • Garanta que o d= nos cabeçalhos DKIM seja seudominio.com.br (e não o domínio do fornecedor) para alinhar com o From.
  1. Publicar DMARC com relatório e evoluir a política
  • Comece com p=none para observar impactos sem afetar a entrega: v=DMARC1; p=none; rua=mailto:dmarc-rua@seudominio.com.br; ruf=mailto:dmarc-ruf@seudominio.com.br; fo=1; adkim=s; aspf=s
  • Após 30–60 dias de análise, evolua gradualmente para p=quarantine e depois p=reject (por exemplo, pct=25, 50, 100) para bloquear spoofing real.
  • Use alinhamento estrito (adkim=s; aspf=s) para antecipar futuras exigências e reduzir falsificações.
  1. Alinhar o domínio From com SPF ou DKIM (ideal: ambos)
  • From: nome@seudominio.com.br deve alinhar com pelo menos um mecanismo aprovado.
  • Melhor prática: alinhar simultaneamente DKIM (d=seudominio.com.br) e SPF (envelope domain/return-path também no seu domínio, quando possível).
  1. Habilitar TLS e PTR (reverse DNS)
  • Certifique-se de que o servidor de saída possui TLS atualizado e que o IP de envio resolve para um PTR coerente com o domínio.
  1. Implementar one‑click unsubscribe (RFC 8058)
  • Obrigatório para mensagens promocionais no Gmail (e recomendado no Yahoo): inclua List-Unsubscribe e List-Unsubscribe-Post nos cabeçalhos e processe em até 48 horas.
  • Apenas link no corpo do e-mail ou mailto isolado não atende à exigência.
  1. Monitorar reputação e taxa de spam
  • Acompanhe o Gmail Postmaster Tools e mantenha a taxa de spam abaixo de 0,3% (meta: <0,1%). Ajuste frequência, segmentação e conteúdo quando a taxa subir.

Passo a passo prático para PMEs (com e sem plataforma de e-mail)

Se você usa ESPs como RD, HubSpot, Salesforce, etc.

  • Conclua a autenticação de domínio dentro da plataforma (SPF/DKIM/DMARC). Procure opções de “Custom DKIM” e “Custom Envelope/Return-Path”.
  • Certifique-se de que o d= do DKIM é o seu domínio e que o Return-Path (quando configurável) também seja mapeado para o seu domínio ou subdomínio.
  • Faça um envio de teste e verifique o cabeçalho da mensagem no Gmail: “SPF=pass” e “DKIM=pass” com d=seudominio.com.br. DMARC: “pass (alignment)”.

Se você envia pelo seu próprio servidor (ex.: Postfix/Exim)

  • Gere/par de chaves DKIM (2048 bits) e publique o seletor no DNS.
  • Configure o MTA para assinar todas as saídas com o seu domínio; valide que o HELO/EHLO e o PTR do IP correspondem ao domínio.
  • Publique SPF consolidado (um único TXT) e DMARC p=none com RUA/RUF, depois evolua a política.

Valide tudo antes de grandes disparos

  • Use a ferramenta do NIC.br para checar SPF/DKIM/DMARC no domínio .br.
  • Faça provas A/B com pequenos lotes para aquecer reputação e medir queixas.

BIMI em 2026: quando vale a pena

  • Pré-requisitos: DMARC no mínimo p=quarantine (na prática, p=reject oferece mais previsibilidade), alinhamento correto e DNS sem falhas.
  • Certificados: VMC ou CMC. No Gmail, o VMC exibe o “selo”/check; o CMC pode funcionar sem marca registrada, mas sem o selo.
  • Arte: SVG nos padrões do Google (sem fontes externas, proporções corretas). O processo de marca registrada e VMC pode levar 6–12 meses.

Benefícios para PMEs: reforço de marca na caixa de entrada e potencial melhora de reconhecimento e abertura. Avalie o custo/benefício: se e-mail é um canal crítico, BIMI tende a compensar.

Erros comuns e como corrigir rápido

  • 550 5.7.26 (não autenticado): falta DKIM/SPF ou falha de alinhamento. Ação: corrigir DKIM para assinar com o seu domínio e revisar SPF. Publicar/ajustar DMARC.
  • 5.7.27 (SPF não passou): IP de envio não está no SPF. Ação: adicione o include correto do provedor ou o IP/hostname autorizado; evite ultrapassar 10 consultas DNS do SPF.
  • “List-Unsubscribe ausente”: adicione cabeçalhos RFC 8058 e garanta processamento do opt-out em até 48h.

Boas práticas de conteúdo e frequência

  • Envie apenas para opt-in e mantenha listas limpas (higienize bounces e inativos).
  • Ajuste cadência: aumentos bruscos de volume deterioram reputação.
  • Evite armadilhas: URLs encurtadas suspeitas, anexos executáveis, variações de remetente.
  • Personalize e segmente para reduzir queixas de spam.

Exemplo resumido de DNS para um domínio PME

Perguntas frequentes

Preciso ser “remetente de alto volume” para cumprir essas regras?

Não. Mesmo sem atingir 5.000+ mensagens/dia (patamar do Gmail para “alto volume”), SPF, DKIM e DMARC são exigidos e impactam diretamente a entrega. O Yahoo também aplica requisitos independentemente do porte, falando em “volume significativo”.

Posso usar apenas p=none no DMARC indefinidamente?

Pode, mas não é recomendável. p=none atende ao mínimo do Gmail/Yahoo, porém não protege contra spoofing. O ideal é usar p=none por 30–60 dias para observar relatórios e então evoluir gradualmente para quarantine e reject.

One‑click unsubscribe precisa estar no corpo do e-mail?

O requisito é no cabeçalho (List-Unsubscribe e List-Unsubscribe-Post conforme RFC 8058). Manter também um link claro no corpo ajuda a experiência, mas só o link no corpo não cumpre a exigência técnica do Gmail.

Próximos passos para PMEs brasileiras

  • Rode o teste do NIC.br para confirmar SPF/DKIM/DMARC.
  • Ajuste a autenticação dentro do seu ESP para garantir alinhamento de domínio.
  • Monitore spam rate e reputação no Postmaster e faça ramp-up de volume.
  • Avalie BIMI se o e-mail for um canal-chave de aquisição e retenção.

Se você quer visibilidade unificada dos seus resultados e qualidade de entregas, o Painel MConect centraliza métricas e integrações para decisões mais rápidas. Conheça: /painel. E, se precisar de apoio técnico para DNS, autenticação e infraestrutura, nosso time de tecnologia e de sites pode ajudar a validar registros, alinhar DKIM/SPF/DMARC e estruturar subdomínios e certificados: /servicos/sites.

Na MConect, unimos tecnologia própria, estratégia e execução para aumentar a eficiência do seu marketing digital, do e-mail ao tráfego pago. Fale com a gente para um diagnóstico gratuito: vamos revisar seu domínio, autenticação e práticas de envio, identificar gargalos e montar um plano de ação sob medida para sua PME.

Quer aplicar isso no seu negócio?

Receba um diagnóstico gratuito da MConect e descubra onde estão suas melhores oportunidades.

Fontes