Porque os Teus Emails Vão para o Spam: Guia Ilustrado de SPF, DKIM, DMARC e BIMI na Prática

O Desastre Invisível dos Emails que Nunca Chegam ao Destino

Poucas coisas são tão prejudiciais para um negócio como enviar uma proposta comercial importante ou uma fatura de serviços e descobrir que o cliente nunca a recebeu porque o email foi parar à pasta de lixo eletrónico (spam).

No passado, a entregabilidade dependia principalmente da reputação do endereço IP do servidor de envio. Em 2026, gigantes do correio eletrónico como a Google, a Microsoft e o Yahoo aplicam regras rígidas de segurança criptográfica. Se o domínio da tua empresa não tiver os registos de SPF, chaves DKIM de 2048 bits e uma política de DMARC perfeitamente alinhada no teu DNS, as tuas mensagens são simplesmente descartadas pelos filtros de receção sem aviso.

EMAIL DESPROTEGIDO VS. AUTENTICAÇÃO COM DMARC E BIMI

• EMAIL SEM CONFIGURAÇÃO COMPLETA (REJEITADO / CAI NO SPAM): [ Servidor da Tua Empresa ] → Envia: comercial@aminhaempresa.com
• Sem Chave Criptográfica DKIM
• IP Não Autorizado no SPF
• Sem Política DMARC no DNS
• FALHA DE VALIDAÇÃO DE SEGURANÇA
• Gmail / Outlook do Cliente: Mensagem Enviada para o Lixo ou Descartada!
• EMAIL BLINDADO COM DMARC E LOGO BIMI (AUTENTICADO E CONFIÁVEL): [ Servidor da Tua Empresa ] → Envia: comercial@aminhaempresa.com
• Assinatura Digital DKIM 2048 bits Válida
• IP Alinhado no Registo SPF
• Política Rígida de DMARC (p=reject)
• Logotipo Verificado via BIMI
• ENTREGA COM DISTINÇÃO
• Caixa de Entrada do Cliente: Entra na Caixa Principal com Selo de Marca!

Na Webxtek, desenhamos infraestruturas onde a segurança e a comunicação operam sem falhas. Através das nossas soluções de alojamento gerido e serviços de consultoria técnica, configuramos toda a camada criptográfica de DNS para que as tuas mensagens cheguem sempre ao topo da caixa de entrada.

SPF: Autorizar IPs e o Limite Crítico das 10 Consultas de DNS

O registo SPF (Sender Policy Framework) serve para dizeres ao mundo quais são os servidores e ferramentas autorizados a enviar mensagens com o nome do teu domínio.

O erro mais comum nas empresas é ultrapassar o limite de 10 pesquisas de DNS imposto pela norma RFC 7208. Sempre que adicionas uma ferramenta externa com a instrução include: (como Google Workspace, HubSpot, Zendesk ou Shopify), cada uma dessas regras dispara pesquisas adicionais de DNS. Se a validação exigir 11 pesquisas, o servidor de destino devolve um erro fatal (SPF PermError) e manda a tua mensagem para o spam.

O PERIGO DO LIMITE DE 10 PESQUISAS NO REGISTO SPF

• v=spf1 include:_spf.google.com include:sendgrid.net include:mailgun.org ~all
• Pesquisas 1, 2, 3 → Pesquisas 4, 5 → Pesquisas 6, 7
• Adicionas Mais um Serviço Externo?
• ULTRAPASSOU O MÁXIMO DE 10 PESQUISAS!
• SPF PERMERROR: CAI NO SPAM!

Um registo TXT de SPF limpo e otimizado no teu DNS da Cloudflare:

v=spf1 ip4:198.51.100.14 include:_spf.google.com ~all

Nunca uses +all (que autoriza todos os computadores do mundo). Começa com ~all (SoftFail) enquanto descobres todos os servidores da tua empresa e passa para -all (HardFail) quando o alinhamento estiver completo.

DKIM: Assinatura Criptográfica Assimétrica contra Adulteração

Enquanto o SPF apenas valida o endereço IP de quem enviou o email, o DKIM (DomainKeys Identified Mail) garante que ninguém alterou o texto ou os anexos da mensagem no caminho entre o teu servidor e o destinatário.

O teu servidor de envio no Debian (com Postfix ou OpenDKIM) calcula um resumo digital (hash) dos cabeçalhos principais e do corpo do email, assinando esse resumo com uma chave privada de 2048 bits.

FUNCIONAMENTO DA ASSINATURA DIGITAL DKIM

• 1. O Teu Servidor Calcula o Resumo Criptográfico do Texto do Email

2. Assina o Resumo com a Tua Chave Privada: /etc/dkimkeys/mail.private
3. Adiciona o Cabeçalho: DKIM-Signature: v=1; a=rsa-sha256; s=2026mail; d=empresa.pt…

• (A Mensagem Viaja pela Internet)

4. O Servidor do Cliente Lê a Tua Chave Pública no Teu DNS: 2026mail._domainkey.empresa.pt

• 5. Desencripta e Confirma que o Texto Não Foi Alterado → DKIM VÁLIDO!

Para gerares uma chave moderna de 2048 bits:

# Gera o par de chaves pública e privada para o teu domínio
opendkim-genkey -b 2048 -d aminhaempresa.com -s 2026mail -D /etc/dkimkeys/
chown opendkim:opendkim /etc/dkimkeys/2026mail.private

Publica a chave pública no registo DNS do teu domínio em 2026mail._domainkey.aminhaempresa.com.

DMARC: Proteger a Tua Marca contra Phishing com p=reject

O SPF e o DKIM sozinhos têm uma falha grave: um criminoso pode enviar um email com SPF válido a partir de um servidor dele, mas colocar o teu email no campo visual que o cliente lê (De: faturas@aminhaempresa.com).

O DMARC resolve este perigo através do Alinhamento de Domínio. O DMARC exige obrigatoriamente que o domínio que o utilizador vê no remetente coincida com o domínio autenticado pelo SPF e pelo DKIM.

A EVOLUÇÃO DAS POLÍTICAS DE DMARC NO TEU DNS

• FASE 1: MONITORIZAÇÃO (Apenas Recebes Relatórios Sem Bloquear Nada) v=DMARC1; p=none; rua=mailto:relatorios-dmarc@aminhaempresa.com; pct=100;
• (Validas que todos os teus emails legítimos passam)
• FASE 2: QUARENTENA (Emails Falsificados Vão para o Lixo do Destinatário) v=DMARC1; p=quarantine; rua=mailto:relatorios-dmarc@aminhaempresa.com; pct=100;
• (Garantia total de zero falsos positivos)
• FASE 3: BLOQUEIO TOTAL (Emails Falsos São Recusados Imediatamente na Entrega) v=DMARC1; p=reject; rua=mailto:relatorios-dmarc@aminhaempresa.com; pct=100;

Configura a regra de DMARC em _dmarc.aminhaempresa.com:

v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc-rua@aminhaempresa.com; ruf=mailto:dmarc-ruf@aminhaempresa.com; fo=1; pct=100;

Com a política p=reject, qualquer mensagem enviada por atacantes a tentar passar-se pela tua empresa é descartada na hora pelos servidores do cliente.

BIMI: O Logótipo Oficial da Tua Marca na Caixa de Entrada

O BIMI (Brand Indicators for Message Identification) é o patamar máximo de reputação de email. Quando ativado, os clientes de email nos smartphones (como o Apple Mail e a aplicação do Gmail) mostram o logótipo oficial da tua marca ao lado do nome nas mensagens recebidas.

COMO O CLIENTE DE EMAIL VALIDA O TEU LOGO BIMI

• O Email Chega à Aplicação do Cliente no Telemóvel
• A Política DMARC Está em p=quarantine ou p=reject com 100% de Aplicação?
• Não → Apresenta Apenas um Ícone Cinzento Genérico
• Sim
• Consulta o Registo BIMI no Teu DNS: default._bimi.aminhaempresa.com
• Valida o Ficheiro SVG Tiny e o Certificado VMC Oficial
• O LOGÓTIPO OFICIAL DA TUA EMPRESA APARECE NA LISTA DE MENSAGENS!

Configura o registo em default._bimi.aminhaempresa.com:

v=BIMI1; l=https://aminhaempresa.com/assets/logo-bimi.svg; a=https://aminhaempresa.com/assets/certificado-vmc.pem;

Podes consultar scripts abertos de validação de entregabilidade no GitHub.

Aliando esta blindagem a planos estruturados de manutenção contínua, garantias que as mensagens da tua empresa mantêm reputação imaculada, total proteção contra usurpação de identidade e máxima taxa de abertura no mercado.

Na prática, aplicas exatamente estes padrões operacionais em setores exigentes como saas empresarial b2b e cibersegurança b2b e inteligência corporativa. Quando alinhas a tua estrutura através de alojamento gerido para websites e aplicações e consultoria técnica antes de construir, transformas boas práticas técnicas numa vantagem competitiva real e mensurável para o teu negócio.