- Seu e-mail não foi autenticado. O servidor de recebimento não consegue confirmar se a mensagem realmente veio do seu domínio. Normalmente, falta um registro, uma nova ferramenta (CRM, faturamento, boletim informativo, formulário de site, central de atendimento ou até mesmo um scanner) nunca foi adicionada a ele, ou o registro SPF ultrapassou seu limite e deixou de funcionar silenciosamente para todas as mensagens.
- A mensagem parece ser spam. Encurtadores de links, muitas imagens e poucas palavras, letras maiúsculas, uma assinatura com seis logotipos, anexos que ninguém solicitou ou um assunto redigido como se fosse um anúncio. Os filtros atribuem uma pontuação a cada um desses elementos.
- A reputação do seu domínio foi prejudicada. Uma caixa de correio foi comprometida e enviou spam durante um fim de semana; alguém enviou uma atualização para 400 destinatários pelo Outlook, colocando todos em CCO; ou seus e-mails são enviados por meio de um servidor compartilhado com um vizinho mal-intencionado.
- Do lado do destinatário. Uma regra, uma caixa de correio cheia, um encaminhamento para um endereço pessoal ou um filtro que, uma vez configurado, identificou seu endereço como lixo eletrônico. É menos comum do que as pessoas imaginam, e somente o destinatário pode resolver o problema.
Por que os e-mails da sua empresa vão parar na pasta de spam e como resolver isso de vez
As quatro razões pelas quais e-mails comerciais acabam na pasta de lixo eletrônico, o que o SPF, o DKIM e o DMARC realmente fazem, o que o Gmail e o Outlook agora exigem de todos os remetentes e uma verificação que você pode realizar em 20 minutos.
Leitura de 8 minutosAtualizado
A resposta curta
Em nove entre dez casos, a causa é a autenticação: seu domínio não está informando ao mundo quais serviços podem enviar e-mails em seu nome, ou uma nova ferramenta foi adicionada sem que esses registros fossem atualizados. O Gmail e o Outlook agora exigem registros SPF, DKIM e DMARC de todos os remetentes e, discretamente, encaminham os e-mails para a pasta de spam quando algo falha. Corrija os registros, ative o DKIM em todas as ferramentas que enviam e-mails em nome do seu domínio, inicie o monitoramento do DMARC e a maioria dos problemas de entrega desaparecerá em um ou dois dias.
Quatro motivos, em ordem de probabilidade
O que o SPF, o DKIM e o DMARC realmente fazem
Todos os três são pequenos registros de texto no DNS do seu domínio. Ninguém na sua empresa os vê, mas todos os servidores de e-mail para os quais o senhor envia mensagens os verificam.
| Registrar | Em linguagem simples | O que pode dar errado sem isso |
|---|---|---|
| SPF | Uma lista dos serviços autorizados a enviar e-mails em nome do seu domínio, por exemplo, o Microsoft 365 e sua ferramenta de faturamento. | E-mails provenientes de um serviço que não conste na lista não serão entregues. Uma lista com mais de dez verificações resultará em falha para todos os itens. |
| DKIM | Uma assinatura digital adicionada a cada mensagem, comprovando que ela se originou do seu domínio e não sofreu alterações durante o trajeto. | As mensagens chegam sem assinatura e não se diferenciam de uma falsificação. |
| DMARC | Suas instruções aos destinatários: o que fazer quando uma mensagem que alega ser sua não passar nas verificações acima e para onde enviar as denúncias. | Os destinatários ficam na dúvida, e qualquer pessoa pode enviar e-mails em seu nome sem que você saiba. |
Um detalhe é fundamental: o alinhamento. O domínio no endereço de remetente que as pessoas veem deve corresponder ao domínio que passou na verificação de SPF ou DKIM. Uma ferramenta de boletim informativo que envia mensagens em nome do seu domínio, mas assina com seu próprio domínio, passa na verificação de DKIM para si mesma, mas ainda assim falha na verificação de DMARC para você.
O que o Gmail, o Outlook e o Yahoo exigem atualmente
Desde 2024, os grandes provedores de e-mail publicam regras em vez de se basearem em suposições, e no final de 2025 o Google intensificou a aplicação dessas regras com um número maior de rejeições. Seus requisitos publicados, a partir de outubro de 2026:
| Requisitos | Gmail (todos os remetentes) | Outlook.com e Yahoo |
|---|---|---|
| SPF e DKIM | Ambos configurados | Ambos são recomendados para qualquer pessoa que envie cerca de 5.000 mensagens por dia ou mais; é altamente recomendável para todos os demais |
| Registro DMARC | Publicado, pelo menos p=nenhum | Publicado, pelo menos p=nenhum, alinhado com SPF ou DKIM |
| Por área de atuação | Sim, com SPF ou DKIM | Sim |
| DNS reverso e TLS | Obrigatório | Esperado |
| Taxa de reclamações por spam | Abaixo de 0,3%, com meta de 0,1 | Nível baixo; a Microsoft acompanha de perto sua reputação |
| Cancelar a inscrição com um clique | E-mails de marketing de remetentes em massa | E-mails de marketing de remetentes em massa |
Essas regras abrangem formalmente e-mails enviados para endereços pessoais do Gmail, Outlook.com e Yahoo. Na prática, o Microsoft 365 e o Google Workspace aplicam as mesmas verificações às caixas de correio corporativas; portanto, a solução é a mesma, independentemente da plataforma utilizada por seus clientes.
A verificação de 20 minutos
- Liste tudo o que é enviado em nome do seu domínio. Microsoft 365 ou Google Workspace, as ferramentas de CRM, faturamento e folha de pagamento, a plataforma de boletim informativo, o formulário de contato do site, o suporte técnico, as ferramentas de calendário e agendamento, e aquela impressora que digitaliza para enviar por e-mail. A maioria dos domínios possui de cinco a oito.
- Verifique seu registro SPF. Deve haver exatamente um. Ele deve incluir todos os serviços da lista, não ultrapassar dez consultas de DNS e terminar com -all ou ~all. Um segundo registro SPF, ou uma décima primeira consulta, faz com que tudo seja reprovado.
- Ative o DKIM em todos os lugares. No Microsoft 365, essa configuração encontra-se no portal do Defender, na seção “Configurações de autenticação de e-mail”; no Google Workspace, em “Aplicativos”, “Google Workspace”, “Gmail”, “Autenticar e-mail”. Cada ferramenta de terceiros possui sua própria configuração de DKIM, que fornece dois ou três registros DNS para serem adicionados.
- Publique o DMARCno nível de monitoramento. Um registro com p=none e um endereço de notificação não altera nada por enquanto, mas, em poucos dias, os relatórios mostram todos os serviços que estão enviando mensagens em seu nome, incluindo aqueles que você esqueceu e qualquer pessoa que esteja se passando por você.
- Envie um teste e leia o resultado. Envie um e-mail para uma conta pessoal do Gmail, abra a mensagem, selecione “Mostrar original” e procure por SPF: APROVADO, DKIM: APROVADO e DMARC: APROVADO. O Outlook.com exibe as mesmas informações nos cabeçalhos da mensagem. Um “REPROVADO” indica exatamente qual registro deve ser corrigido.
- Reforce o DMARC em etapas. Após duas a quatro semanas de relatórios sem problemas, passe para p=quarentena e, em seguida, para p=rejeitar. Na configuração “rejeitar”, ninguém poderá enviar e-mails em seu nome, e os destinatários confiarão mais em você.
Problemas que parecem estar relacionados à autenticação, mas não estão
- Uma caixa de correio comprometida. Caso a entrega tenha caído da noite para o dia, verifique os registros de login e as regras da caixa de entrada das contas afetadas antes de qualquer outra coisa. Os invasores adicionam uma regra que oculta as respostas e enviam spam a partir da conta real.
- Envio em massa de e-mails a partir de uma caixa de correio normal. O Outlook e o Gmail foram criados para conversas, não para campanhas. Atualizações para centenas de contatos devem ser feitas em uma ferramenta adequada, enviadas a partir de um subdomínio como news.suaempresa.com, para que um problema nesse subdomínio não afete seu domínio principal.
- Assinaturas extensas e encurtadores de links. Menos imagens, sem links encurtados e texto que pareça ter sido escrito por uma pessoa.
- Um domínio totalmente novo. Domínios sem histórico são tratados com cautela nas primeiras semanas. Comece com volumes baixos e conversas reais.
- Listas adquiridas ou coletadas. Taxas de reclamação acima de 0,3% fazem com que o senhor seja retirado da lista de clientes em boa situação dos provedores por uma semana, e nenhum registro corrige isso.
Mantenha a ordem
- Adicione todas as novas ferramentas que enviam e-mails ao SPF e ao DKIM no dia em que forem configuradas
- Leia os relatórios do DMARC mensalmente ou peça a alguém para lê-los para você
- Mantenha os e-mails de marketing e transacionais em seus próprios subdomínios
- Acompanhe a taxa de reclamações no Google Postmaster Tools e nas ferramentas de remetentes da Microsoft
- Verifique quem pode criar regras de caixa de entrada e reenvios, pois essas são as primeiras coisas que um invasor altera
Perguntas frequentes
O que nos perguntam
Respostas curtas para o que fundadores e responsáveis financeiros mais nos perguntam.
Faça outra perguntaNormalmente, trata-se de uma das quatro situações a seguir: uma nova ferramenta começou a enviar e-mails em nome do seu domínio sem ter sido adicionada ao SPF; o registro SPF ultrapassou o limite de dez consultas; uma caixa de correio foi comprometida; ou um provedor intensificou a aplicação de regras, como fez o Google no final de 2025. A verificação de 20 minutos descrita acima identifica qual delas é a causa.
Sim. O Google agora exige um registro DMARC de todos os remetentes que enviam mensagens para endereços do Gmail, e o Outlook.com exige isso de remetentes de grande porte. Um registro com p=none não altera nada e não tem custo algum, sendo a única maneira de verificar quem está se passando por você.
Não em p=none. Os problemas só surgem se o senhor passar diretamente para a quarentena ou rejeitar antes que todos os serviços legítimos tenham sido aprovados; é por isso que analisamos os relatórios por algumas semanas primeiro.
Sim. Os registros ficam no DNS do seu domínio e se aplicam a qualquer plataforma ou ferramenta que envie seus e-mails. A única diferença é o local onde você ativa o DKIM.
Isso ocorre porque o Microsoft 365 está em seu SPF e DKIM, enquanto o CRM não está, ou porque o CRM assina com seu próprio domínio em vez do seu. Cada ferramenta possui uma configuração de DKIM que resolve esse problema.
Os registros podem ser corrigidos em um dia para a maioria dos domínios. Aumentar gradualmente o nível de segurança do DMARC até que as rejeições ocorram com segurança leva algumas semanas de análise de relatórios, e uma reputação prejudicada se recupera ao longo de semanas de envios sem problemas.
Como a SF3 Technologies ajuda
Identificamos todos os serviços que enviam mensagens em nome do seu domínio, corrigimos o SPF, ativamos o DKIM no Microsoft 365 e no Google Workspace, bem como em cada ferramenta, publicamos o DMARC e ajustamos sua configuração para rejeitar mensagens, conforme a análise dos relatórios, de modo que seus e-mails cheguem ao destino e ninguém possa enviar mensagens em seu nome. Os registros permanecem no seu DNS e no seu locatário, sob seu controle.
Os requisitos para remetentes são aqueles publicados pelo Google e pela Microsoft em outubro de 2026 e estão sujeitos a alterações ao longo do tempo. Verifique as diretrizes atuais de cada provedor para remetentes antes de se basear em um limite.