- O seu e-mail não está autenticado. O servidor de receção não consegue confirmar que a mensagem provém efetivamente do seu domínio. Normalmente, falta um registo, uma nova ferramenta (CRM, faturação, newsletter, formulário do site, serviço de assistência, ou mesmo um scanner) nunca foi adicionada ao mesmo, ou o registo SPF ultrapassou o seu limite e deixou de funcionar silenciosamente para tudo.
- A mensagem parece ser spam. Encurtadores de links, muitas imagens e poucas palavras, letras maiúsculas, uma assinatura com seis logótipos, anexos que ninguém solicitou ou um assunto redigido como se fosse um anúncio. Os filtros atribuem uma pontuação a cada um destes elementos.
- A reputação do seu domínio sofreu um impacto. Uma caixa de correio foi comprometida e enviou spam durante um fim de semana, alguém enviou uma atualização para 400 destinatários a partir do Outlook com todos em CCO, ou o seu correio é enviado através de um servidor partilhado com um vizinho mal-intencionado.
- Do lado do destinatário. Uma regra, uma caixa de correio cheia, um reencaminhamento para um endereço pessoal ou um filtro que, uma vez, identificou o seu endereço como lixo eletrónico. É menos comum do que as pessoas pensam, e apenas o destinatário pode resolver o problema.
Por que razão o e-mail da sua empresa vai parar à pasta de spam e como resolver o problema de vez
As quatro razões pelas quais os e-mails empresariais acabam na pasta de lixo eletrónico, o que o SPF, o DKIM e o DMARC realmente fazem, o que o Gmail e o Outlook exigem agora de todos os remetentes e uma verificação que pode realizar em 20 minutos.
8 minutos de leituraAtualizado
A resposta curta
Nove em cada dez vezes, a causa é a autenticação: o seu domínio não está a indicar ao mundo quais os serviços que podem enviar e-mails em seu nome, ou foi adicionada uma nova ferramenta sem que esses registos fossem atualizados. O Gmail e o Outlook exigem agora registos SPF, DKIM e DMARC de todos os remetentes e, discretamente, encaminham os e-mails para a pasta de spam quando algo falha. Corrija os registos, ative o DKIM em todas as ferramentas que enviam e-mails em nome do seu domínio, inicie a monitorização do DMARC e a maioria dos problemas de entrega desaparecerá no espaço de um ou dois dias.
Quatro razões, por ordem de probabilidade
O que o SPF, o DKIM e o DMARC fazem, na realidade
Todos estes três são pequenos registos de texto no DNS do seu domínio. Ninguém na sua empresa os vê, mas todos os servidores de correio eletrónico para os quais envia mensagens verificam-nos.
| Registo | Em linguagem simples | O que pode correr mal sem isso |
|---|---|---|
| SPF | Uma lista dos serviços autorizados a enviar e-mails em nome do seu domínio, por exemplo, o Microsoft 365 e a sua ferramenta de faturação. | O envio de e-mail a partir de um serviço que não conste da lista falha. Uma lista com mais de dez consultas falha em todos os casos. |
| DKIM | Uma assinatura digital adicionada a cada mensagem, comprovando que esta provém do seu domínio e que não foi alterada durante o percurso. | As mensagens chegam sem assinatura e não se distinguem de uma falsificação. |
| DMARC | As suas instruções aos destinatários: o que fazer quando uma mensagem que alega ser sua não passar nas verificações acima referidas e para onde enviar as notificações. | Os destinatários ficam na dúvida, e qualquer pessoa pode enviar e-mails em seu nome sem que o senhor saiba. |
Há um pormenor importante: o alinhamento. O domínio no endereço de remetente que as pessoas vêem deve corresponder ao domínio que passou na verificação SPF ou DKIM. Uma ferramenta de newsletter que envia a partir do seu domínio, mas assina com o seu próprio domínio, passa na verificação DKIM para si própria, mas continua a falhar na verificação DMARC para si.
O que o Gmail, o Outlook e o Yahoo exigem agora
Desde 2024 que os grandes fornecedores de serviços de correio eletrónico publicam regras em vez de se basearem em suposições e, no final de 2025, a Google intensificou a aplicação destas regras com um maior número de rejeições. Os requisitos por si publicados, a partir de outubro de 2026:
| Requisitos | Gmail (todos os remetentes) | Outlook.com e Yahoo |
|---|---|---|
| SPF e DKIM | Ambos configurados | Ambos estão configurados para quem envia cerca de 5 000 mensagens por dia ou mais; espera-se vivamente que todos os restantes o façam |
| Registo DMARC | Publicado, pelo menos p=nenhum | Publicado, pelo menos p=nenhum, em conformidade com o SPF ou o DKIM |
| Por domínio alinhado | Sim, com SPF ou DKIM | Sim |
| DNS inverso e TLS | Obrigatório | Previsto |
| Taxa de reclamações por spam | Inferior a 0,3 por cento, com o objetivo de atingir 0,1 | Nível baixo; a Microsoft acompanha de perto a sua reputação |
| Cancelar a subscrição com um clique | Correio de marketing proveniente de remetentes em massa | Correio de marketing proveniente de remetentes em massa |
Estas regras abrangem formalmente os e-mails enviados para endereços pessoais do Gmail, Outlook.com e Yahoo. Na prática, o Microsoft 365 e o Google Workspace aplicam as mesmas verificações às caixas de correio empresariais, pelo que a solução é a mesma, independentemente do serviço que os seus clientes utilizem.
A verificação de 20 minutos
- Enumere tudo o que é enviado a partir do seu domínio. Microsoft 365 ou Google Workspace, as ferramentas de CRM, faturação e processamento salarial, a plataforma de newsletters, o formulário de contacto do site, o serviço de assistência, as ferramentas de calendário e marcação de horários, e aquela impressora que digitaliza para enviar por e-mail. A maioria dos domínios possui entre cinco a oito.
- Consulte o seu registo SPF. Deve existir exatamente um. Deve incluir todos os serviços da lista, não ultrapassar dez consultas DNS e terminar com -all ou ~all. Um segundo registo SPF, ou uma décima primeira consulta, faz com que tudo falhe.
- Ative o DKIM em todos os locais. No Microsoft 365, encontra-se no portal do Defender, na secção «Definições de autenticação de e-mail»; no Google Workspace, em «Aplicações», «Google Workspace», «Gmail», «Autenticar e-mail». Cada ferramenta de terceiros possui a sua própria configuração de DKIM, que lhe fornece dois ou três registos DNS para adicionar.
- Publique o DMARC» ao nível da monitorização. Um registo com p=none e um endereço de notificação ainda não altera nada, mas, em poucos dias, os relatórios mostram todos os serviços que enviam mensagens em seu nome, incluindo aqueles de que se esqueceu e qualquer pessoa que se faça passar por si.
- Envie um teste e consulte o resultado. Envie um e-mail para uma conta pessoal do Gmail, abra a mensagem, selecione «Mostrar original» e procure por «SPF: PASS», «DKIM: PASS» e «DMARC: PASS». O Outlook.com apresenta a mesma informação nos cabeçalhos da mensagem. Um «FAIL» indica-lhe exatamente qual o registo que deve corrigir.
- Reforce o DMARC gradualmente. Após duas a quatro semanas de relatórios sem incidentes, avance para p=quarentena e, em seguida, para p=rejeição. Na fase de rejeição, ninguém poderá enviar e-mails em seu nome e os destinatários passarão a confiar mais em si.
Problemas que se assemelham à autenticação, mas que não o são
- Uma caixa de correio comprometida. Caso a entrega tenha diminuído da noite para o dia, verifique, antes de mais nada, os registos de início de sessão e as regras da caixa de entrada das contas afetadas. Os atacantes adicionam uma regra que oculta as respostas e enviam spam a partir da conta verdadeira.
- Envio em massa de e-mails a partir de uma caixa de correio normal. O Outlook e o Gmail foram concebidos para conversas, não para campanhas. As atualizações para centenas de contactos devem ser feitas numa ferramenta adequada, enviadas a partir de um subdomínio como news.yourcompany.com, para que um dia menos bom nesse domínio não afete o seu domínio principal.
- Assinaturas extensas e encurtadores de links. Menos imagens, sem links encurtados e texto que pareça ter sido escrito por uma pessoa.
- Um domínio totalmente novo. Os domínios sem histórico são tratados com desconfiança durante as primeiras semanas. Comece com volumes reduzidos e conversas reais.
- Listas adquiridas ou obtidas por meios não autorizados. Taxas de reclamação superiores a 0,3% fazem com que seja retirado da lista de clientes de boa reputação dos fornecedores durante uma semana de cada vez, e nenhuma correção de registo resolve essa situação.
Mantenha tudo em ordem
- Adicione todas as novas ferramentas que enviem e-mails ao SPF e ao DKIM no dia em que forem configuradas
- Leia os relatórios do DMARC mensalmente ou peça a alguém para os ler por si
- Mantenha os e-mails de marketing e transacionais nos seus próprios subdomínios
- Acompanhe a taxa de reclamações nas Ferramentas dGoogle Postmaster Tools e nas ferramentas de remetentes da Microsoft
- Verifique quem pode criar regras para a caixa de entrada e reenvios, pois essas são as primeiras coisas que um atacante altera
Perguntas frequentes
O que nos perguntam
Respostas curtas ao que os fundadores e os responsáveis financeiros mais nos perguntam.
Faça-nos outra perguntaNormalmente, trata-se de uma de quatro situações: uma nova ferramenta começou a enviar mensagens em nome do seu domínio sem ter sido adicionada ao SPF, o registo SPF ultrapassou o limite de dez consultas, uma caixa de correio foi comprometida ou um fornecedor reforçou a aplicação das regras, tal como o Google fez no final de 2025. A verificação de 20 minutos acima permite identificar qual delas é a causa.
Sim. A Google espera agora um registo DMARC de todos os remetentes que enviam mensagens para endereços do Gmail, e o Outlook.com espera-o de remetentes de maior dimensão. Um registo com p=none não altera nada nem tem qualquer custo, e é a única forma de verificar quem está a enviar mensagens em seu nome.
Não em p=none. Os problemas só surgem se passar diretamente para a quarentena ou rejeitar antes de todos os serviços legítimos terem sido aprovados, razão pela qual analisamos primeiro os relatórios durante algumas semanas.
Sim. Os registos encontram-se no DNS do seu domínio e aplicam-se a qualquer plataforma ou ferramenta que envie o seu correio. A única diferença reside no local onde ativa o DKIM.
Isto porque o Microsoft 365 está incluído nas suas configurações de SPF e DKIM, ao passo que o CRM não está, ou porque o CRM assina com o seu próprio domínio em vez do seu. Cada ferramenta dispõe de uma configuração de DKIM que resolve esta situação.
Os registos podem ser corrigidos num dia para a maioria dos domínios. Aumentar gradualmente o nível de segurança do DMARC até à rejeição segura requer algumas semanas de análise de relatórios, e uma reputação prejudicada recupera-se ao longo de semanas de envios sem problemas.
Como a SF3 Technologies ajuda
Identificamos todos os serviços que enviam mensagens a partir do seu domínio, corrigimos o SPF, ativamos o DKIM no Microsoft 365 e no Google Workspace, bem como em cada ferramenta, publicamos o DMARC e ajustamos a configuração para rejeitar mensagens, ao mesmo tempo que analisamos os relatórios, para que o seu e-mail chegue ao destino e ninguém possa enviar mensagens em seu nome. Os registos permanecem no seu DNS e no seu tenant, sob o seu controlo.
Os requisitos para remetentes são os publicados pela Google e pela Microsoft em outubro de 2026 e estão sujeitos a alterações ao longo do tempo. Verifique as diretrizes atuais de cada fornecedor relativas aos remetentes antes de se basear num limiar.