Desde que Gmail, Yahoo e Microsoft passaram a aplicar suas regras de autenticação com rigor, os e-mails de um domínio mal configurado não vão mais apenas para o spam: eles podem ser recusados de vez. A boa notícia é que o cPanel agora reúne SPF, DKIM e DMARC em uma única página. Este guia leva você do primeiro diagnóstico até uma política DMARC em p=reject, sempre com base nos relatórios.
O que Gmail, Yahoo e Microsoft exigem em 2026
Os três grandes provedores de e-mail separam as regras para todos os remetentes das regras para envios em grande volume. Veja o resumo, com base na documentação oficial vigente em outubro de 2026.
| Exigência | Gmail | Yahoo | Outlook.com / Hotmail |
|---|---|---|---|
| Todos os remetentes | SPF ou DKIM, DNS direto e reverso (PTR) válidos, TLS, taxa de spam < 0,3% | SPF ou DKIM, DNS direto e reverso válidos, taxa de spam < 0,3% | Boas práticas recomendadas |
| Limite de grande volume | Cerca de 5.000 mensagens por dia para contas Gmail | Nenhum número publicado (“volume significativo”) | 5.000 mensagens ou mais para os serviços de consumo da Microsoft |
| Grande volume: autenticação | SPF e DKIM, DMARC no mínimo p=none, alinhamento do domínio From | SPF e DKIM, DMARC no mínimo p=none, alinhamento relaxado aceito | SPF e DKIM aprovados, DMARC publicado e aprovado |
| Descadastro | Em um clique (cabeçalhos List-Unsubscribe) e link visível | Em um clique, atendido em até 2 dias | Recomendado |
| Consequência | Rejeições temporárias ou permanentes, ou pasta de spam | Filtragem ou rejeição | Rejeição com o erro 550 5.7.515 |
O Google informa em suas perguntas frequentes que, a partir de novembro de 2025, o Gmail intensificou a aplicação dessas regras: mensagens fora do padrão agora sofrem rejeições temporárias e permanentes. O Gmail também recomenda uma chave DKIM de pelo menos 1024 bits, de preferência 2048, e uma taxa de spam idealmente abaixo de 0,1%.
Por que sites pequenos também são afetados
Você não envia 5.000 mensagens por dia? As regras para todos os remetentes valem mesmo assim, e um domínio sem DMARC é um alvo fácil para falsificação: qualquer pessoa pode enviar um e-mail falso em seu nome. Formulários de contato do WordPress, confirmações de pedido do PrestaShop e newsletters passam pelos mesmos filtros que seus e-mails pessoais. Configurar os três registros leva menos de uma hora e protege você por muito tempo.
SPF, DKIM e DMARC: o papel de cada um
- SPF lista os servidores autorizados a enviar pelo seu domínio. Ele é verificado no endereço de envelope (Return-Path), não no endereço exibido.
- DKIM adiciona uma assinatura criptográfica a cada mensagem. O destinatário a confere com a chave pública publicada no seu DNS.
- DMARC liga os dois ao endereço visível (o domínio do campo From). Uma mensagem passa no DMARC se o SPF ou o DKIM forem aprovados e o domínio verificado corresponder ao exibido: isso é o alinhamento. O DMARC também define o que fazer em caso de falha e para onde enviar os relatórios.
A armadilha mais comum: um SPF válido não basta se o Return-Path pertence a outro domínio, como o do seu serviço de newsletter. Sem DKIM assinado com o seu próprio domínio, o DMARC falha.
Passo 1: fazer o diagnóstico no cPanel
- Acesse o cPanel, abra a seção Email e depois Email Deliverability (Capacidade de entrega de e-mail).
- A tabela lista seus domínios com uma coluna de status de entrega. Um domínio com problemas tem alguma falha em DKIM, SPF, DMARC ou DNS reverso.
- Clique em Manage (Gerenciar) para ver os detalhes: cada registro é comparado com o sugerido pelo cPanel.
O botão Repair (Reparar) corrige automaticamente os registros inválidos depois que você confirma. Ele só aparece quando o servidor gerencia a zona DNS do domínio. Se os seus servidores de nomes estiverem em outro lugar (no registrador ou em um serviço de CDN), copie os registros sugeridos e adicione-os nesse provedor.
A seção DMARC desta página existe nas versões recentes do cPanel (versão 130 em diante). Em uma versão mais antiga, adicione o registro DMARC manualmente no Zone Editor.
Passo 2: configurar o SPF
Na seção SPF da página Manage, o cPanel sugere um registro adequado ao seu servidor. Para um domínio que só envia pela sua hospedagem, ele fica assim:
seudominio.com.br. 14400 IN TXT "v=spf1 +a +mx +ip4:203.0.113.10 ~all"Se você também usa um serviço externo (ferramenta de newsletter, suíte colaborativa), clique em Customize para adicionar o include informado por esse serviço e depois em Install a Customized SPF Record:
seudominio.com.br. 14400 IN TXT "v=spf1 +a +mx +ip4:203.0.113.10 include:_spf.servico-exemplo.com ~all"Três regras para seguir:
- Apenas um registro SPF por domínio. Dois registros
v=spf1invalidam o SPF. - No máximo dez consultas DNS. Cada
include,aoumxconsome uma; acima disso, o SPF retorna erro. ~allou-all? O cPanel sugere~all(falha leve) por padrão. Com o DMARC ativo, é ele quem decide o destino das mensagens:~allcontinua sendo a opção prudente enquanto você não tiver certeza de ter listado todas as fontes.
Passo 3: ativar e publicar o DKIM
Na seção DKIM, clique em Generate Local DKIM Key se ainda não houver chave. O cPanel passa então a assinar os e-mails enviados pela sua hospedagem com o seletor default. O registro público tem este formato:
default._domainkey.seudominio.com.br. 14400 IN TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...IDAQAB"Se o seu DNS é gerenciado em outro lugar, use Copy e cole o valor no seu provedor de DNS (o formato “Split” divide uma chave longa em várias strings, se a interface exigir). Nunca publique a chave privada: o cPanel permite exibi-la, mas ela deve ficar no servidor.
Todo serviço externo que envia em seu nome também precisa assinar com o seu domínio, usando um seletor próprio (por exemplo s1._domainkey). Ao contrário do SPF, vários seletores DKIM convivem sem problema.
Passo 4: publicar o DMARC em modo de monitoramento
Antes de tudo, crie no cPanel um endereço de e-mail reservado para receber os relatórios, por exemplo [email protected]: você vai receber vários por dia. Depois, na seção DMARC, instale o registro sugerido ou ajuste-o no Zone Editor:
_dmarc.seudominio.com.br. 14400 IN TXT "v=DMARC1; p=none; rua=mailto:[email protected]; adkim=r; aspf=r"p=none: nenhuma ação sobre as mensagens que falham, você apenas observa.rua: o endereço que recebe os relatórios agregados diários.adkim=reaspf=r: alinhamento relaxado, que aceita subdomínios (um Return-Path embounce.seudominio.com.brcontinua alinhado).
O cPanel lembra que o DMARC só fica totalmente ativo quando SPF e DKIM já estão válidos: conclua os passos 2 e 3 antes deste.
Passo 5: ler os relatórios DMARC
Os relatórios agregados chegam como anexo compactado (.zip ou .gz) com um arquivo XML. Cada provedor (Google, Yahoo, Microsoft…) envia o seu, geralmente uma vez por dia. Este é o trecho que importa:
<record>
<row>
<source_ip>198.51.100.25</source_ip>
<count>137</count>
<policy_evaluated>
<disposition>none</disposition>
<dkim>fail</dkim>
<spf>pass</spf>
</policy_evaluated>
</row>
<identifiers>
<header_from>seudominio.com.br</header_from>
</identifiers>
</record>Leia assim: 137 mensagens com o seu domínio saíram do endereço IP 198.51.100.25. O SPF está alinhado, o DKIM não, então o DMARC passa graças ao SPF. Para cada IP de origem, faça três perguntas:
- Eu reconheço esta fonte? Seu servidor cPanel, sua ferramenta de newsletter, seu sistema de faturamento… Se sim, é um envio legítimo que precisa ser corrigido.
- Se for legítima, o que está falhando? Sem DKIM: ative a assinatura com o seu domínio nesse serviço. SPF não alinhado: adicione o
includedele ou configure um Return-Path no seu domínio. - Se for desconhecida, é falsificação? Volumes vindos de IPs desconhecidos, falhando em SPF e DKIM, são exatamente o que o
p=rejectvai bloquear.
Ler XML na mão logo fica cansativo: muitos analisadores de relatórios DMARC, gratuitos ou pagos, transformam esses arquivos em tabelas por fonte. O essencial é consultá-los toda semana durante a transição.
Passo 6: passar de p=none para p=reject sem sustos
Endurecer a política cedo demais faz sumir os seus próprios e-mails legítimos. Avance por etapas:
| Etapa | Registro | Duração sugerida | Condição para avançar |
|---|---|---|---|
| 1. Monitoramento | p=none | 2 a 4 semanas | Todas as fontes legítimas identificadas e alinhadas |
| 2. Quarentena | p=quarantine | 2 a 4 semanas | Nenhuma reclamação de e-mail legítimo no spam, relatórios estáveis |
| 3. Rejeição | p=reject | Permanente | Revisão mensal dos relatórios |
; Etapa 2
_dmarc.seudominio.com.br. 14400 IN TXT "v=DMARC1; p=quarantine; rua=mailto:[email protected]; adkim=r; aspf=r"
; Etapa 3
_dmarc.seudominio.com.br. 14400 IN TXT "v=DMARC1; p=reject; sp=reject; rua=mailto:[email protected]; adkim=r; aspf=r"O parâmetro sp=reject aplica a mesma regra aos subdomínios, que os fraudadores exploram com prazer quando ficam sem proteção. O parâmetro pct, antigo truque para uma implantação gradual, não faz mais parte da nova versão do padrão DMARC (RFC 9989, publicada em 2026): prefira etapas completas e períodos de observação suficientes.
Conferir com uma mensagem real
Envie um e-mail da sua caixa no cPanel para um endereço Gmail, abra a mensagem e escolha Mostrar original. O Gmail exibe SPF, DKIM e DMARC com PASS ou FAIL. Nos cabeçalhos completos, procure a linha Authentication-Results:
Authentication-Results: mx.google.com;
dkim=pass [email protected] header.s=default;
spf=pass smtp.mailfrom=seudominio.com.br;
dmarc=pass (p=NONE sp=NONE dis=NONE) header.from=seudominio.com.brFaça o mesmo teste a partir do seu site: formulário de contato, redefinição de senha, pedido de teste. E-mails enviados por PHP sem autenticação às vezes saem com um endereço de envelope ligado à conta de hospedagem, e não ao seu domínio. Configure o seu CMS para enviar por SMTP autenticado com um endereço real do seu domínio: assim SPF e DKIM ficam alinhados.
Os erros de rejeição mais comuns
5.7.26no Gmail: a mensagem não está autenticada (nem SPF nem DKIM válidos e alinhados). Volte ao diagnóstico do passo 1.550 5.7.515na Microsoft: o domínio remetente não atinge o nível de autenticação exigido para grandes volumes. SPF e DKIM precisam ser aprovados, e o DMARC precisa estar publicado e ser aprovado.- DMARC falha mesmo com SPF aprovado: o Return-Path pertence ao domínio de um fornecedor. Ative o DKIM com o seu domínio nesse fornecedor.
- DKIM falha depois de uma migração: a chave foi gerada de novo no servidor novo, mas o valor antigo continua publicado no DNS externo.
- PTR ausente ou inconsistente: a seção Reverse DNS da página Manage mostra isso. Esse registro depende do dono do endereço IP, ou seja, da sua empresa de hospedagem.
Perguntas frequentes
DMARC em p=none basta para Gmail e Outlook?
A rigor, sim: Gmail, Yahoo e Microsoft aceitam p=none como mínimo. Mas essa política não protege o seu domínio contra falsificação. Mire em p=reject assim que seus envios legítimos estiverem alinhados.
Quanto tempo leva para as mudanças valerem?
A página Email Deliverability verifica os registros de novo em poucos minutos após um reparo. Do lado dos destinatários, conte com a expiração do TTL dos seus registros DNS, normalmente algumas horas.
E se o botão Repair não aparecer?
A sua zona DNS não é gerenciada pelo servidor cPanel. Copie os registros sugeridos e adicione-os no provedor que administra os seus servidores de nomes.
Preciso de um registro DMARC para cada subdomínio?
Não. O registro do domínio principal vale para os subdomínios, e o parâmetro sp permite dar a eles uma política própria.
Os relatórios DMARC trazem o conteúdo dos meus e-mails?
Não. Os relatórios agregados (rua) trazem apenas estatísticas: endereços IP, volumes e resultados de SPF, DKIM e DMARC.