SPF, DKIM e DMARC na loja virtual: regras do Gmail e Yahoo

O que SPF, DKIM e DMARC fazem, o que Gmail, Yahoo e Outlook.com exigem, como configurar na Shopify e no WooCommerce e como chegar ao p=reject.

Equipe editorial FixReports12 min de leitura

Para cumprir as regras de remetentes do Gmail e do Yahoo, toda loja virtual precisa de SPF ou DKIM no domínio de envio, e os remetentes em massa precisam dos dois, além de um registro DMARC de pelo menos p=none com o domínio visível do remetente (From) alinhado ao SPF ou ao DKIM. Os remetentes em massa também precisam oferecer cancelamento de inscrição com um clique nos e-mails de marketing e manter a taxa de denúncias de spam abaixo de 0,3%. Na Shopify, isso significa autenticar o domínio do remetente no painel administrativo e adicionar um registro DMARC; no WooCommerce, significa enviar os e-mails por um provedor autenticado. Quando os relatórios DMARC mostrarem que todos os seus e-mails legítimos estão passando, você pode avançar a política em direção a p=reject.

Pontos principais

  • Desde 1º de fevereiro de 2024, o Gmail exige que todos os remetentes configurem SPF ou DKIM e que os remetentes em massa configurem SPF, DKIM e DMARC (Google (abre em uma nova aba)).
  • O Gmail passa a tratar você como remetente em massa quando você envia perto de 5.000 mensagens para contas pessoais do Gmail em 24 horas, e esse status não expira (FAQ do Gmail (abre em uma nova aba)).
  • A partir de novembro de 2025, o Gmail intensificou a aplicação das regras ao tráfego que não as cumpre, com rejeições temporárias e permanentes (FAQ do Gmail (abre em uma nova aba)).
  • Desde 5 de maio de 2025, o Outlook.com exige SPF, DKIM e DMARC de domínios que enviam mais de 5.000 e-mails por dia (Microsoft (abre em uma nova aba)).
  • O SPF permite no máximo 10 termos que fazem consultas DNS por verificação; ultrapassar esse limite retorna permerror (RFC 7208 (abre em uma nova aba)).
  • O DMARC foi atualizado em maio de 2026: a RFC 9989 (abre em uma nova aba) torna obsoleta a RFC 7489 e substitui a tag pct pela t.

O que SPF, DKIM e DMARC fazem, na prática?

O SPF lista quem pode enviar em nome do seu domínio, o DKIM assina cada mensagem e o DMARC vincula os dois ao endereço do remetente (From) que seus clientes veem.

RegistroO que comprovaOnde ficaPadrão
SPFO servidor de envio está autorizado para o domínio usado no envelope (MAIL FROM)Registro TXT no domínioRFC 7208 (abre em uma nova aba)
DKIMA mensagem foi assinada pelo domínio e não foi alterada no caminhoRegistro TXT em selector._domainkey.example.comRFC 6376 (abre em uma nova aba)
DMARCO SPF ou o DKIM passou para um domínio alinhado ao domínio visível do remetente (From); diz aos servidores que recebem o que fazer em caso de falha e para onde enviar os relatóriosRegistro TXT em _dmarc.example.comRFC 9989 (abre em uma nova aba)

O alinhamento é um detalhe fácil de deixar passar. Sua plataforma de e-mail pode passar no SPF com o próprio domínio de retorno (bounce) enquanto o endereço do remetente mostra o domínio da sua loja. Essa mensagem passa no SPF, mas falha no DMARC, a menos que o DKIM seja assinado com o seu domínio.

O que o Gmail e o Yahoo exigem dos remetentes?

Os dois exigem autenticação de todos os remetentes e acrescentam regras mais rígidas para os remetentes em massa.

Para todos os remetentes, o Gmail exige SPF ou DKIM, DNS direto e reverso válidos, TLS, formatação conforme a RFC 5322 e taxa de spam abaixo de 0,3% no Postmaster Tools (Google (abre em uma nova aba)). O Yahoo exige pelo menos SPF ou DKIM e taxa de spam abaixo de 0,3% (Yahoo Sender Hub (abre em uma nova aba)). Para remetentes em massa:

RequisitoGmailYahoo
SPF e DKIMOs doisOs dois
DMARCObrigatório; a política pode ser nonePolítica válida de pelo menos p=none, e o DMARC precisa passar
AlinhamentoDomínio do remetente (From) alinhado ao domínio do SPF ou do DKIMIgual; aceita alinhamento relaxado
Cancelamento de inscrição com um cliqueMensagens de marketing e para inscritos, conforme a RFC 8058, além de um link visívelCabeçalho List-Unsubscribe com suporte a um clique para mensagens de marketing e para inscritos
Respeitar os cancelamentosEm até 48 horas (recomendado)Em até 2 dias
Taxa de spamAbaixo de 0,3%; o Google recomenda abaixo de 0,10%Abaixo de 0,3%

Alguns detalhes importam para lojas:

  • O Gmail conta por domínio. Mensagens do mesmo domínio principal contam para o limite de 5.000, então os e-mails de pedidos, de marketing e as respostas do atendimento se somam.
  • Só contam as contas pessoais do Gmail. As diretrizes não se aplicam a mensagens enviadas para contas do Google Workspace.
  • E-mails transacionais estão isentos do cancelamento com um clique. As confirmações de pedido continuam precisando de autenticação.

O cancelamento de inscrição com um clique usa dois cabeçalhos definidos na RFC 8058 (abre em uma nova aba), que também exige uma assinatura DKIM válida que inclua esses cabeçalhos:

List-Unsubscribe: <https://example.com/unsubscribe/opaquepart>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

Para confirmar que sua plataforma de marketing adiciona esses cabeçalhos, abra o código-fonte original de uma das suas próprias campanhas.

O que mudou depois de fevereiro de 2024?

A fiscalização ficou mais rígida em etapas, e outros provedores de e-mail adotaram regras parecidas.

DataMudançaFonte
Fevereiro de 2024Entram em vigor os requisitos do Gmail e do Yahoo (o Yahoo passou a aplicá-los de forma gradual)Google (abre em uma nova aba), Yahoo (abre em uma nova aba)
Junho de 2024Gmail: remetentes em massa com taxa de spam acima de 0,3% deixam de ser elegíveis para mitigaçãoFAQ do Gmail (abre em uma nova aba)
1º de junho de 2024Prazo do Gmail para o cancelamento com um clique, para remetentes que já tinham um link de cancelamentoFAQ do Gmail (abre em uma nova aba)
5 de maio de 2025Requisitos do Outlook.com para domínios que enviam mais de 5.000 e-mails por dia; a atualização da Microsoft de 29 de abril diz que as mensagens reprovadas são rejeitadas com 550 5.7.515Microsoft (abre em uma nova aba)
Novembro de 2025O Gmail intensifica a aplicação das regras, com rejeições temporárias e permanentesFAQ do Gmail (abre em uma nova aba)
Maio de 2026A RFC 9989 torna obsoleta a RFC 7489 como especificação do DMARCIETF (abre em uma nova aba)

As regras do Outlook.com valem para os endereços pessoais do serviço (outlook.com, hotmail.com e live.com) e exigem que o SPF e o DKIM passem e um DMARC de pelo menos p=none alinhado ao SPF ou ao DKIM.

Como configurar SPF, DKIM e DMARC na Shopify?

Autentique o domínio do remetente no painel administrativo da Shopify e depois adicione um registro DMARC no seu provedor de DNS.

O guia de configuração de e-mail (abre em uma nova aba) da Shopify diz que, desde 1º de fevereiro de 2024, Gmail e Yahoo exigem um domínio autenticado e um registro DMARC para enviar a partir de um endereço com a sua marca. Se os registros de autenticação não estiverem configurados, a Shopify reescreve o seu endereço de remetente no formato store+123@shopifyemail.com. Os passos:

  1. No painel administrativo da Shopify, acesse Configurações > Notificações (Settings > Notifications).
  2. Na seção E-mail do remetente (Sender email), clique em autenticar seu domínio (authenticate your domain).
  3. Adicione no seu provedor de DNS todos os registros CNAME exibidos. A quantidade pode variar. A Shopify diz que esses registros cuidam do SPF e do DKIM do seu endereço de remetente e que você não precisa adicionar endereços IP.
  4. Conte com até 48 horas para as alterações de DNS entrarem em vigor.
  5. Adicione um registro TXT com o nome _dmarc e o valor v=DMARC1; p=none;, que a Shopify usa como padrão.

Se você comprou o domínio na Shopify ou o transferiu para lá, a Shopify gerencia esses registros por você. A Shopify também alerta que um domínio só pode ter um registro DMARC e que as configurações de alinhamento estrito (adkim=s ou aspf=s) devem ser removidas ou alteradas para r.

A autenticação da Shopify cobre os e-mails que a própria Shopify envia. Se você usa outra plataforma para campanhas, um help desk ou o Google Workspace para os e-mails da equipe, cada um deles precisa da própria configuração de DKIM e, quando usa o seu domínio para os retornos (bounces), da própria entrada no SPF.

Como configurar a autenticação de e-mail no WooCommerce?

Envie os e-mails do WooCommerce por um provedor dedicado que assine com o seu domínio, como recomenda a própria documentação do WooCommerce.

O WooCommerce envia e-mails com a função wp_mail() do WordPress, e o seu FAQ de e-mail (abre em uma nova aba) recomenda um provedor SMTP dedicado, por ser mais confiável do que a função de e-mail do seu próprio servidor. Uma configuração típica:

  1. Escolha um provedor de e-mail transacional e verifique seu domínio nele. O provedor informa os registros DKIM e o include de SPF que você deve publicar.
  2. Conecte o WordPress a esse provedor com um plugin de SMTP ou de API.
  3. Defina o Endereço do remetente (From address) em WooCommerce > Configurações > E-mails como um endereço no seu próprio domínio. O WooCommerce alerta que um endereço público, como um do Gmail ou do Yahoo, tende a cair no spam ou a ser bloqueado.
  4. Publique um registro DMARC em _dmarc.yourdomain.
  5. Confira WooCommerce > Status > Logs e filtre pela origem transactional-emails para ver quais mensagens foram enviadas e quais falharam.

Se a sua hospedagem também envia e-mails pelo domínio, autentique esse envio ou desative-o. Qualquer sistema que envie em nome do seu domínio sem SPF ou DKIM alinhados vai falhar no DMARC.

O que é o limite de 10 consultas do SPF e como ficar abaixo dele?

Uma verificação de SPF pode usar no máximo 10 termos que exigem consultas DNS; com um a mais, o resultado é permerror e o SPF não passa.

A RFC 7208, seção 4.6.4 (abre em uma nova aba) lista os termos que contam: os mecanismos include, a, mx, ptr e exists e o modificador redirect. Os mecanismos ip4, ip6 e all não contam. Os includes aninhados dentro dos seus includes também contam, porque o limite vale para a avaliação inteira. A RFC também recomenda limitar a duas as “consultas vazias” (void lookups, que não retornam resposta) e diz que o mecanismo ptr não deve ser publicado.

Formas de ficar abaixo de 10:

  • Remova os includes de serviços que você não usa mais.
  • Use ip4 ou ip6 para servidores próprios com endereços fixos.
  • Mova os e-mails de marketing para um subdomínio como news.example.com, que tem o próprio registro SPF e a própria contagem.
  • Nunca publique dois registros SPF. A RFC 7208 proíbe múltiplos registros, e a avaliação retorna permerror.
example.com.        TXT  "v=spf1 include:_spf.google.com include:spf.example-esp.com ~all"
news.example.com.   TXT  "v=spf1 include:spf.example-marketing.com ~all"

spf.example-esp.com e spf.example-marketing.com representam os valores que os seus provedores indicarem.

Como passar o DMARC de p=none para p=reject?

Comece com p=none e relatórios, corrija todas as fontes legítimas que os relatórios revelarem e só então endureça a política.

EtapaRegistroObjetivo
1. Monitorarv=DMARC1; p=none; rua=mailto:dmarc@example.comColetar relatórios agregados sobre quem envia em nome do seu domínio
2. CorrigirSem alteraçãoFazer cada fonte legítima passar em SPF ou DKIM alinhados
3. Quarentenav=DMARC1; p=quarantine; rua=mailto:dmarc@example.comOs e-mails reprovados vão para o spam
4. Rejeiçãov=DMARC1; p=reject; rua=mailto:dmarc@example.comOs e-mails reprovados são recusados

Avance para a etapa seguinte só quando os relatórios mostrarem que a plataforma da loja, a ferramenta de marketing, o help desk e os e-mails da equipe estão todos passando. Os relatórios agregados são definidos na RFC 9990 (abre em uma nova aba). Se o endereço rua estiver em outro domínio, como o de um serviço de relatórios, esse domínio precisa publicar um registro que autorize o recebimento dos relatórios.

Guias mais antigos sugerem uma implantação com pct=25 ou pct=50. A RFC 9989 removeu o pct (a entrada dele no registro agora consta como “histórica”) porque valores diferentes de 0 e 100 eram aplicados de forma inconsistente. No lugar dele, t=y pede aos servidores que recebem que apliquem a política imediatamente inferior, por exemplo quarentena em vez de rejeição. Use t=y em vez de porcentagens parciais se quiser uma etapa de teste.

_dmarc.example.com.  TXT  "v=DMARC1; p=quarantine; t=y; rua=mailto:dmarc@example.com"
_dmarc.example.com.  TXT  "v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc@example.com"

Uma política aplicada também abre caminho para o BIMI, que exibe o seu logotipo nas caixas de entrada compatíveis. Para isso, o Gmail exige DMARC em p=quarantine ou p=reject e um Verified Mark Certificate ou um Common Mark Certificate (Google (abre em uma nova aba)). Para os e-mails que chegam ao seu domínio, o MTA-STS (RFC 8461 (abre em uma nova aba)) permite pedir aos servidores remetentes que recusem a entrega aos seus servidores de e-mail se eles não oferecerem TLS com um certificado confiável.

Como verificar os registros da sua loja?

Consulte os três tipos de registro com dig ou use um verificador que os leia por você.

dig +short TXT example.com
dig +short TXT _dmarc.example.com
dig +short TXT selector._domainkey.example.com

O seletor DKIM vem do seu provedor, e você encontra o seletor no valor s= do cabeçalho DKIM-Signature de uma mensagem que você enviou. O Relatório de Entregabilidade de E-mail lê o seu DNS público, conta as consultas do SPF, testa seletores DKIM comuns e verifica a política DMARC, rua, pct, BIMI e MTA-STS. Registros corretos ajudam, mas nenhum conjunto de registros garante a entrega na caixa de entrada, porque os provedores de e-mail também levam em conta as denúncias de spam e o comportamento de envio.

Perguntas frequentes

Preciso de DMARC se a minha loja envia menos de 5.000 e-mails por dia?

O Gmail só exige DMARC dos remetentes em massa, mas a Shopify observa que Gmail e Yahoo exigem um domínio autenticado e um registro DMARC para enviar a partir de um endereço com a sua marca. Um registro p=none tem baixo risco e gera relatórios, por isso a maioria das lojas deveria publicar um.

Meu domínio pode ter dois registros SPF?

Não. A RFC 7208 diz que um domínio não pode ter vários registros SPF e que, quando tem, a avaliação do SPF retorna permerror. Junte todos os remetentes em um único registro.

O p=reject vai bloquear os e-mails de pedidos da minha loja Shopify?

Não, se os registros CNAME da Shopify estiverem configurados e os seus relatórios DMARC mostrarem os e-mails da Shopify passando em DKIM alinhado. Confira os relatórios antes de ir além de p=none e mantenha o alinhamento relaxado, como a Shopify recomenda.

A tag pct do DMARC ainda é válida?

A RFC 9989, publicada em maio de 2026, removeu o pct e introduziu t=y para o modo de teste. As orientações do Google sobre BIMI ainda pedem pct=100, que é o padrão quando a tag não aparece; por isso, deixar o pct de fora é a opção mais simples para registros novos.

Passar em SPF, DKIM e DMARC garante que meus e-mails cheguem à caixa de entrada?

Não. A autenticação é um requisito, não uma garantia. Gmail e Yahoo também avaliam as taxas de denúncia de spam, a forma como os cancelamentos de inscrição são tratados e a formatação das mensagens.

Fontes

Todos os guias