Módulo 4 · 4.1

Porque é que o correio acaba na pasta de spam

Módulo 4: Capacidade de entrega: SPF, DKIM e DMARC na prática · Tempo de leitura: 10 minutos

Objetivo de aprendizagem: Após esta lição, será capaz de identificar as quatro camadas em que um destinatário avalia uma mensagem de entrada, explicar por que razão "a mim chega-me sempre" não prova nada, e determinar com um teste em que camada se encontra um problema.

Conceitos-chave: capacidade de entrega (deliverability), entrega vs. chegada à caixa de entrada, limpeza técnica, autenticação (SPF, DKIM, DMARC), alinhamento, reputação de IP, reputação de domínio, conteúdo, comportamento dos destinatários (queixas, abertura, eliminação), filtros por destinatário, Authentication-Results, email de teste, ferramentas de medição

Entregue não é o mesmo que chegado

Se o seu servidor transferiu uma mensagem para o servidor do destinatário, e este respondeu com 250 OK, então a mensagem foi entregue. Isso não significa ainda que esteja na Caixa de Entrada. O servidor recetor pode depois colocá-la na pasta de spam, num separador "Promoções", em quarentena, ou mesmo eliminá-la silenciosamente.

A capacidade de entrega (em inglês deliverability) diz respeito a esse segundo passo: a sua mensagem chega ao sítio onde deve chegar? E isso é decidido por cada destinatário individualmente. O Gmail pondera de forma diferente da Microsoft, e uma empresa com o seu próprio filtro de spam pondera ainda de outra forma. Não existe uma lista central de regras. No entanto, as camadas em que avaliam são praticamente as mesmas em todo o lado.

Camada 1: limpeza técnica

Antes de um filtro analisar o conteúdo, analisa a ligação:

O endereço IP do servidor de envio tem um DNS inverso (PTR) correto, que remete para o mesmo endereço? (Lição 5.1.)
O servidor apresenta-se corretamente com um nome real em EHLO?
A ligação está cifrada com TLS?
O servidor cumpre as regras do SMTP e tenta novamente após uma recusa temporária?

Numa caixa de correio de uma empresa de alojamento ou de um grande serviço de correio, isto está praticamente sempre em ordem. Torna-se um ponto de atenção se gerir o seu próprio servidor, como um VPS que envia correio diretamente, ou uma impressora ou câmara que envia correio por si própria.

Camada 2: autenticação

Esta é a camada onde, como administrador do domínio, mais pode fazer, e é sobre esta que trata este módulo:

SPF (lição 4.2): este servidor pode enviar correio em nome do domínio?
DKIM (lição 4.3): a mensagem está assinada e a assinatura está correta?
DMARC (lição 4.4): a verificação bem-sucedida corresponde ao domínio no endereço De (alinhamento), e o que deve fazer o destinatário se não for esse o caso?

As bases destes três registos encontram-se no curso de DNS, módulo 4. Aqui trata-se da prática: identificar todos os serviços que enviam correio em seu nome e afinar a política passo a passo.

Se a autenticação faltar, a avaliação desce. Desde 2024 e 2025, tornou-se também um requisito obrigatório junto dos grandes destinatários: o Gmail, o Yahoo e a Microsoft exigem, no mínimo, SPF ou DKIM de todos, e, de remetentes em massa, SPF, DKIM e DMARC com alinhamento. Isto é tratado em detalhe na lição 5.3.

Camada 3: reputação

Um destinatário recorda o que recebeu anteriormente de um remetente. Nesse sentido, analisa:

Reputação de IP: o que chegou anteriormente deste endereço IP? No alojamento partilhado e nos grandes serviços de correio, muitos remetentes partilham um IP; um remetente problemático pode assim afetar todos os outros. Um IP novo sem histórico é tratado com cautela.
Reputação de domínio: o que chegou anteriormente deste domínio (o domínio no endereço De e o domínio do DKIM)? Isto tem cada vez mais peso, precisamente porque o DKIM e o DMARC tornam um domínio identificável de forma fiável. Uma boa reputação de domínio mantém-se consigo quando muda de servidor.
Listas de bloqueio: listas públicas de endereços IP ou domínios que enviaram spam (lição 5.2).

A reputação constrói-se lentamente e perde-se rapidamente.

Camada 4: conteúdo e comportamento

Só por último é que um filtro analisa a própria mensagem e o que os destinatários fazem com ela:

Conteúdo: ligações para domínios com má reputação, ligações encurtadas, apenas uma imagem grande sem texto, anexos com macros, um assunto que nada tem a ver com o conteúdo, formatação danificada.
Comportamento dos destinatários: isto tem o maior peso junto dos grandes serviços de correio. Se muitos destinatários clicarem em "Isto é spam", a sua reputação desce. Se as suas mensagens forem abertas, respondidas ou retiradas da pasta de spam, a reputação sobe. O Gmail pretende que menos de 0,3% dos destinatários marquem a sua mensagem como spam, e de preferência menos de 0,1%.

A ideia de que palavras isoladas de "spam" como grátis ou promoção bloqueiam a sua mensagem é, em grande parte, um mito. Os filtros modernos ponderam o conjunto. Uma newsletter com a palavra grátis, de um remetente com boa autenticação e boa reputação, chega sem problemas; um texto correto de um servidor desconhecido sem SPF, não.

Porque é que "a mim chega-me sempre" não prova nada

Envia uma mensagem de teste para o seu próprio endereço Gmail e ela fica na Caixa de Entrada. Então está tudo bem? Não necessariamente:

Provavelmente já trocou correio com esse endereço anteriormente. Um filtro confia mais num remetente com quem já existe contacto.
Um destinatário não é igual a outro. A Microsoft pode recusar uma mensagem que o Gmail aceita.
Uma mensagem não é o mesmo que mil. Uma newsletter enviada para mil endereços é avaliada de forma diferente de uma mensagem isolada.

Uma mensagem de teste é, no entanto, útil, mas para ler os cabeçalhos (lição 1.5). Aí consta exatamente o que o destinatário constatou:

Authentication-Results: mx.google.com;
       dkim=pass header.i=@example.com header.s=x header.b=Ab12Cd34;
       spf=pass (google.com: domain of info@example.com designates 192.0.2.25 as permitted sender) smtp.mailfrom=info@example.com;
       dmarc=pass (p=NONE sp=NONE dis=NONE) header.from=example.com

Aqui, os três são bem-sucedidos. Se aparecer spf=softfail, dkim=none ou dmarc=fail, já sabe em que camada deve procurar. Assim, determina o problema em vez de adivinhar.

Uma abordagem em três passos

Verifique o seu DNS com uma ferramenta que analise MX, SPF, DKIM, DMARC e listas de bloqueio. Exemplos: a Verificação de Email e a Verificação de Saúde do Domínio do WebOké, o internet.nl, o MXToolbox. Estas mostram o que consta no DNS, mas não como uma mensagem real é avaliada.
Envie uma mensagem de teste real para um endereço no Gmail e no Outlook.com, ou para um serviço de teste como o mail-tester, e leia os cabeçalhos ou o relatório. Assim vê se, na prática, a mensagem passa no SPF, DKIM e DMARC.
Analise a reputação e o comportamento se a técnica estiver correta: o seu IP está numa lista de bloqueio? Envia newsletters a pessoas que o solicitaram? Como remetente de grande volume, pode acompanhar através do Google Postmaster Tools e do Microsoft SNDS.

Na prática: assim se apresenta num painel

No sítio do WebOké encontra a Verificação de Email gratuita (www.weboke.nl/pt/emailcheck): introduz um domínio e obtém uma pontuação com MX, SPF, DMARC e a verificação de lista de bloqueio do primeiro servidor de correio, com aconselhamento. No O meu WebOké, a Verificação de Saúde do Domínio verifica o mesmo para os seus próprios domínios, com botões de reparação. São apenas duas de muitas ferramentas; o internet.nl e o MXToolbox fazem verificações semelhantes, e cada fornecedor tem a sua própria versão. Utilize várias em simultâneo: nenhuma ferramenta vê tudo.

Resumo

Entregue significa apenas que o servidor recetor aceitou a mensagem; se esta chega à caixa de entrada, é o destinatário que decide.
Os destinatários avaliam em quatro camadas: técnica, autenticação, reputação e conteúdo/comportamento.
A autenticação (SPF, DKIM, DMARC) está sob o seu controlo e é um requisito obrigatório junto dos grandes destinatários.
As queixas dos destinatários têm mais peso do que palavras isoladas no seu texto.
Leia o cabeçalho Authentication-Results de uma mensagem de teste para ver onde está o problema.

Quiz

Exercício

Exercício Z4.1: Submeter o seu domínio à verificação de e-mail. Introduza o seu próprio domínio (ou, se não tiver nenhum, internet.nl). O programa verifica o MX, o SPF, os selectores DKIM que consegue encontrar, o DMARC e a verificação de lista de bloqueio do primeiro servidor de correio. Depois, preencha você próprio: que terminação de SPF o domínio tem, que política de DMARC, e se o primeiro servidor de correio está numa lista de bloqueio. O programa compara as suas respostas com o resultado ao vivo. Explique numa frase em qual das quatro camadas o seu domínio tem mais margem de melhoria.

Para saber mais

Os passos descritos nestes artigos aplicam-se aos painéis do WebOké; junto de outros fornecedores, o funcionamento é semelhante.

Cookies na WebOké

Definições de cookies

Necessários

Marketing