Como configurar a proteção contra spoofing de e-mail com SPF, DKIM e DMARC para clientes PME

O spoofing de e-mail — quando invasores forjam endereços de remetente para aplicar golpes de phishing e falsidade ideológica — é uma das principais ameaças contra pequenas e médias empresas (PMEs). Esses ataques costumam dar certo simplesmente porque os registros essenciais de autenticação de e-mail estão ausentes ou mal configurados.

Neste guia, mostramos como implementar uma proteção contra spoofing de e-mail eficaz, com SPF, DKIM e DMARC, para proteger o tráfego de saída e de entrada dos seus clientes PME que usam Windows.

Por que isso importa mais do que nunca em 2026

Google, Yahoo e Microsoft agora rejeitam ativamente e-mails em massa não autenticados, em vez de apenas marcá-los como spam. Domínios que enviam mais de 5.000 mensagens por dia para endereços do Gmail, Yahoo ou Outlook.com precisam ter SPF, DKIM e um registro DMARC publicado — caso contrário, as mensagens voltam.

Mesmo PMEs bem abaixo desse volume sofrem efeitos indiretos. Plataformas de marketing, CRMs e ferramentas de helpdesk que enviam em nome da empresa contam para o volume do próprio remetente, e uma reputação compartilhada em infraestrutura não autenticada acaba limitando a entrega de todo mundo. Ou seja: configurar esses registros é o mínimo para que o e-mail realmente chegue.

Os protocolos em resumo

Protocolo	O que faz	Onde fica	Exigido pelas regras de remetentes em massa de 2026?
SPF	Autoriza IPs/servidores de envio	Registro TXT no DNS	Sim
DKIM	Assina as mensagens com criptografia	Registro TXT/CNAME no DNS	Sim
DMARC	Define a política de aplicação + relatórios	Registro TXT no DNS	Sim
BIMI	Exibe o logotipo verificado da marca	Registro TXT no DNS + VMC	Não (opcional)

Como proteger a empresa contra spoofing de e-mail

SPF, DKIM e DMARC são o trio essencial que autentica remetentes e barra o spoofing de domínio. Configurados corretamente, impedem que invasores se passem pela sua empresa ou pelos seus parceiros.

📌Caso de uso: implemente essas ferramentas de proteção no e-mail corporativo para evitar spoofing de e-mail, barrar phishing, proteger a marca e garantir que só mensagens legítimas cheguem à caixa de entrada.

📌Pré-requisitos: antes de começar, confirme que tem:

• Acesso administrativo ao DNS do seu domínio
• Um serviço de e-mail compatível com DKIM
• Permissão para adicionar/atualizar registros TXT no DNS
• Noções básicas de registros DNS
• Ferramentas como PowerShell, testadores de e-mail (por exemplo, MXToolbox) e o Prompt de Comando

Recomendamos ler ⚠️ Pontos de atenção antes de prosseguir.

📌 Estratégias de implantação recomendadas:

	💻 Melhor para usuários individuais	💻💻💻 Melhor para empresas
Como configurar o registro SPF no DNS	✓	✓
Como ativar a assinatura DKIM	✓	✓
Como publicar a política DMARC	✓	✓
Use o PowerShell para gerenciar DKIM e DMARC no Microsoft 365		✓
Como reforçar o e-mail por GPO e Registro (somente clientes Windows)		✓

Como configurar o registro SPF no DNS

A configuração do Sender Policy Framework (SPF) é o primeiro passo crítico para declarar quais são as origens legítimas de e-mail e impedir o spoofing de domínio. Ele publica no DNS uma “lista de remetentes autorizados” do seu domínio. Os servidores receptores verificam se a mensagem realmente veio dos servidores aprovados.

📌 Caso de uso: configure o SPF agora se o seu domínio envia qualquer e-mail (via Microsoft 365, servidor local, site ou ferramentas de marketing). Todo domínio precisa de SPF para estabelecer legitimidade básica do remetente e melhorar a entregabilidade.

Passo a passo:

1. Liste os remetentes autorizados. Identifique todo serviço que envia e-mails como @seudominio.com, por exemplo:
   • Seu provedor de e-mail (por exemplo, Microsoft 365, Google Workspace)
   • Seu site/servidor (se enviar notificações)
   • Ferramentas de marketing (por exemplo, Mailchimp, Constant Contact)
   • CRMs (por exemplo, Salesforce, Hubspot)
   • Servidores de e-mail locais

💡 Dica: consulte a documentação de cada fornecedor para saber o valor exigido no include: do SPF. O Microsoft 365, por exemplo, usa spf.protection.outlook.com.

2. Monte o registro SPF:
   • Crie um registro TXT com esta sintaxe:

v=spf1 [mechanisms] -all

• • Exemplos:
    • Somente Microsoft 365: v=spf1 include:spf.protection.outlook.com -all
    • Microsoft 365 + servidor do site (IP 192.0.2.10): v=spf1 ip4:192.0.2.10 include:spf.protection.outlook.com -all
    • Microsoft 365 + Salesforce: v=spf1 include:spf.protection.outlook.com include:_spf.salesforce.com -all

Vale lembrar que spf.protection.outlook.com é um domínio DNS gerenciado pela Microsoft que publica o registro SPF oficial da infraestrutura de e-mail de saída do Microsoft 365. Ele contém a lista autoritativa de servidores de e-mail e faixas de IP que o Microsoft 365 pode usar ao enviar e-mails em nome dos domínios dos clientes

⚠️ Aviso: termine sempre a sintaxe com -all para aplicar a falha rígida. Isso bloqueia de fato remetentes não autorizados.

3. Publique o registro DNS seguindo estes passos:
   • Faça login no seu servidor DNS (por exemplo, GoDaddy, Cloudflare).
   • Crie um novo registro TXT.
   • Defina o campo Host como @ (ou o nome do domínio raiz).
   • Cole o registro SPF (do passo anterior) no campo Valor/Conteúdo.
   • Salve as alterações.
4. Verifique o resultado assim:
   • Abra o Prompt de Comando ou o Terminal do Windows (Win + X).
   • Execute este comando:

nslookup -type=txt yourdomain.com

• • Procure o registro SPF na saída do comando.
  • Confirme com o SPF Checker da MX-Toolbox.

Em 24 a 48 horas, os e-mails legítimos dos seus serviços passam na verificação de SPF e as mensagens falsificadas devem falhar na autenticação. Os resultados de SPF aparecem nos cabeçalhos dos e-mails como pass/fail.

Como ativar a assinatura DKIM

O DomainKeys Identified Mail (DKIM) adiciona uma assinatura digital exclusiva aos e-mails enviados. Essa assinatura é gerada pelo servidor de envio com uma chave criptográfica privada.

A chave pública correspondente é publicada no DNS como um registro DKIM. Quando recebe a mensagem, o servidor de destino busca a chave pública no DNS e a usa para validar a assinatura.

📌 Caso de uso: ative o DKIM imediatamente se envia e-mails corporativos, sejam transacionais, de marketing ou internos. Ele é obrigatório para aplicar o DMARC e impede que invasores manipulem suas mensagens.

Passo a passo:

1. Gere as chaves DKIM. Lembre-se de que o serviço de e-mail cria as chaves criptográficas automaticamente::

• Serviços na nuvem: nada a fazer, já que as chaves são geradas automaticamente ao ativar o DKIM.
  • • Microsoft 365: encontre a chave no portal do Microsoft Defender > Email e colaboração > Políticas e regras > Políticas de ameaça > Configurações de autenticação de email > DKIM. (Dá para pular a navegação com o link direto: https://security.microsoft.com/authentication?viewid=DKIM.)
    • Google Workspace: encontre a chave em Console do Admin > Apps > Gmail > Autenticar e-mail.
• Servidores próprios: use ferramentas como o OpenSSL ou o assistente de DKIM do seu servidor de e-mail.

💡 Dica: use chaves de 2048 bits sempre que o provedor permitir; 1024 bits é o mínimo técnico que a maioria ainda aceita, mas 2048 bits já é o padrão recomendado por resistir melhor à quebra de chave.

2. Publique os registros DNS:

• • Pegue o registro DKIM com o provedor de e-mail:
    • Microsoft 365: registros CNAME (veja abaixo)
    • Google Workspace: registro TXT
    • Outros: TXT ou CNAME
  • Faça login no provedor de DNS (por exemplo, Cloudflare, GoDaddy)
  • Adicione os registros a seguir:

Serviço	Tipo de registro	Host/Nome	Valor/Conteúdo
Microsoft 365	CNAME	selector1._domainkey	selector1-[domain]-com._domainkey.[tenant].onmicrosoft.com
	CNAME	selector2._domainkey	selector2-[domain]-com._domainkey.[tenant].onmicrosoft.com
Google Workspace	TXT	google._domainkey	v=DKIM1; k=rsa; p=[long_public_key]

⚠️ Importante: substitua [domain] pelo seu domínio e [tenant] pelo nome do seu tenant do Microsoft 365.

Observação: o Microsoft 365 usa dois registros DKIM para permitir a rotação transparente das chaves, mantendo a autenticação de e-mail sem interrupções e reforçando a segurança geral

3. Verifique a configuração assim:

• • Abra o Prompt de Comando ou o PowerShell no Terminal do Windows (Win + X).
  • No Prompt de Comando, execute:

nslookup -type=txt google._domainkey.yourdomain.com # Google TXT check nslookup -type=cname selector1._domainkey.yourdomain.com # M365 CNAME check

• • No PowerShell, use este script:

Get-DkimSigningConfig -Identity yourdomain.com | Format-List Enabled,Status

• • • Procure por Enabled: True e Status: CNAMEValid.

• • Teste por e-mail: envie uma mensagem para [email protected] e analise os cabeçalhos da resposta.

Depois da configuração, todos os e-mails de saída devem incluir o cabeçalho DKIM-Signature em até 24 horas. Os destinatários conseguem validar as mensagens com a chave pública do seu DNS, e e-mails forjados ou alterados falham na verificação DKIM. Os relatórios DMARC também devem mostrar dkim=pass para os e-mails legítimos.

Como publicar a política DMARC

O DMARC funciona como o fiscal da política do seu domínio: diz aos provedores de e-mail o que fazer com mensagens não verificadas e entrega relatórios essenciais sobre spoofing. É a última camada de armadura da proteção contra spoofing de e-mail.

📌 Caso de uso: implante o DMARC depois que SPF e DKIM estiverem ativos. É indispensável em todos os domínios para barrar phishing, ganhar visibilidade sobre o tráfego de e-mail e aplicar a proteção contra falsificação de remetente.

Passo a passo:

1. Confirme que SPF e DKIM (métodos 1 e 2) estão ativos e passando em todas as origens de e-mail. Esse é um pré-requisito essencial para o DMARC.
2. Monte o registro DMARC com estes passos:
   • Crie um registro TXT no DNS do domínio com esta sintaxe:

v=DMARC1; p=<policy>; rua=mailto:[email protected]

• • Entenda cada parte:
    • p= (política): diz aos servidores receptores o que fazer com mensagens não autenticadas. Escolha uma opção:
      • p=none: apenas monitorar (comece por aqui).
      • p=quarantine: enviar as falhas para o spam.
      • p=reject: bloquear as falhas de imediato.
    • rua= (relatórios): envia relatórios agregados diários, essenciais para identificar spoofing e corrigir o fluxo de e-mails legítimos.
  • Opcionalmente, estas tags ajudam no ajuste fino:
    • pct=5: aplica a política a apenas 5% das mensagens que falham (suaviza a aplicação).
    • sp=quarantine: define uma política diferente para os subdomínios.
    • adkim=r; aspf=r: usa alinhamento “relaxed” (comum na maioria das configurações).

3. Publique o registro DNS da seguinte forma:
   • Faça login no provedor de DNS (por exemplo, Cloudflare, GoDaddy)
   • Crie o registro TXT:
     • Host: _dmarc
     • Valor: a string da sua política DMARC
     • TTL: 3600 (1 hora)
4. Verifique as alterações:
   • Abra o Prompt de Comando ou o Terminal do Windows (Win + X).

nslookup -type=txt _dmarc.yourdomain.com

• • Para checar online, use o MXToolbox DMARC Lookup

5. Monitore e endureça a política:
   • Analise os relatórios enviados à caixa de entrada do rua por 2 semanas.
   • Atualize SPF e DKIM sempre que surgirem remetentes legítimos.
   • Avance na política: none > quarantine > reject.

Em até 72 horas após a configuração, os relatórios XML diários devem mostrar remetentes legítimos e fraudulentos, as taxas de aprovação de SPF e DKIM, os focos geográficos de ameaça e quais e-mails foram colocados em quarentena ou rejeitados.

Use o PowerShell para gerenciar DKIM e DMARC no Microsoft 365

O PowerShell simplifica o gerenciamento da segurança de e-mail no Microsoft 365 com a eficiência da linha de comando. Use-o para aplicar a proteção contra spoofing de e-mail mais rápido do que pelas interfaces gráficas.

📌 Caso de uso: ideal para administradores de TI que gerenciam vários domínios, automatizam implantações ou investigam logs de SPF/DKIM/DMARC. Também é essencial para aplicar políticas em escala.

Passo a passo:

1. Conecte-se ao Exchange Online:
   • Abra o PowerShell (como administrador) e execute este script:

Connect-ExchangeOnline -UserPrincipalName [email protected] -ShowBanner:$false

2. Ative a assinatura DKIM com estes passos:
   • Execute este script:

Set-DkimSigningConfig -Identity yourdomain.com -Enabled $true

• • Verifique com este script:

Get-DkimSigningConfig yourdomain.com | Select Name, Enabled, Status

💡 Observação: procure por Enabled: True e Status: CNAMEValid

3. Obtenha os logs de SPF/DKIM/DMARC executando este script:

Get-MessageTrace -SenderAddress [email protected] -StartDate (Get-Date).AddDays(-1) -EndDate (Get-Date) | Format-List Received, SenderAddress, RecipientAddress, Subject, *SPF*, *DKIM*, *DMARC*

• • A saída deve mostrar os resultados de autenticação de cada e-mail enviado.

4. Veja rastreamentos detalhados (Microsoft Defender) executando este script.

Get-MessageTraceReport -MessageTraceId <ID_from_previous_command> | Select -ExpandProperty Events | Where { $_.Action -eq "Deliver" } | Format-List Connectors, *Authentication*

Após a execução, a assinatura DKIM passa a valer imediatamente para o tráfego de saída. Os logs devem revelar as taxas de aprovação/falha de SPF e DKIM, o status de alinhamento do DMARC e remetentes suspeitos.

Como reforçar o e-mail por GPO e Registro (somente clientes Windows)

Enquanto SPF/DKIM/DMARC protegem os servidores, reforçar os clientes de e-mail no Windows acrescenta defesas importantes na camada do usuário contra spoofing.

📌 Caso de uso: aplique quando os funcionários usam o Outlook em PCs com Windows 11 ingressados no domínio. É essencial para equipes de finanças e RH que lidam com dados sensíveis.

Passo a passo:

Método A: edição do Registro (PC único)

1. Pressione Win + R e digite regedit para abrir o Editor do Registro. Confirme que tem privilégios administrativos.
2. Vá até este caminho ou cole-o na barra de endereços: HKEY_CURRENT_USER\Software\Microsoft\Office\16.0\Outlook\Security
3. Crie um novo Valor DWORD (32 bits):
   • Dê a ele o nome ShowSenderAsFrom
   • Defina os dados do valor como 1.
     • Isso força o Outlook a exibir o endereço da caixa de correio no campo De quando as mensagens são enviadas com Enviar como ou permissões de caixa compartilhada, em vez de mostrar “em nome de”.

Método B: Política de Grupo (todo o domínio)

1. Abra o Editor de Gerenciamento de Política de Grupo.
2. Vá para Configuração do Usuário > Modelos Administrativos > Microsoft Outlook 2016 > Segurança
3. Ative duas políticas:
   • Avisar sobre endereços de remetente ambíguos
   • Sempre mostrar o endereço De nos cabeçalhos de email
4. Aplique executando gpupdate /force nos PCs clientes.

Depois da implementação, o Microsoft Outlook passa a exibir avisos quando há divergência suspeita entre remetente e responder-para, os cabeçalhos completos ficam visíveis sem plugins e a TI ganha visibilidade sobre possíveis tentativas de spoofing pelos logs do Visualizador de Eventos — além de um sinal extra para flagrar mensagens que parecem internas e que a autenticação sozinha não barra (por exemplo, uma conta de parceiro comprometida com SPF/DKIM válidos).

⚠️ Pontos de atenção

Esta seção reúne os desafios que merecem atenção enquanto você segue o guia.

Riscos	Possíveis consequências	Como reverter
Falha rígida de SPF (-all) sem inventário completo de remetentes	E-mails legítimos bloqueados (faturas, comunicações com clientes), falhas em CRM e sistemas de marketing	Mude temporariamente para ~all; adicione os serviços que faltam ao registro SPF.
Chaves DKIM sem rotação	Comprometimento criptográfico que permite falsificação do remetente; falhas de entrega por chave expirada	Gere novas chaves imediatamente; atualize o DNS dentro da janela de rotação de 4 horas.
Política DMARC agressiva (p=reject) sem monitoramento	E-mails críticos rejeitados em silêncio (sem aviso de devolução); interrupções na cadeia de fornecimento	Volte para p=none; analise os relatórios por 2 a 4 semanas antes de endurecer de novo.
Editar o Registro do Windows sem backup	Travamentos do Outlook; estações de trabalho incapazes de enviar/receber e-mails	Restaure o registro a partir do backup; exclua o valor DWORD ShowSenderAsFrom.
E-mail de relatórios DMARC inválido (rua)	Nenhuma visibilidade sobre ataques de spoofing; campanhas de phishing não detectadas	Corrija o endereço de e-mail no DNS; confirme que a caixa de entrada existe.
Alterações de DNS sem verificação	E-mails desaparecendo por 24 a 72 horas; dano à reputação do domínio	Volte aos registros DNS anteriores; use nslookup/MXToolbox para validar antes.

Dicas para configurar a proteção contra spoofing de e-mail

Siga estas dicas práticas para evitar armadilhas comuns ao implantar a proteção contra spoofing de e-mail. Otimize a configuração pensando em segurança e entregabilidade.

Por que o SPF falha depois de 10 consultas DNS?

O SPF falha quando as consultas DNS passam de 10, fazendo e-mails legítimos voltarem. Evite isso achatando os includes:; troque declarações aninhadas de include: por listas diretas de ip4:/ip6:.

Também dá para usar macros SPF consolidando os provedores (include:%{i}._spf.example.com). Teste tudo com rigor usando o script abaixo:

Resolve-DnsName -Type TXT yourdomain.com | Select-Object Strings # Windows 11

Começo com p=reject ou p=none?

Nunca comece com p=reject. O risco de bloquear e-mails válidos em silêncio é alto. Use p=none por 2 a 4 semanas para reunir relatórios. Depois, corrija as lacunas de SPF/DKIM dos remetentes legítimos.

Em seguida, avance para p=quarantine (spam) > p=reject (bloqueio). A aplicação gradual evita interrupções no negócio e ainda maximiza a proteção contra falsificação de remetente.

Com que frequência devo girar as chaves DKIM?

Mudanças de chave sem documentação quebram o fluxo de e-mail. Para um gerenciamento à prova de falhas, registre os seletores (por exemplo, selector1, google) em um cofre de senhas, gire as chaves a cada 6 meses pelo console de administração do e-mail e audite trimestralmente com este comando:

Get-DkimSigningConfig | Format-List Domain, SelectorCNAME # Microsoft 365

Vale usar uma ferramenta de DMARC hospedada em vez de gerenciar o DNS manualmente?

Se o gerenciamento manual de DNS e PowerShell virar um peso, adote plataformas voltadas a MSPs, como PowerDMARC, Proofpoint ou Valimail. Elas configuram SPF/DKIM/DMARC automaticamente, traduzem os relatórios para uma linguagem clara e alertam sobre ataques de spoofing em tempo real. É a escolha ideal para equipes sem administradores de e-mail dedicados ou monitoramento 24 horas.

Proteção contra spoofing de e-mail: barre o phishing antes que ele comece

Configurar SPF, DKIM e DMARC é a linha de frente contra phishing, fraude de faturas e falsificação de marca que miram as PMEs. Ao implementar esses protocolos, você reforça a confiança no domínio, bloqueia e-mails falsificados já no servidor e ganha visibilidade essencial sobre os padrões de ataque.

Comece pelo -all do SPF, acrescente a assinatura criptográfica do DKIM e deixe os relatórios DMARC guiarem o endurecimento da política. Lembre-se: uma única “solicitação do CEO” falsificada que passa despercebida pode quebrar um cliente.

Temas relacionados

• Entendendo e prevenindo ataques de spoofing de e-mail
• O que é spoofing?
• Exemplos de e-mail de phishing: como identificar um e-mail de phishing
• O que é comprometimento de e-mail corporativo (BEC)?
• 10 melhores práticas de segurança para servidores de e-mail que você precisa conhecer