Cada vez que alguém recebe um e-mail, confia que o remetente é quem diz ser. Mas o protocolo original de e-mail, criado nos anos 70, não foi projetado com segurança em mente — qualquer servidor pode enviar uma mensagem dizendo ser seu domínio. Isso tornou o spoofing de e-mail trivialmente simples e abriu a porta para ondas de phishing e spam.

A solução veio em camadas: o SPF define quais servidores têm permissão para enviar e-mail pelo seu domínio. O DKIM adiciona uma assinatura digital que prova que a mensagem não foi alterada no trânsito. O DMARC utiliza os dois como base e define o que o servidor receptor deve fazer quando as verificações falham. Juntos, eles formam a espinha dorsal da autenticação de e-mail moderna.

Toda essa configuração vive no DNS — o sistema que traduz nomes de domínio em endereços e armazena metadados de configuração. O tipo de registro usado é o registro TXT, um campo de texto livre que foi "reaproveitado" para publicar políticas de segurança de e-mail.

O problema do e-mail sem autenticação

Sem SPF, DKIM e DMARC, um atacante pode enviar um e-mail de [email protected] de qualquer lugar do mundo, e muitos servidores receptores vão entregá-lo normalmente. Isso é explorado em ataques de phishing de alto impacto: e-mails que imitam bancos, operadoras e empresas conhecidas são enviados em massa, e a vítima não tem como distinguir visualmente um e-mail falso de um legítimo.

Domínios sem autenticação também são mais propensos a ter seus e-mails legítimos classificados como spam pelos filtros modernos — Google, Microsoft e outros provedores dão peso significativo à presença e qualidade de SPF, DKIM e DMARC ao decidir se uma mensagem vai para a caixa de entrada ou para o lixo.

Os três registros, em ordem de configuração

1. SPF: O ponto de partida. Crie um registro TXT v=spf1 listando todos os servidores autorizados a enviar e-mail pelo domínio.

2. DKIM: Gere um par de chaves no seu servidor de e-mail ou na plataforma de envio e publique a chave pública no DNS como registro TXT sob seletor._domainkey.seudominio.com.

3. DMARC: Com SPF e DKIM funcionando, publique a política DMARC em _dmarc.seudominio.com. Comece com p=none para monitorar antes de bloquear.