← Artigos e guias sobre fraudes, cibersegurança, LGPD e lavagem

SPF, DKIM e DMARC: como proteger o e-mail da empresa contra fraude

Guia prático de SPF, DKIM e DMARC para pequenas empresas: o que cada um faz, regras do Gmail e Outlook e como evitar que golpistas usem seu domínio.

2026-10-31

Um boleto adulterado enviado "pelo seu fornecedor", um pedido urgente de transferência "do diretor", uma fatura "da sua empresa" chegando ao cliente com outra conta bancária. Golpes de comprometimento de e-mail corporativo (BEC) somaram cerca de US$ 3,05 bilhões em perdas declaradas ao FBI em 2025, a segunda maior categoria do relatório do IC3. Parte desses golpes usa domínios falsificados, e três registros de DNS gratuitos dificultam muito essa falsificação: SPF, DKIM e DMARC.

O que são SPF, DKIM e DMARC?

Registro	O que faz	Analogia
SPF	Publica quais servidores e IPs podem enviar e-mail em nome do seu domínio	Lista de carteiros autorizados
DKIM	Assina digitalmente cada mensagem enviada, provando que veio do seu domínio e não foi alterada	Lacre no envelope
DMARC	Diz aos provedores o que fazer com mensagens que falham no SPF ou DKIM (nada, quarentena ou rejeitar) e envia relatórios	Instrução ao porteiro

A definição segue o guia de segurança de e-mail e antifalsificação do NCSC, o centro de cibersegurança do Reino Unido, que recomenda os três, além de TLS no envio e no recebimento.

O Gmail e o Outlook exigem DMARC?

Para quem envia muito, sim. Desde 1º de fevereiro de 2024, o Google exige que todo remetente para contas Gmail use SPF ou DKIM. Quem envia mais de 5.000 mensagens por dia precisa de SPF e DKIM, de um registro DMARC (a política pode ser "none"), de alinhamento entre o domínio do campo De: e o domínio autenticado, de descadastro com um clique em mensagens de marketing e de taxa de spam abaixo de 0,3% no Postmaster Tools.

A Microsoft seguiu o mesmo caminho: desde 5 de maio de 2025, domínios que enviam mais de 5.000 mensagens por dia para Outlook.com, Hotmail e Live precisam de SPF, DKIM e DMARC. A empresa anunciou que mensagens fora do padrão iriam para a pasta de lixo eletrônico e, depois, seriam rejeitadas.

Mesmo uma pequena empresa que não chega a esse volume ganha com a configuração: suas faturas e cobranças chegam com mais confiança e fica mais difícil para golpistas se passarem por ela.

Como configurar passo a passo?

Liste quem envia e-mail com seu domínio: o provedor de e-mail (Google Workspace, Microsoft 365 etc.), o sistema de notas fiscais, a ferramenta de newsletter, o ERP, o site.
Publique o SPF no DNS com todos esses serviços. Evite registros duplicados: o domínio deve ter um único SPF.
Ative o DKIM no painel de cada serviço de envio e publique a chave no DNS.
Publique o DMARC com p=none e um endereço para receber relatórios. Fase de observação: nada é bloqueado, mas você descobre quem envia em seu nome.
Leia os relatórios por algumas semanas e corrija serviços legítimos que falham.
Endureça a política: o NCSC recomenda começar em "none" e evoluir até rejeitar e-mails falsificados (quarentena e depois reject).
Proteja todos os domínios, inclusive os que você não usa para e-mail.

E os domínios que não enviam e-mail?

Domínios parados também podem ser falsificados. O próprio domínio gov.br, segundo reportagem do Tecnoblog, recebeu do NIC.br um registro MX nulo e um SPF nulo, que na prática dizem que ninguém pode originar mensagens @gov.br. A mesma lógica vale para domínios de marca, antigos ou registrados só para proteção: SPF que não autoriza nenhum servidor e DMARC em reject.

DMARC acaba com o golpe do e-mail falso?

Não. DMARC impede que alguém use exatamente o seu domínio, mas não barra domínios parecidos (uma letra trocada, outra terminação) nem contas legítimas invadidas. Por isso o processo interno continua essencial: confirmar por telefone, com número já conhecido, qualquer mudança de conta bancária de fornecedor; exigir dupla aprovação para pagamentos; e ativar MFA nas caixas de e-mail. Veja como funciona a fraude BEC e os números de phishing e deepfakes.

O que fazer / Como se proteger

Peça ao responsável pelo DNS ou ao provedor um relatório de SPF, DKIM e DMARC do domínio.
Comece com DMARC p=none, leia os relatórios e avance para reject.
Treine financeiro e atendimento: e-mail com urgência e nova conta bancária é sinal de alerta.
Se o golpe já aconteceu, acione o banco imediatamente e registre ocorrência; nos EUA, denuncie ao FBI no ic3.gov. Detalhes no relatório IC3 2025.

Mais checklists em Dicas e alertas no Radar.