SPF, DKIM e DMARC no Exchange Online: como configurar a autenticação de e-mail

By Mirko Peters · 2026-10-29

Saiba como configurar SPF, DKIM e DMARC no Exchange Online para proteger seu domínio, evitar falsificação de identidade (spoofing) e garantir altas taxas de entregabilidade de e-mails.

Automatically translated with AI from the original post. Read the English original

Proteger o e-mail de saída e de entrada da sua organização no Microsoft 365 exige a configuração correta de SPF, DKIM e DMARC. Este guia explica como esses três protocolos essenciais de autenticação de e-mail funcionam em conjunto no Exchange Online para proteger seu domínio contra falsificação de identidade, ataques de phishing e falhas indesejadas de entrega.

Principais conclusões

• O SPF define quais servidores de e-mail estão autorizados a enviar mensagens em nome do seu domínio personalizado.
• O DKIM assina criptograficamente suas mensagens de saída para verificar que o conteúdo do e-mail não foi alterado durante o trânsito.
• O DMARC usa os resultados do SPF e do DKIM para determinar como os servidores receptores devem tratar e-mails não autenticados que se apresentam como vindos da sua organização.
• O roteamento padrão onmicrosoft.com oferece entrega básica, mas domínios personalizados exigem registros SPF e DKIM explícitos no seu DNS público.
• O monitoramento adequado do DMARC começa com a política 'none' antes de avançar para quarentena rigorosa ou aplicação de rejeição.

Entendendo a autenticação de e-mail no Exchange Online

Ao migrar para o Exchange Online, as organizações costumam se concentrar bastante na migração de caixas de correio, nos conectores híbridos e no compartilhamento de agendas. No entanto, acertar o fluxo de e-mails vai muito além de direcionar os registros MX para a Microsoft. Sem a autenticação adequada de e-mail, comunicações legítimas da empresa frequentemente caem em pastas de spam ou, pior, agentes de ameaça falsificam facilmente a identidade da sua marca.

Os protocolos de autenticação de e-mail funcionam como o passaporte digital e os seguranças do seu domínio. Quando uma caixa de correio do Exchange Online envia um e-mail para um destinatário externo, como Gmail ou Yahoo, os servidores receptores exigem prova absoluta de que a mensagem realmente se originou da sua organização e não foi forjada por um terceiro mal-intencionado. É por isso que a combinação de SPF, DKIM e DMARC é indispensável para qualquer administrador de nuvem moderno.

O papel do SPF no Exchange Online

O Sender Policy Framework (SPF) é um registro TXT fundamental publicado no seu provedor de DNS público. Ele lista explicitamente os endereços IP e os serviços autorizados a enviar e-mails em nome do seu domínio. Para um locatário do Exchange Online, o seu registro SPF precisa incluir o mecanismo de inclusão da Microsoft.

Um registro SPF típico do Exchange Online é surpreendentemente simples, normalmente incorporando include:spf.protection.outlook.com. Quando um servidor externo recebe um e-mail do seu domínio, ele consulta seu DNS público, verifica o registro SPF e avalia se o endereço IP do servidor de envio corresponde à sua lista autorizada. Se a sua organização usa ferramentas de marketing, sistemas de chamados ou plataformas de RH de terceiros que enviam e-mails em seu nome, esses serviços também precisam ser integrados cuidadosamente ao seu único registro SPF, para evitar erros de sintaxe e falhas por limite de consultas DNS.

Implementando a assinatura DKIM

Enquanto o SPF valida o servidor de envio, o DomainKeys Identified Mail (DKIM) valida a integridade da própria mensagem. O DKIM adiciona uma assinatura digital ao cabeçalho de cada e-mail enviado. Essa assinatura está criptograficamente vinculada a uma chave pública publicada nas configurações de DNS do seu domínio.

O Exchange Online facilita a configuração do DKIM pelo portal do Microsoft Defender, embora exija a criação de registros CNAME específicos no registrador de DNS externo. Depois de habilitado, o Exchange Online assina automaticamente suas mensagens de saída. Se um agente mal-intencionado interceptar e modificar seu e-mail em trânsito, o hash criptográfico deixa de passar na verificação, sinalizando imediatamente ao gateway de e-mail receptor que a mensagem foi adulterada. Habilitar o DKIM é uma etapa obrigatória para melhorar a entregabilidade nos principais provedores de e-mail, tanto de consumo quanto corporativos.

Aplicando políticas DMARC

O Domain-based Message Authentication, Reporting, and Conformance (DMARC) reúne SPF e DKIM em uma política unificada. Um registro DMARC informa aos servidores de e-mail receptores o que fazer quando uma mensagem recebida falha nas verificações de SPF e DKIM. Mais importante ainda, o DMARC também introduz regras de alinhamento, garantindo que o domínio visível para o usuário final no cabeçalho "De:" corresponda aos domínios autenticados pelo SPF e pelo DKIM.

Ao começar com o DMARC no Exchange Online, os administradores devem sempre iniciar com uma política de monitoramento (p=none). Essa configuração instrui os servidores receptores a enviar diariamente relatórios XML agregados e forenses para um endereço de relatório designado, sem bloquear nenhum e-mail. A análise desses relatórios permite que os administradores de TI descubram remetentes não autorizados, corrijam sistemas internos com configuração incorreta e migrem gradualmente sua política para p=quarantine e, por fim, para p=reject, para proteção máxima do domínio.

Solucionando problemas comuns fluxo de e-mail

Mesmo com configurações de DNS corretas, os administradores que gerenciam o fluxo de e-mail do Exchange Online se deparam com armadilhas sutis. Um problema comum surge em implantações híbridas, nas quais os e-mails são roteados tanto por servidores Exchange locais quanto pelo Exchange Online Protection (EOP). Se os conectores de retransmissão internos não tiverem as permissões adequadas ou as declarações de IP de origem, as mensagens de saída podem deixar de ser assinadas pelo DKIM ou acionar falhas leves do SPF (soft-fails).

Outro desafio frequente envolve aplicativos de terceiros que retransmitem e-mails pelo Exchange Online usando envio por cliente SMTP ou por envio direto (direct send). Se esses aplicativos usarem seu domínio personalizado principal no endereço do remetente sem estarem explicitamente autorizados no seu registro SPF ou autenticados por meio de uma caixa de correio específica para aplicativos, os filtros de spam rapidamente sinalizam suas mensagens. Revisar os logs de rastreamento de mensagens no centro de administração do Exchange ajuda a identificar essas lacunas de autenticação antes que afetem a operação diária dos negócios.

Conclusão e próximos passos

Proteger seu domínio personalizado no Exchange Online vai muito além da criação básica de caixas de correio e do compartilhamento de agendas. Dominar SPF, DKIM e DMARC garante que as comunicações da sua organização permaneçam confiáveis, em conformidade e entregues com segurança nas caixas de entrada dos destinatários no mundo inteiro. Para explorar a arquitetura básica de e-mail, as caixas de correio compartilhadas e as estratégias de nuvem versus híbrido, não deixe de ouvir o episódio completo do podcast, com uma explicação clara e sem jargões sobre tudo o que acontece no principal mecanismo de e-mail da Microsoft.

Perguntas frequentes

Qual é a string de include do SPF para o Exchange Online?

A string de include padrão do SPF para o Exchange Online do Microsoft 365 é include:spf.protection.outlook.com. Ela informa aos servidores receptores que devem confiar na infraestrutura de envio em nuvem autorizada da Microsoft para o seu domínio.

O Exchange Online habilita o DKIM automaticamente?

Não. Embora a Microsoft forneça a infraestrutura, os administradores precisam habilitar manualmente o DKIM no portal do Microsoft Defender e publicar os registros CNAME necessários no registrador de DNS público.

Qual é a política DMARC inicial recomendada?

A política inicial recomendada é p=none. Ela permite coletar os relatórios DMARC agregados e forenses sem afetar a entrega de e-mails, ajudando a identificar origens legítimas de e-mail antes de aplicar políticas mais restritivas de quarentena ou rejeição.

Por que meus e-mails do Exchange Online estão caindo no spam?

E-mails costumam cair no spam quando o domínio não tem registros SPF, DKIM ou DMARC configurados corretamente, ou quando o endereço IP de envio tem um histórico de reputação ruim. Configurar esses protocolos de autenticação fortalece a reputação do remetente e garante a entrega adequada na caixa de entrada.