E-mail da empresa caindo no spam ou não chegando: causas e correção

Por que o e-mail da empresa cai no spam ou não chega?

Quando uma mensagem legítima vai para a caixa de spam, ou simplesmente some, o serviço de e-mail de quem recebe desconfiou de algo: não conseguiu confirmar que a mensagem veio mesmo da sua empresa, o endereço de envio tem má reputação ou o conteúdo parece suspeito. Na maioria dos casos, a causa está em três registros de autenticação do domínio, chamados SPF, DKIM e DMARC, e em quem mais está enviando e-mails em nome da empresa.

Imagine uma empresa que passou a usar um sistema de cobrança que dispara avisos aos clientes com o endereço do financeiro. Se esse sistema nunca foi autorizado no domínio, parte dos clientes passa a receber os avisos no spam. O e-mail do dia a dia continua funcionando normalmente, e por isso o problema demora a ser percebido.

O que são SPF, DKIM e DMARC em linguagem simples?

São três camadas de verificação que os provedores de e-mail consultam antes de decidir o destino de uma mensagem:

- **SPF** é uma lista, publicada no DNS do domínio, dos servidores e serviços autorizados a enviar e-mails em nome da empresa. Se a mensagem sai de um lugar que não está na lista, ela perde pontos. - **DKIM** é uma assinatura digital colocada em cada mensagem. O destinatário confere a assinatura com uma chave pública publicada no DNS e confirma que o conteúdo não foi alterado no caminho. - **DMARC** define o que o destinatário deve fazer quando SPF e DKIM falham (nada, quarentena ou rejeição) e permite receber relatórios sobre quem está enviando e-mails com o seu domínio.

| Registro | O que faz | Sintoma quando falta ou está errado | |---|---|---| | SPF | Lista quem pode enviar pelo domínio | Mensagens de sistemas e de serviços externos caem no spam | | DKIM | Assina cada mensagem | Mensagens perdem credibilidade, mesmo vindo do servidor correto | | DMARC | Define a política e gera relatórios | A empresa não sabe quem usa o domínio, e falsificações passam sem controle |

Como verificar se o domínio está configurado corretamente?

1. Envie uma mensagem de teste para uma conta de outro provedor e abra a opção de exibir o cabeçalho ou a mensagem original. Procure os resultados de SPF, DKIM e DMARC: o esperado é que todos apareçam como aprovados. 2. Consulte os registros publicados no DNS do domínio com uma ferramenta pública de consulta de DNS e confira se existem registros de SPF e de DMARC e se o DKIM está habilitado no serviço de e-mail. 3. Faça uma lista de tudo que envia e-mail com o domínio da empresa: o serviço de e-mail principal, o sistema de gestão, a loja virtual, o CRM, as ferramentas de envio em massa e os equipamentos que enviam alertas. 4. Verifique se existe mais de um registro SPF. O domínio deve ter apenas um, e ele precisa incluir todos os serviços autorizados. 5. Se já houver DMARC, leia os relatórios para descobrir quem está enviando mensagens em nome da empresa.

Quais outras causas existem além da autenticação?

Mesmo com tudo configurado, mensagens podem ter problemas por outros motivos:

- **Reputação do endereço de envio.** Se o servidor ou o endereço foi usado para enviar spam, ele pode estar em listas de bloqueio. Uma conta comprometida que envia mensagens em massa derruba a reputação rapidamente. - **Envio em massa sem cuidado.** Picos repentinos de volume, listas antigas, endereços que não existem mais e falta de opção de descadastro aumentam as chances de bloqueio. - **Conteúdo suspeito.** Mensagens só com imagem, muitos links encurtados, anexos executáveis e textos com linguagem de promoção exagerada são filtrados com mais frequência. - **Domínio novo ou recém-alterado.** Domínios sem histórico de envio costumam ter reputação baixa no início. - **Regras no destinatário.** Às vezes o problema está do outro lado: filtros internos, caixa lotada ou política de segurança do destinatário. - **Limites e configuração do servidor.** Ajustes de DNS reverso e limites de envio mal configurados também afetam a entrega.

Como corrigir, passo a passo?

1. Faça o inventário de todos os sistemas que enviam e-mails com o domínio. 2. Ajuste o SPF em um único registro, incluindo todos os serviços autorizados. Lembre que o SPF tem um limite de consultas de DNS, e passar dele invalida a verificação. 3. Ative o DKIM em cada serviço que envia e-mails e publique as chaves no DNS. 4. Publique o DMARC primeiro em modo de monitoramento, apenas para receber relatórios. 5. Analise os relatórios durante algumas semanas e corrija os envios legítimos que ainda falham. 6. Endureça a política do DMARC aos poucos, passando da observação para a quarentena e, se tudo estiver correto, para a rejeição. 7. Revise o conteúdo e as listas de envio em massa: remova endereços inválidos, inclua a opção de descadastro e evite picos de volume. 8. Teste a entrega com contas de provedores diferentes e acompanhe por alguns dias.

Erros comuns

- Criar um segundo registro SPF em vez de editar o existente. - Publicar uma política de DMARC restritiva antes de listar quem envia e-mails pelo domínio, o que bloqueia mensagens legítimas. - Esquecer os sistemas de terceiros, como a loja virtual, o CRM e as ferramentas de cobrança. - Corrigir só o DNS e ignorar a reputação do endereço de envio. - Tratar o aviso de conta comprometida como um problema menor. Quando uma conta envia spam, é preciso trocar a senha, ativar a verificação em duas etapas e revisar as regras de encaminhamento.

Quando chamar um especialista?

Vale pedir ajuda quando o problema persiste depois de ajustar os três registros, quando clientes importantes deixam de receber mensagens, quando há suspeita de conta comprometida ou de falsificação do domínio, ou quando a empresa tem vários sistemas enviando e-mails e ninguém sabe ao certo quais. Um técnico consegue ler os cabeçalhos, os relatórios de DMARC e as listas de bloqueio, e propor a correção sem interromper o e-mail da equipe.

Resumo para decidir

- Spam e mensagens que não chegam costumam vir de falhas de SPF, DKIM e DMARC e de sistemas não autorizados. - Comece pelo inventário de quem envia e-mails com o domínio. - Configure em etapas e acompanhe os relatórios antes de endurecer a política. - Cuide também da reputação e do conteúdo das mensagens. - Se envolver clientes importantes ou suspeita de invasão, chame um especialista. Para entender como o suporte de TI funciona no dia a dia, veja a página de suporte de TI para empresas e os guias sobre phishing e e-mails falsos e sobre como saber se a empresa foi invadida.

Perguntas frequentes

Por que o e-mail da minha empresa vai para o spam?

Normalmente porque o provedor de quem recebe não conseguiu validar a origem da mensagem ou tem uma impressão ruim do endereço de envio. Os motivos mais frequentes são SPF, DKIM e DMARC incorretos, sistemas que enviam pelo domínio sem autorização, listas desatualizadas e conteúdo suspeito.

SPF, DKIM e DMARC resolvem tudo?

Eles resolvem a parte da autenticação, que é a causa mais comum, mas não substituem uma boa reputação nem um conteúdo adequado. Mesmo com a configuração certa, listas ruins e envios em massa descuidados continuam prejudicando a entrega.

Quanto tempo leva para o e-mail voltar a chegar?

Depende da causa. Ajustes de DNS costumam valer depois de se propagarem, mas a reputação de um endereço pode demorar mais para se recuperar. O melhor é corrigir os registros, acompanhar os relatórios e testar a entrega em provedores diferentes.

Posso publicar o DMARC já com rejeição?

Não é recomendável como primeiro passo. Sem saber quem envia e-mails em nome do domínio, você pode bloquear mensagens legítimas. O caminho mais seguro é começar em modo de monitoramento, analisar os relatórios e endurecer a política aos poucos.

Para saber mais

• CERT.br
• Cartilha de Segurança para Internet