Blindagem de E-mail do Domínio: Como configurar SPF, DKIM, DMARC, MTA-STS e DNSSEC

1. Arquitetura e pré-requisitos no ambiente

Um domínio com DMARC em p=none (ou sem DMARC) permite que golpistas enviem e-mails forjando [email protected]. Autenticar os 5 protocolos protege sua reputação e garante entrega no Gmail e Outlook.

• Lista completa de todos os servidores que enviam e-mail pelo seu domínio (ex: Google Workspace/Mailcow + provedor de marketing).

2. Passo a passo de implementação e validação

1. Publique o registro SPF terminando com -all (HardFail), listando apenas seus IPs e includes autorizados.
2. Ative a assinatura criptográfica DKIM (chave RSA 2048 bits) no seu servidor de e-mail e publique o registro TXT correspondente em seletor._domainkey.
3. Configure o DMARC em _dmarc.seudominio.com evoluindo de p=quarantine para p=reject após validar que o DKIM e o SPF estão alinhados.
4. Adicione o arquivo /.well-known/mta-sts.txt, os registros _mta-sts e _smtp._tls, e ative o DNSSEC colando o registro DS no seu registrar.

3. Boas práticas de produção, segurança e escala

Não se esqueça de verificar se o IP do seu servidor de e-mail dedicado possui DNS Reverso (PTR) apontando exatamente para o hostname do servidor SMTP (HELO/EHLO).

• Adicione também registros CAA autorizando apenas as autoridades certificadoras que você utiliza (ex: letsencrypt.org).