E-mail próprio que não cai em spam: SPF, DKIM, DMARC e caixas de entrada explicados de verdade

Publicado em 2026-08-25 por frfrand

Guía honesta sobre SPF, DKIM y DMARC: qué hace cada uno, por qué sin los tres tu correo termina en spam, y cómo montar un dominio de correo con buzones y verificación DNS conversando con una IA. Cubre crear_dominio_correo, verificar_dns_dominio_correo, crear_cuenta_correo, editar_cuota_cuenta_correo y ver_stats_dominio_correo.

Montar um servidor de e-mail próprio é fácil. Fazer com que esse e-mail chegue à caixa de entrada e não ao spam é o difícil, e é onde quase todo mundo se dá mal.

O motivo é que o e-mail foi projetado sem nenhuma noção de autenticação: originalmente, qualquer um podia dizer que era qualquer um. Tudo o que existe hoje — SPF, DKIM, DMARC — são remendos construídos por cima para tapar esse buraco. Entendê-los não é opcional: se faltar um, Gmail e Outlook vão desconfiar das suas mensagens.

Este guia explica o que cada um faz, em que ordem montá-los e como administrar domínios e caixas de correio com o MCP da ArduMaker.

Como no restante da área de cloud, as ferramentas trabalham com ids: company_id para o que é da empresa, domain_id para o domínio de e-mail e account_id para a caixa de correio. Eles são listados primeiro e se opera sobre o id, nunca sobre o nome.

Ferramentas cobertas: crear_dominio_correo, listar_dominios_correo, ver_dominio_correo, verificar_dns_dominio_correo, eliminar_dominio_correo, ver_stats_dominio_correo, crear_cuenta_correo, listar_cuentas_correo, ver_cuenta_correo, editar_cuota_cuenta_correo, listar_cuentas_bot_correo, crear_carpeta_correo y listar_carpetas_correo.

Os quatro registros que decidem se o seu e-mail chega

MX — quem recebe. Diz ao mundo a qual servidor entregar as mensagens dirigidas ao seu domínio. Sem MX você não recebe nada. Tem prioridade numérica e vence o número mais baixo; se você tem um MX antigo com prioridade menor, seu e-mail continua indo para o servidor anterior, mesmo que você tenha adicionado o novo.

SPF — quem pode enviar em seu nome. É um registro TXT que lista os servidores autorizados a enviar e-mail com seu domínio como remetente. Se uma mensagem chegar de um IP que não está na lista, o destinatário sabe que algo está errado.

A armadilha clássica do SPF: só pode haver um registro SPF por domínio. Se você tiver dois, muitos destinatários os tratam como erro e anulam a proteção. Quando você adiciona um novo serviço de envio — um CRM, uma plataforma de newsletters — você não adiciona outro SPF: modifica o existente para incluí-lo. A outra armadilha é o limite de dez consultas DNS: encadear muitos include: quebra o registro silenciosamente.

DKIM — a assinatura criptográfica. Seu servidor assina cada mensagem de saída com uma chave privada e publica a chave pública no DNS. O destinatário verifica a assinatura e confirma duas coisas: que a mensagem saiu de quem diz, e que ninguém a modificou no caminho. Diferente do SPF, o DKIM sobrevive a encaminhamentos, e por isso tem mais peso.

DMARC — o que fazer quando algo falha. SPF e DKIM detectam problemas, mas não dizem o que fazer com eles. DMARC é essa política: rejeitar, enviar para quarentena ou apenas observar. Além disso, solicita relatórios, que é a parte que quase ninguém aproveita e a mais útil: você fica sabendo de quem está tentando enviar e-mails falsificando seu domínio.

O conselho prático: comece o DMARC em modo de observação (p=none). Você analisa os relatórios por algumas semanas, confirma que seus envios legítimos estão passando e, só então, endurece a política. Colocar p=reject no primeiro dia é a maneira mais rápida de descobrir que aquele aplicativo antigo que envia faturas não está mais chegando a ninguém.

Montar o domínio de e-mail, passo a passo

criar_dominio_correo registra o domínio no servidor de e-mail. Este é o ponto de partida, e o que ele retorna é tão importante quanto o que faz: os registros DNS que você precisa publicar —MX, SPF, DKIM e DMARC—, incluindo a chave pública DKIM gerada para o seu domínio.

E há uma regra que ordena tudo o que vem depois: o domínio não aceita e-mail nem permite criar caixas de correio até que a verificação de DNS seja positiva. Não é uma recomendação, é um bloqueio. criar_conta_correo falha enquanto o domínio não estiver verificado.

verificar_dns_dominio_correo verifica ao vivo o MX, o SPF, o DKIM e o DMARC, e atualiza o status de verificação. É a ferramenta que você mais usará enquanto configura, e a resposta correta para a pergunta "já está tudo bem?". Em vez de abrir três validadores online diferentes, você pergunta uma vez.

Dica de ordem: publique primeiro o MX e o SPF, verifique, depois o DKIM, verifique novamente, e deixe o DMARC para o final. Se publicar tudo junto e algo falhar, você não saberá qual dos quatro é.

listar_dominios_correo mostra os domínios ativos com seu status de verificação e seu plano. Uso típico: revisão rápida para detectar o domínio que ficou pela metade há meses e ninguém notou porque "o e-mail mais ou menos funciona".

ver_dominio_correo traz o detalhe completo, incluindo o status de verificação e os registros DNS que espera. Uso típico: passar a um cliente exatamente o que ele precisa carregar no registrador, sem transcrever nada à mão.

ver_stats_dominio_correo consulta o uso real contra o servidor de correio: quantidade de caixas de correio, consumo de cota. Uso típico: antecipar-se a uma caixa de correio que está prestes a encher, que é a causa silenciosa de e-mails rejeitados.

eliminar_dominio_correo merece um parágrafo à parte, porque é a ferramenta mais destrutiva de todo este guia.

Não "dá baixa no domínio": cascateia. Apaga o domínio e com ele todas as caixas de correio ativas — a conta no servidor de correio e o registro local —, e na prática não se recupera. Não é uma exclusão suave como a dos domínios DNS do guia anterior; aqui não há volta atrás.

Por isso pede confirmado explícito. Sem esse parâmetro falha com um 409 que diz quantas caixas de correio seriam afetadas — e esse número é exatamente o dado que você deve ler antes de confirmar. Se o número não for o que você esperava, não confirme: veja primeiro o que há dentro com listar_cuentas_correo.

Buzones, cotas e pastas

crear_cuenta_correo cria uma caixa de correio sobre um domínio já verificado (se não estiver, falha) e que não tenha atingido o limite de caixas. Uso típico: cadastro de um funcionário, ou os endereços funcionais que todo projeto precisa — hola@, soporte@, facturacion@.

Sobre a senha, com precisão, porque aqui é fácil errar. A senha que você coloca ao criar a caixa de correio é armazenada criptografada, e não é um descuido: é o que permite que depois funcionem as ferramentas de mensagens —listar_mensajes_correo, ver_mensaje_correo, enviar_correo—, que precisam se autenticar contra a caixa de correio para ler e enviar.

O que é certo é que nunca é devolvida: ver_cuenta_correo dá todo o detalhe da conta, exceto isso. E vai uma correção importante sobre o que às vezes se assume: também não existe uma ferramenta MCP para alterá-la. Não há forma de vê-la nem de rotacioná-la a partir do agente. Se for necessário alterá-la, é pelo painel ou pelo webmail. Anote-a no seu gerenciador de senhas no momento de criá-la, porque a partir do MCP você não vai mais vê-la nem poderá substituí-la.

listar_cuentas_correo enumera as caixas de correio ativas do domínio. Uso típico: a auditoria que todos adiam, onde aparecem as três contas de pessoas que já não trabalham lá.

editar_cuota_cuenta_correo altera o plano da caixa de correio e, com ele, o seu espaço. Com um limite explícito: é apenas para cima. Mover uma conta para um plano menor é rejeitado; se realmente for necessário reduzi-la, é preciso excluir a conta e criá-la novamente. Uso típico: a caixa de correio de administração que acumula anexos pesados e está a 95%. Uma caixa de correio cheia deixa de receber, e os remetentes recebem um retorno: é um problema que convém resolver antes, não depois.

listar_cuentas_bot_correo é somente leitura e mostra as contas automatizadas do domínio, apenas como contexto. A administração dessas contas —criá-las, regenerar o token, excluí-las— está deliberadamente fora do MCP: são usadas por outros processos automáticos, e um agente mexendo nelas pode quebrar algo silenciosamente do outro lado. Uso típico: entender quais endereços enviam notificações do sistema antes de alterar regras de filtragem.

crear_carpeta_correo e listar_carpetas_correo trabalham sobre a estrutura IMAP da caixa de correio; as novas pastas ficam sob INBOX, a menos que você indique outro pai. Atenção a uma assimetria: não há ferramenta para renomear nem excluir uma pasta. Elas são criadas aqui, corrigidas pelo webmail. Uso típico: preparar pastas por cliente ou por ano antes de montar filtros que arquivem automaticamente, que é o tema do próximo guia desta série.

Um aviso de segurança que em correio importa mais do que em qualquer outro lugar

Vale a pena dizer aqui e não no guia de segurança, porque é no e-mail que isso se materializa: uma caixa de correio é a única superfície da sua infraestrutura onde um desconhecido pode colocar texto diante do seu agente sem ter conta na ArduMaker. Basta conhecer um de seus endereços.

O servidor MCP trata esse conteúdo como deve: o que listar_mensagens_correo e ver_mensaje_correo devolvem chega envolto e marcado como não confiável, com a instrução de tratá-lo como dados e nunca como instruções — mesmo que a mensagem diga vir da ArduMaker, de um administrador ou de você.

Mas a outra metade da defesa você escolhe, ao autorizar o agente. O próprio servidor publica três combinações de escopo a evitar:

• Ler e-mail + executar comandos em um VPS. Um e-mail bem escrito se torna uma tentativa de execução remota que não custa nada para quem o envia. Nenhuma das duas metades é perigosa sozinha.
• Ler e-mail + enviar e-mail do mesmo domínio. Uma mensagem recebida pode convencer o agente a responder a um terceiro a partir do seu domínio: phishing para seus próprios clientes, assinado com seu DKIM.
• Ler e-mail + consultar bancos de dados. Texto alheio mais SQL arbitrário é um caminho de exfiltração.

A regra prática: separe agentes. Um que atende o e-mail, sem acesso a servidores nem bancos. Outro que opera servidores, sem caixas de correio. E para triagem e resumos, basta autorizar a sessão em somente leitura.

TÚ: Los mails que mandamos desde el dominio nuevo caen en spam en Gmail.

IA: listar_dominios_correo(company_id = 3) -> estudio.com -> domain_id 8, dns_verified: false

verificar_dns_dominio_correo(company_id = 3, domain_id = 8) -> MX OK SPF ADVERTENCIA: se detectaron 2 registros SPF DKIM NO ENCONTRADO DMARC NO ENCONTRADO

"Ahí están las dos causas.

Primero, hay dos registros SPF publicados. Un dominio solo puede tener uno: cuando hay dos, muchos receptores lo consideran inválido y descartan la protección entera. Hay que fusionarlos en un único registro que incluya ambos servicios.

Segundo, no hay DKIM publicado. Sin firma, Gmail no puede verificar que los mensajes salieron de tu servidor, y eso pesa mucho en su decisión.

El DMARC tampoco está, pero ese lo dejaría para el final: primero que SPF y DKIM funcionen bien.

Y una consecuencia práctica: mientras la verificación no dé positiva, el dominio no me deja crear buzones nuevos."

TÚ: Dale, dame los registros que tengo que poner.

IA: ver_dominio_correo(company_id = 3, domain_id = 8) -> devuelve los registros esperados, incluido el DKIM público generado para el dominio

"Publicá estos dos y avisame para volver a verificar: [SPF unificado] y [TXT del DKIM].

Cuando ambos den OK durante unos días, sumamos el DMARC en modo observación y miramos los informes antes de endurecerlo."

Perguntas frequentes

Por que meus e-mails caem no spam? As causas mais comuns, em ordem: falta DKIM, há mais de um registro SPF, não há DMARC, ou o domínio é muito novo e ainda não tem reputação. Verifique os quatro registros antes de buscar explicações mais exóticas.

Posso ter dois registros SPF? Não. O padrão admite apenas um por domínio; com dois, o resultado costuma ser uma falha de avaliação. Se você adicionar um provedor de envio, funda-o dentro do SPF existente.

O que é DKIM e por que importa mais que SPF? É uma assinatura criptográfica da mensagem. Importa mais porque sobrevive a encaminhamentos: SPF se rompe quando uma mensagem é encaminhada, DKIM não.

Convém colocar DMARC em p=reject desde o início? Não. Comece observando, revise os relatórios, confirme que todas as suas origens legítimas passam, e endureça depois. Ao contrário, as coisas quebram silenciosamente.

Um domínio novo começa com boa reputação? Não começa com nenhuma. Mesmo tendo os quatro registros perfeitos, um volume alto desde o primeiro dia gera desconfiança. Aumente o volume de forma gradual.

Não posso criar caixas de correio ainda? Se o domínio não passou na verificação de DNS, não. É um bloqueio, não um aviso: execute verificar_dns_dominio_correo até que dê positivo.

A IA pode ver as senhas das caixas de correio? Não. ver_cuenta_correo retorna todos os detalhes da conta, exceto a senha. Ela é armazenada criptografada para que as ferramentas de mensagens possam se autenticar, mas não há nenhuma ferramenta que a exiba.

E pode alterá-las? Também não. Não existe uma ferramenta MCP para rotacionar a senha de uma caixa de correio. Guarde-a ao criar a conta; se for perdida, ela é alterada pelo painel ou pelo webmail.

Posso rebaixar uma caixa de correio para um plano menor? Não: editar_cuota_cuenta_correo é apenas para cima. Rebaixar implica excluir a conta e criá-la novamente.

O que acontece exatamente se eu excluir um domínio de correio? Todos os seus caixas de correio também são excluídos, e não podem ser recuperados. Por isso, pede confirmação explícita e informa antes quantas caixas seriam afetadas. Leia esse número antes de confirmar.

Meu agente lê e-mails. Há algum risco? Sim, e vale a pena ter isso em mente: o e-mail é o caminho pelo qual um desconhecido pode colocar texto à frente do seu agente. O conteúdo chega marcado como não confiável, mas a melhor defesa é de escopo: não dê ao mesmo agente acesso para ler e-mails e executar comandos, enviar e-mails ou consultar bancos de dados. Para triagem, apenas leitura é suficiente.

Como conecto o MCP? Adicionando https://mcp.ardumaker.com/mcp em um cliente compatível e autorizando-o com sua conta.

Parte da série de guias sobre as ferramentas do MCP da ArduMaker.