SPF, DKIM e DMARC: o que são e como configurar no Microsoft 365

Um cliente recebe uma fatura com o nome da sua empresa, o logótipo certo e um IBAN novo para pagamento. O email parece vir do seu domínio, mas não foi enviado por ninguém da empresa. Este tipo de fraude é comum e funciona porque, sem SPF, DKIM e DMARC configurados, qualquer pessoa consegue enviar emails que aparentam vir do seu endereço.

Estes três registos DNS são também o que hoje separa um email que chega à caixa de entrada de um email que vai parar ao spam. O Gmail, o Yahoo e o Outlook.com já exigem autenticação a quem envia grandes volumes, e os filtros aplicam critérios cada vez mais apertados a todos os outros. Este guia explica o que faz cada registo e como os configurar num domínio que usa o Microsoft 365.

O que são SPF, DKIM e DMARC

Cada um resolve uma parte do problema. Só os três em conjunto impedem que alguém se faça passar pelo domínio da empresa.

Como configurar o SPF no Microsoft 365

O SPF é um registo TXT na raiz do domínio, criado no painel de DNS onde o domínio está alojado. Se o Microsoft 365 for o único sistema que envia email pelo domínio, o registo é este:

Tipo: TXT
Nome: @
Valor: v=spf1 include:spf.protection.outlook.com -all

Se houver outros serviços a enviar email com o mesmo domínio (software de faturação, loja online, plataforma de newsletters, impressoras multifunções que enviam digitalizações), cada um tem de ser acrescentado ao mesmo registo, com o include indicado pelo fornecedor. Três regras evitam a maioria dos problemas:

  1. Só pode existir um registo SPF por domínio. Dois registos fazem falhar a validação.
  2. O SPF tem um limite de 10 consultas DNS. Com muitos serviços, o limite é ultrapassado e o registo deixa de funcionar.
  3. Os domínios registados que não enviam email devem ter v=spf1 -all, para que ninguém os possa usar.

Como ativar o DKIM no Microsoft 365

O DKIM é ativado no portal Microsoft Defender, em Email e colaboração, Políticas e regras, Políticas de ameaças, Definições de autenticação de email, separador DKIM. Ao selecionar o domínio, o portal indica os dois registos CNAME a criar no DNS:

Tipo: CNAME
Nome: selector1._domainkey
Valor: (indicado pelo Microsoft 365)

Tipo: CNAME
Nome: selector2._domainkey
Valor: (indicado pelo Microsoft 365)

Os valores são diferentes de empresa para empresa e, nos domínios adicionados desde maio de 2025, seguem um formato novo que termina em dkim.mail.microsoft. Por isso devem ser sempre copiados do portal e nunca escritos à mão. Depois de criados os registos e propagado o DNS, basta ligar o DKIM para o domínio no mesmo ecrã. O estado deve passar a Válido.

Como configurar o DMARC sem bloquear email legítimo

O DMARC é um registo TXT com o nome _dmarc. A configuração deve ser feita por fases, porque uma política demasiado rígida logo no início pode bloquear emails legítimos enviados por serviços de que ninguém se lembrava.

Fase 1: monitorizar. A política p=none não bloqueia nada, mas passa a receber relatórios diários de todos os servidores que enviam email com o domínio.

Tipo: TXT
Nome: _dmarc
Valor: v=DMARC1; p=none; rua=mailto:dmarc@empresa.pt

Fase 2: quarentena. Depois de identificar e autenticar todos os serviços legítimos, a política passa para p=quarantine. Os emails que falham a validação vão para o spam do destinatário. O parâmetro pct permite aplicar a política só a uma percentagem das mensagens e subir aos poucos.

Fase 3: rejeição. O objetivo final é p=reject. Os emails falsificados com o domínio da empresa são recusados e nunca chegam aos clientes nem aos fornecedores.

Valor: v=DMARC1; p=reject; rua=mailto:dmarc@empresa.pt

Os relatórios chegam em ficheiros XML difíceis de ler. Uma caixa de correio dedicada e uma ferramenta de análise de relatórios DMARC tornam esta leitura viável.

Erros comuns

Como verificar se o domínio está protegido

A forma mais simples é enviar um email para uma conta Gmail ou Outlook.com, abrir a mensagem e consultar os detalhes ou o cabeçalho. Devem aparecer as três validações com resultado positivo: spf=pass, dkim=pass e dmarc=pass. Também existem ferramentas online gratuitas que consultam os registos públicos de qualquer domínio e indicam o que falta.

Perguntas frequentes

O DMARC é obrigatório?

Não existe uma obrigação legal geral para as empresas, mas o Gmail, o Yahoo e o Outlook.com exigem SPF, DKIM e DMARC a quem envia grandes volumes de email. Para todos os outros, a falta destes registos aumenta a probabilidade de os emails irem para o spam.

Configurar DMARC pode fazer com que deixe de receber email?

Não. O DMARC controla o email enviado com o domínio da empresa, não o que a empresa recebe. O risco está em aplicar uma política de rejeição antes de autenticar todos os serviços que enviam email legítimo, e por isso a configuração é feita por fases.

Quanto tempo demora a chegar a p=reject?

Numa empresa que envia email apenas pelo Microsoft 365, o processo pode ficar concluído em poucas semanas. Com vários serviços externos a enviar em nome do domínio, a fase de monitorização é mais longa.

O DMARC impede todos os emails de phishing?

Impede que alguém use exatamente o domínio da empresa. Não impede domínios parecidos, como uma letra trocada ou outra terminação. Para esses casos, a proteção depende dos filtros antiphishing do Microsoft 365 e da atenção de quem recebe o email.

Por onde começar

O primeiro passo é saber o que existe hoje: que registos estão publicados, que serviços enviam email com o domínio e em que fase está o DMARC. Em muitas empresas, a configuração passa por acertar o SPF, ativar o DKIM e publicar um DMARC em monitorização, para depois o fazer avançar.

A Ferdav verifica a autenticação de email no diagnóstico gratuito e acompanha a passagem do DMARC até à rejeição, com leitura regular dos relatórios. Saiba mais sobre os serviços de Microsoft 365 e cloud e de cibersegurança. Para quem envia faturas por email, vale a pena ler também o que muda no software de faturação certificado em 2027.