E-mail da empresa caindo no spam: SPF, DKIM e DMARC

Se o e-mail da sua empresa está caindo no spam, quase sempre o problema não é o texto que você escreveu. É que o provedor de quem recebe não consegue confirmar que a mensagem veio mesmo de você. Três registros no domínio (SPF, DKIM e DMARC) resolvem a maior parte dos casos, e conferir se eles existem leva uns 15 minutos.

O sintoma costuma aparecer de um jeito bem comum: você manda um orçamento, o cliente diz que nunca recebeu, e depois de três dias descobre que estava na caixa de spam. Ou pior: o cliente nem procurou, achou que você tinha sumido. Para clínica, loja ou prestador de serviço, isso é venda perdida sem ninguém perceber.

Por que o e-mail vai parar no spam

Pense no e-mail como uma carta sem lacre. Qualquer pessoa pode escrever "contato@suaempresa.com.br" no remetente e mandar para quem quiser. Foi assim que o e-mail nasceu, e é por isso que existe tanto golpe usando o nome de empresas conhecidas.

Para se defender, Gmail, Outlook e os outros desconfiam de quem não consegue provar a origem. Se o seu domínio não tem as comprovações certas, sua mensagem de verdade fica no mesmo balaio das falsas. Não é perseguição, é filtro fazendo o trabalho dele.

Além disso, entram outros fatores:

• Domínio novo, sem histórico de envio
• Mensagem com só uma imagem ou com muitos links encurtados
• Muita gente marcando suas mensagens como spam
• Lista de contatos antiga, com endereços que não existem mais
• Envio por uma ferramenta que não foi autorizada a falar em nome do seu domínio

O último ponto é o que mais pega pequena empresa, e vamos voltar a ele.

SPF, DKIM e DMARC em português claro

Os três nomes assustam, mas a ideia de cada um cabe em uma frase.

SPF é a lista de quem pode enviar e-mail em nome do seu domínio. É um registro de texto no DNS que diz: "só o servidor do meu provedor de e-mail e a minha ferramenta de newsletter podem mandar por mim". Se uma mensagem sai de outro lugar, o receptor desconfia.

DKIM é uma assinatura digital. Seu provedor assina cada mensagem com uma chave, e quem recebe confere a assinatura com a chave pública que está no seu DNS. Se a mensagem foi alterada no caminho ou não foi assinada, a conferência falha.

DMARC é a regra que junta os dois. Ele diz ao receptor o que fazer quando SPF e DKIM falham: não fazer nada, mandar para o spam ou rejeitar. Também pede relatórios, e esses relatórios mostram quem está tentando usar o seu domínio.

Quase todo provedor sério (Google Workspace, Microsoft 365, Zoho, Locaweb e outros) tem uma página explicando como gerar esses registros. O trabalho é copiar o valor certo para o painel de DNS do domínio.

Como conferir se o seu domínio está certo

Você não precisa mexer em nada para saber se tem problema. O roteiro é este:

1. 1.Mande um e-mail para você mesmo, para uma conta pessoal no Gmail.
2. 2.Abra a mensagem, clique nos três pontinhos e escolha "Mostrar original".
3. 3.No topo aparecem três linhas: SPF, DKIM e DMARC, cada uma com "PASS" ou "FAIL".
4. 4.Se alguma estiver FAIL ou ausente, ali está o motivo.

Repita o teste com cada forma que sua empresa envia e-mail: o webmail do dia a dia, a ferramenta de newsletter, o sistema de emissão de nota ou boleto, o formulário do site. É comum o e-mail normal passar e o do sistema falhar, porque o sistema nunca foi autorizado no SPF.

Se você não tem acesso ao painel do domínio, esse já é um sinal de alerta. Quem registrou o domínio? Em nome de quem? Em geral foi o designer, o sobrinho ou a agência antiga. Esse assunto merece cuidado próprio, e a gente falou dele no texto sobre Código, domínio e servidor em nome da empresa: por que exigir.

O culpado escondido: o formulário do site

Um caso que a gente vê bastante em pequena empresa: o site tem um formulário de contato que, ao ser preenchido, dispara um e-mail para a recepção. Funciona nos primeiros dias. Depois alguém reclama que "o site não está mandando nada".

Muitas vezes o site está mandando, só que o servidor da hospedagem envia como se fosse o seu domínio sem estar autorizado no SPF. O Gmail da recepção joga a mensagem no spam, ou descarta. O lead entrou, o formulário disse "enviado com sucesso" e a empresa nunca viu.

Há dois jeitos de resolver:

• Enviar o e-mail do formulário por um serviço de envio configurado de verdade, com SPF e DKIM do seu domínio
• Guardar também cada contato num painel ou planilha, para não depender só do e-mail

O segundo ponto é o que salva. Todo formulário importante deveria registrar o contato em algum lugar além da caixa de entrada. Sobre como montar esses formulários sem perder gente no caminho, vale ler Formulários que convertem: validação sem irritar. E quando o site passa a alimentar um CRM, o lead fica guardado mesmo que o e-mail falhe.

Endereço profissional ajuda, mas não basta

Usar e-mail com o domínio da empresa (contato@suaempresa.com.br em vez de suaempresa@gmail.com) passa mais confiança. Mas domínio próprio sem a configuração certa pode até piorar a entrega, porque o receptor vê um remetente "de empresa" sem nenhuma prova.

Alguns cuidados de rotina que ajudam bastante:

• Um remetente claro. Evite mandar de "naoresponda@". Prefira um endereço que alguém realmente lê, porque resposta do cliente ajuda a reputação do envio.
• Mensagem com texto de verdade. E-mail que é só uma imagem inteira costuma ser tratado com desconfiança.
• Lista limpa. Se o endereço voltou com erro duas ou três vezes, tire da lista.
• Descadastro fácil. Se a pessoa não acha como sair, ela clica em "spam", e isso pesa contra você.
• Volume gradual. Domínio novo que manda mil e-mails no primeiro dia levanta suspeita. Comece aos poucos.

Nada disso é mágico nem garante entrega em 100% dos casos. Quem decide, no fim, é o provedor de quem recebe. O que dá para fazer é tirar da frente os motivos óbvios.

E se o e-mail inteiro ficar fora do ar?

Outro risco, diferente do spam, é o e-mail simplesmente parar. Se toda a sua operação depende de uma única caixa, um único provedor e uma única senha, um dia ruim vira um dia parado. Orçamentos não chegam, recibos não saem, a agenda não confirma.

Para uma pequena empresa, o plano de contingência não precisa ser sofisticado:

• Ter um segundo canal de contato visível (WhatsApp Business, telefone) no site e na assinatura
• Saber quem tem acesso administrativo ao e-mail, e ter essa informação anotada num lugar seguro
• Ativar verificação em duas etapas nas contas principais
• Guardar cópia dos e-mails e arquivos importantes, no mesmo espírito do Backup que nunca foi restaurado não é backup: copia que nunca foi testada não vale como copia
• Ter à mão o passo a passo do que fazer quando algo sai do ar, como o que a gente descreve em Sistema fora do ar: checklist dos primeiros 30 minutos

O que fazer ainda hoje

Se você leu até aqui e quer agir sem complicar, faça nesta ordem:

1. 1.Mande um e-mail para o seu Gmail e confira SPF, DKIM e DMARC em "Mostrar original".
2. 2.Teste o formulário do site e veja se a mensagem chega na caixa de entrada, e não no spam.
3. 3.Descubra quem tem acesso ao painel do domínio e ao e-mail da empresa.
4. 4.Se algo estiver FAIL, peça ao seu provedor ou a quem cuida do site para ajustar os registros no DNS.

Na criação de sites da WeCodex, a gente configura o envio dos formulários junto com o domínio e deixa o contato salvo em mais de um lugar. O custo desse tipo de ajuste costuma variar conforme o provedor de e-mail, o número de ferramentas que enviam em nome da empresa e o estado atual do domínio, e a gente fecha o preço por escrito na proposta, depois de olhar o seu caso. Se você suspeita que está perdendo contato por causa do spam, fale com a gente e a gente confere junto.