Quando uma mensagem sua cai no spam, quem decidiu foi o serviço de quem recebe: Gmail, Outlook, Yahoo ou o servidor da empresa do outro lado. Cada um faz duas perguntas antes de entregar: dá para provar que essa mensagem veio mesmo de você? e quem manda por esse domínio costuma mandar coisa que as pessoas querem? Quase todo caso de spam é uma dessas duas respostas saindo errada.

A boa notícia: a primeira pergunta você resolve de uma vez, no DNS do domínio. A segunda se constrói com o tempo, e dá para não estragar.

Primeiro, descubra o motivo

Antes de mexer em qualquer coisa, mande uma mensagem do seu endereço para uma conta do Gmail e abra no computador. No menu de três pontos da mensagem, clique em Mostrar original. No alto aparecem três linhas:

SPF:   PASS
DKIM:  PASS
DMARC: PASS

Se alguma delas não diz PASS, o problema é de autenticação, e o resto deste guia explica cada uma. Se as três passam e a mensagem ainda vai para o spam, o problema é de reputação ou de conteúdo; pule para a parte sobre reputação.

No Outlook, o caminho é abrir a mensagem, ir em Exibir › Exibir detalhes da mensagem e procurar spf=pass, dkim=pass e dmarc=pass na linha Authentication-Results.

Para olhar direto o DNS, sem mandar mensagem, use o verificador de domínio: ele confere o MX, o SPF, o DKIM e o DMARC e diz o que corrigir.

A causa mais comum: autenticação faltando

Desde fevereiro de 2024, Gmail e Yahoo exigem que toda mensagem venha autenticada, e quem manda muito (mais de 5 mil mensagens por dia para eles) precisa dos três registros abaixo. A Microsoft passou a exigir o mesmo no Outlook.com em 2025. Sem eles, a mensagem vai para o spam ou nem chega.

  • SPF é um registro TXT na raiz do domínio que lista quais servidores podem enviar em nome dele. Se você usa um serviço de e-mail e também manda por outro sistema (a loja virtual, o sistema de nota fiscal, a ferramenta de newsletter), todos precisam estar no mesmo SPF.
  • DKIM é uma assinatura digital em cada mensagem. A chave pública fica num registro TXT no DNS, e quem recebe confere se a mensagem não foi alterada no caminho e se veio mesmo de quem diz.
  • DMARC é um registro TXT em _dmarc que diz o que fazer quando o SPF e o DKIM falham, e exige que eles estejam alinhados: o domínio que passou no teste precisa ser o mesmo do endereço que aparece no remetente.

O guia completo de e-mail com domínio próprio mostra como fica cada registro, e há um passo a passo para o painel de cada empresa em Guias.

Os erros que derrubam a autenticação

  • Dois registros SPF. Se o domínio tem duas linhas TXT começando com v=spf1, as duas deixam de valer. Junte tudo numa só: v=spf1 include:um include:outro ~all.
  • SPF com consultas demais. Cada include: pode puxar outros, e o limite é 10 consultas no total. Passou disso, o SPF falha para todo mundo. Tire os serviços que você não usa mais.
  • Um sistema que manda “em seu nome” sem autorização. O formulário do site, o sistema de cobrança ou o CRM enviam com o seu endereço no remetente, mas por um servidor que não está no seu SPF e sem a sua assinatura DKIM. Configure o domínio em cada um deles ou use um remetente próprio para eles.
  • DKIM publicado errado. Chave cortada ao colar, aspas sobrando ou o nome do registro com o domínio repetido (dkim._domainkey.suaempresa.com.br.suaempresa.com.br). Confira o registro depois de publicar.
  • MX antigo junto do novo. Não derruba a autenticação, mas faz parte das respostas chegarem em outro serviço. Depois de trocar de provedor, apague os MX antigos.

Quando a autenticação passa e mesmo assim cai no spam

Aí entra a reputação: o histórico do seu domínio e do servidor que envia. Os serviços de e-mail observam como as pessoas reagem ao que você manda.

  • Marcações de spam. O Gmail pede que menos de 0,3% das mensagens sejam marcadas como spam. Poucas marcações já pesam para quem manda pouco.
  • Listas compradas ou velhas. Endereços que não existem mais geram devoluções, e alguns são armadilhas mantidas justamente para pegar quem manda sem permissão. Mande só para quem pediu, e limpe os endereços que voltam.
  • Domínio novo mandando muito. Um domínio recém-registrado que começa disparando centenas de mensagens parece golpe. Comece devagar, com conversas de verdade, e aumente aos poucos.
  • Sem descadastro fácil. Para mensagens em massa, Gmail e Yahoo exigem um link de descadastro que funcione num clique. Sem ele, as pessoas marcam como spam, o que é pior.
  • Servidor em lista de bloqueio. Se o servidor que envia aparece numa lista pública de bloqueio, parte dos destinatários recusa tudo. Em serviço de e-mail compartilhado, quem cuida disso é o provedor; pergunte a ele.

E o conteúdo?

Pesa menos do que se imagina, mas pesa. Evite:

  • Mensagem só com uma imagem e quase nenhum texto.
  • Links encurtados ou apontando para um domínio diferente do seu.
  • Assunto em caixa alta, cheio de exclamações ou promessas de dinheiro.
  • Anexos executáveis ou compactados com senha.

Texto normal, escrito para uma pessoa, com o seu nome e a sua assinatura, raramente é o problema.

Um roteiro para resolver

  1. Abra Mostrar original numa mensagem enviada e veja qual dos três não passa.
  2. Corrija o registro no DNS: um SPF só, com todos os serviços que enviam; DKIM publicado inteiro; DMARC começando em p=none. O gerador de SPF e o gerador de DMARC montam os dois para você.
  3. Espere a mudança valer (minutos, às vezes algumas horas) e mande de novo.
  4. Se os três passam, olhe para a reputação: para quem você manda, quanto, e se as pessoas pediram.
  5. Peça a quem recebeu no spam para marcar como Não é spam. Isso ensina o filtro daquela caixa.

Como a zili ajuda

Na zili, o SPF, o DKIM e o DMARC do seu domínio são gerados junto com as caixas, e o painel confere cada registro até tudo ficar verde. Se já existe um SPF de outro serviço, a zili mostra a versão combinada para você colar no lugar, sem criar um segundo registro.