Requisitos do Gmail, Yahoo e Outlook para remetentes: o que o seu DNS precisa
Desde fevereiro de 2024 o Gmail e o Yahoo recusam email que não prove de onde vem, e em maio de 2025 juntou-se o Outlook.com. As regras não são tecnologia nova — SPF, DKIM e DMARC existem há anos —, mas deixaram de ser opcionais. A maior parte do trabalho está no DNS e faz-se numa tarde.
A quem se aplica
As regras abrangem o email enviado para caixas pessoais: endereços gmail.com, Yahoo e AOL, e outlook.com, hotmail.com e live.com. Algumas aplicam-se a todos os remetentes; as restantes entram em vigor quando envia cerca de 5000 mensagens por dia ou mais para um desses fornecedores.
| Requisito | Todos os remetentes | 5000+ por dia |
|---|---|---|
| Autenticação | SPF ou DKIM | SPF e DKIM |
| Registo DMARC | Recomendado | Obrigatório, pelo menos p=none |
| Domínio From alinhado com SPF ou DKIM | Recomendado | Obrigatório |
| DNS direto e inverso do IP de envio | Obrigatório | Obrigatório |
| TLS na entrega | Obrigatório | Obrigatório |
| Taxa de queixas de spam | Abaixo de 0,3% | Abaixo de 0,3%, ideal 0,1% |
| Anular subscrição com um clique (RFC 8058) | Recomendado | Obrigatório no marketing |
news.example.com e de example.com soma-se — e um domínio que ultrapassou o limite uma vez fica classificado como remetente em massa para sempre.A parte do DNS
Quatro tipos de registos fazem o trabalho. Os seus serviços de envio (Google Workspace, Microsoft 365, ferramentas de newsletter, a loja) dão-lhe o include SPF e a chave DKIM; publica-os no seu domínio:
; SPF — every service that sends as you, ending in ~all or -all
example.com. IN TXT "v=spf1 include:_spf.google.com include:_spf.esp.example ~all"
; DKIM — the public key your sending service gives you (often a CNAME)
s1._domainkey.example.com. IN CNAME s1.dkim.esp.example.
; DMARC — p=none is the minimum; rua collects the reports
_dmarc.example.com. IN TXT "v=DMARC1; p=none; rua=mailto:[email protected]"
; PTR — set by whoever owns the IP, must match an A record
80.113.0.203.in-addr.arpa. IN PTR mail.example.com.- Alinhamento significa que o domínio do endereço From visível coincide com o domínio que passou no SPF (o remetente do envelope) ou no DKIM (o
d=da assinatura). Uma ferramenta de newsletter que assina com o seu próprio domínio passa no DKIM, mas não está alinhada — ative a opção de domínio próprio ou «domínio autenticado». - Um único registo SPF por domínio, abaixo das 10 consultas DNS. Acrescentar mais um serviço muitas vezes estraga-o; o guia de SPF explica o limite.
- O PTR é definido por quem é dono do endereço IP — o fornecedor do VPS ou do alojamento, não a sua zona DNS. Com Google, Microsoft ou um serviço de envio já está feito. Veja registos PTR.
- Nunca envie como `@gmail.com` nem de um endereço que não controla: a própria política DMARC do Gmail recusa-o.
Anular a subscrição com um clique
O email de marketing e de subscrição dos remetentes em massa tem de ter dois cabeçalhos que permitem à caixa de correio mostrar o seu próprio botão de anulação. Um clique faz um pedido POST ao seu URL — sem página de destino nem início de sessão:
List-Unsubscribe: <https://example.com/u/8f3a2c>, <mailto:[email protected]?subject=8f3a2c>
List-Unsubscribe-Post: List-Unsubscribe=One-Click- Processe o pedido no prazo de dois dias.
- Assine os dois cabeçalhos com DKIM, ou os destinatários ignoram-nos.
- Mantenha também uma ligação visível para anular a subscrição no corpo da mensagem.
- O email transacional — recibos, reposição de palavra-passe, alertas — não precisa disto.
Mantenha as queixas abaixo de 0,3%
A taxa de queixas é a parte das mensagens entregues que os destinatários marcam como spam. Acima de 0,3% o email começa a ir para o spam ou a ser recusado, e recuperar leva semanas de envios limpos. Há duas alavancas que contam: enviar só a quem pediu e facilitar a anulação da subscrição.
Lista de verificação
O que acontece se não cumprir
O email que não cumpre recebe primeiro erros temporários e vai para o spam; depois é simplesmente recusado. O Gmail responde com códigos como 5.7.26 (remetente não autenticado) e o Outlook.com com 5.7.515 (o domínio de envio não atinge o nível de autenticação exigido). A devolução chega ao remetente, não ao destinatário, por isso o problema muitas vezes só se nota quando os clientes dizem que nunca receberam a fatura.
p=none, leia os relatórios agregados durante algumas semanas: um remetente esquecido — o CRM, a ferramenta de faturação — vai começar a falhar assim que aplicar a política. Como configurar o DMARC explica passo a passo.Perguntas frequentes
As regras aplicam-se se eu enviar menos de 5000 emails por dia?
As básicas sim: SPF ou DKIM, PTR válido, TLS e uma taxa de queixas baixa. DMARC, alinhamento e anulação com um clique só são estritamente obrigatórios acima do limite, mas vale a pena tê-los na mesma.
DMARC p=none chega?
Para o requisito, sim. Mas não protege o domínio contra falsificação — para isso é preciso p=quarantine ou p=reject, quando os relatórios mostrarem que todos os remetentes legítimos passam.
Recibos e reposições de palavra-passe precisam de cabeçalho de anulação?
Não. A anulação com um clique é obrigatória para email de marketing e de subscrição, não para mensagens transacionais.
As regras aplicam-se a destinatários no Google Workspace ou Microsoft 365?
Os requisitos publicados visam caixas pessoais, mas as caixas empresariais usam filtros semelhantes, por isso a mesma configuração é a que faz o email chegar também lá.
Veja a teoria na prática — execute Verificação de segurança do correio para o seu próprio domínio.
Atualizado em 13 de outubro de 2026