SPF, DKIM e DMARC para o Microsoft 365: passo a passo
Esta é a versão aplicada, faça-nesta-ordem, para o Microsoft 365 — se primeiro quiser perceber o que o SPF, o DKIM e o DMARC realmente fazem, leia esses guias. Este cobre apenas os registos e passos do portal específicos da Microsoft.
SPF para o Microsoft 365
Adicione um único registo TXT na raiz do seu domínio:
v=spf1 include:spf.protection.outlook.com -all
A documentação da própria Microsoft usa por predefinição -all (hard fail) em vez do ~all (soft fail) habitual noutros locais — um ponto de partida mais restritivo, importante de saber antes de copiar um registo do exemplo de outro fornecedor.
DKIM para o Microsoft 365 — dois CNAME, não um TXT
Ao contrário do único registo TXT do Google, o DKIM no Microsoft 365 usa dois registos CNAME gerados pela Microsoft, cada um apontando para uma chave alojada pela Microsoft:
selector1._domainkey.yourdomain.com. CNAME selector1-yourdomain-com._domainkey.<tenant>.onmicrosoft.com. selector2._domainkey.yourdomain.com. CNAME selector2-yourdomain-com._domainkey.<tenant>.onmicrosoft.com.
- Obtenha os dois valores CNAME para selector1._domainkey e selector2._domainkey no portal Microsoft Defender (Email & collaboration → Policies & rules → Threat policies → Email authentication settings → DKIM), ou através do cmdlet do PowerShell Set-DkimSigningConfig
- Adicione ambos os registos CNAME exatamente como indicado
- Ative a assinatura DKIM para o domínio no mesmo ecrã do portal Defender — tal como no Google, publicar apenas os registos não ativa a assinatura
DMARC para o Microsoft 365
Como em qualquer outro lado: um registo TXT em _dmarc.oseudominio.pt, publicado diretamente no DNS em vez de através de uma interface específica da Microsoft. Comece com p=none — consulte o nosso guia de DMARC para o percurso completo.
_dmarc.yourdomain.com. TXT "v=DMARC1; p=none; rua=mailto:[email protected]"
Verificar os três
Assim que cada registo estiver publicado e a assinatura DKIM ativada, uma verificação de segurança de e-mail confirma que SPF, DKIM e DMARC resolvem e estão alinhados corretamente.
Erros que estragam esta configuração
- Adicionar apenas um dos dois registos CNAME necessários — ambos são precisos, e a falta de um impede a validação do DKIM
- Publicar os registos CNAME mas nunca ativar a assinatura DKIM no portal Defender
- Ambientes Exchange híbridos em que parte do correio passa por servidores on-premises não cobertos pelo mecanismo include:spf.protection.outlook.com, exigindo que os respetivos IP sejam adicionados ao registo SPF
Verifique a sua configuração
Veja a teoria na prática — execute Verificação de segurança do correio para o seu próprio domínio.