Os e-mails vão para o spam: as causas e como as resolver

O essencial

A causa quase nunca está no conteúdo, está na autenticação: o servidor recetor não consegue verificar se a mensagem vem mesmo do vosso domínio.
Três registos no DNS resolvem o problema: o SPF diz quem pode enviar. O DKIM assina a mensagem. O DMARC define o que acontece em caso de não correspondência.
A ordem é importante. Ativar o DMARC em modo restritivo antes de SPF e DKIM funcionarem corretamente bloqueia as vossas próprias mensagens.
Depois da configuração são precisas duas a quatro semanas de observação antes de se poder falar em «resolvido».

A pergunta aparece em quase todos os projetos: porque é que os nossos e-mails vão para a pasta de spam? A suposição mais frequente – texto demasiado publicitário, links a mais, a palavra «gratuito» – raramente se confirma. Os filtros modernos avaliam primeiro outra coisa: se a mensagem é sequer autêntica.

É que o protocolo de e-mail vem de uma época em que ninguém contava com abusos. No estado original, qualquer computador do mundo pode enviar uma mensagem com o vosso domínio como remetente. Os três registos de que aqui se trata fecham exatamente essa brecha.

Formas luminosas passam por três limiares de verificação transparentes, algumas são desviadas — Três verificações antes de uma mensagem chegar à caixa de entrada. Se uma delas falhar, o destinatário decide por suspeita.

Os três registos e o que fazem

SPF, DKIM e DMARC, cada um numa frase

SPF – quem pode enviar: Um registo no DNS que lista que servidores podem enviar em nome do vosso domínio. O destinatário consulta: a mensagem veio de um desses servidores?
DKIM – foi alterada pelo caminho?: O servidor de envio assina a mensagem criptograficamente. A chave pública correspondente está no DNS. O destinatário verifica a assinatura.
DMARC – o que acontece em caso de não correspondência: A vossa instrução ao destinatário: não fazer nada, mover para spam ou rejeitar. Além disso, o destinatário envia relatórios sobre o que viu.

Sabia que…?

SPF e DKIM sozinhos não chegam. Cada um verifica apenas uma parte, e ambos podem ser aprovados enquanto o endereço de remetente visível para o destinatário está, ainda assim, falsificado.

Só o DMARC liga as verificações ao endereço que aparece na caixa de entrada. Por isso é o registo com o efeito real – e por isso é também o último a ser posto em modo restritivo.

A ordem certa

Três formas geométricas alinham-se numa linha, um raio de luz atravessa-as — Só quando as três estão alinhadas é que a verificação passa sem problemas. Antes disso, bloqueiam-se a si próprios.

Atenção O erro mais frequente é pôr logo o DMARC em rejeição. Se depois houver um serviço a enviar que ainda não está no SPF – o software de contabilidade, o portal de candidaturas, o sistema de tickets –, as suas mensagens desaparecem sem substituição. Sem qualquer mensagem de erro para o remetente.

Levantamento. Quem é que envia em vosso nome? Normalmente mais do que se pensa: o fornecedor de correio, a ferramenta de newsletter, o CRM, o servidor web para confirmações de formulário, a contabilidade. Cada um deles tem de estar no SPF.
Definir o SPF. Um único registo por domínio, que enumere todos os remetentes autorizados. Vários registos SPF são um erro e fazem com que a verificação nem sequer se conclua.
Configurar o DKIM. Ativar em cada serviço de envio e inscrever no DNS a chave fornecida. Cada serviço recebe a sua.
Iniciar o DMARC em observação. Primeiro com a instrução «não fazer nada» e um endereço para os relatórios. Deixar correr duas a quatro semanas.
Analisar os relatórios. Mostram que remetentes reprovam. Se faltar algum no SPF ou no DKIM, acrescentar agora.
Só depois apertar. De «não fazer nada» para «mover para spam» e mais tarde para «rejeitar». Entre os passos, observar duas semanas de cada vez.

Como verificar o estado atual

Antes de qualquer alteração deve ser claro o que está em vigor. Dois caminhos, ambos sem software adicional:

Através de uma mensagem recebida. Abram uma mensagem do vosso próprio domínio numa caixa qualquer e mandem mostrar os cabeçalhos completos. Aí, numa linha chamada Authentication-Results, está se SPF, DKIM e DMARC foram aprovados. Três vezes «pass» significa: a parte técnica está certa.

Através de uma consulta DNS. Em qualquer computador com linha de comandos é possível consultar os registos diretamente. Assim vê-se o que está de facto publicado – não o que deveria estar na interface de administração.

Comandos de verificação

# ver o SPF
nslookup -type=TXT o-vosso-dominio.pt

# ver o DMARC
nslookup -type=TXT _dmarc.o-vosso-dominio.pt

# ver o DKIM (seletor conforme o serviço, aqui exemplo "standard")
nslookup -type=TXT standard._domainkey.o-vosso-dominio.pt

Se no DMARC não voltar nada, o registo não existe. É o achado mais frequente – e ao mesmo tempo o mais fácil de resolver.

Quando a técnica está certa e mesmo assim não funciona

Se a autenticação está limpa e a entrega continua má, há quatro outras causas possíveis.

Domínio novo sem historial de envio

Um domínio que nunca enviou é considerado desconhecido. Quem envia dez mil mensagens no primeiro dia é travado – e com razão.

O que ajuda: aumentar o volume ao longo de duas a quatro semanas, começando pelos destinatários mais envolvidos.

Reconhece-se por: má entrega apenas em envios grandes

Endereços antigos e inativos na lista

Destinatários que há um ano não abrem nada são um sinal negativo. Alguns endereços desativados são até reutilizados pelos fornecedores como armadilhas.

O que ajuda: quem há doze meses não abre nada recebe uma última mensagem – e depois é removido.

Reconhece-se por: taxa de abertura a descer ao longo de meses

Envio através de um endereço partilhado

Nos serviços de envio mais baratos, muitos clientes partilham os mesmos servidores de envio. A reputação desses servidores depende então também do comportamento dos outros.

O que ajuda: a partir de algumas dezenas de milhares de mensagens por mês, um endereço de envio próprio – abaixo disso raramente é económico.

Reconhece-se por: quebras súbitas sem alteração própria

Falta de opção de cancelamento no cabeçalho

Os grandes fornecedores esperam, em envios em massa, um cancelamento que funcione com um clique e esteja tecnicamente inscrito nos cabeçalhos – não apenas como link no rodapé.

O que ajuda: ativar na ferramenta de envio; a maioria suporta-o, mas nem todas por predefinição.

Reconhece-se por: problemas sobretudo nos grandes fornecedores de correio gratuito

Da prática

Ao configurar o nosso próprio envio respeitámos a ordem e ainda assim cometemos um erro: o servidor não conseguia inicialmente escrever o seu registo de envio, porque as permissões de ficheiro não o permitiam. Ou seja, enviámos com sucesso – só que sem prova.

Só demos por isso quando quisemos verificar para que endereço tinha ido de facto uma mensagem de teste. A lição: o registo não é um acessório. Sem ele não é possível, em caso de dúvida, comprovar o que aconteceu – e é precisamente disso que se trata quando um cliente diz que não recebeu nada.

Dica Criem para o envio um subdomínio próprio, por exemplo mail.o-vosso-dominio.pt. Assim a reputação do envio de marketing fica separada da reputação da vossa correspondência comercial normal. Se algo correr mal num envio, não é logo toda a comunicação da empresa a ser afetada.

Conclusão

A entregabilidade não é um problema de texto, é um problema de prova. Quem coloca os três registos pela ordem certa resolve com isso a grande maioria dos casos – e de forma duradoura, porque se trata de uma configuração única.

O esforço são poucas horas, distribuídas por quatro a seis semanas, porque as fases de observação fazem parte. Quem as salta e ativa logo o modo restritivo poupa as semanas e arrisca em troca que mensagens importantes desapareçam em silêncio.

Perguntas frequentes

Porque é que os meus e-mails vão para a pasta de spam?

Na grande maioria dos casos, porque o servidor recetor não consegue verificar se a mensagem vem mesmo do vosso domínio. Para isso são precisos três registos DNS: SPF, DKIM e DMARC. O conteúdo é a causa muito menos vezes do que se pensa.

O que são SPF, DKIM e DMARC?

O SPF lista que servidores podem enviar em vosso nome. O DKIM assina criptograficamente cada mensagem, para que as alterações se notem. O DMARC liga ambas as verificações ao endereço de remetente visível e define o que o destinatário deve fazer em caso de não correspondência.

Por que ordem se configuram?

Primeiro o SPF, depois o DKIM, depois o DMARC em modo de observação. Ao fim de duas a quatro semanas, analisar os relatórios, acrescentar os remetentes em falta e só então apertar o DMARC por etapas. Quem ativa primeiro o DMARC em modo restritivo bloqueia as suas próprias mensagens.

Como verifico se os registos estão corretos?

O mais rápido é através dos cabeçalhos completos de uma mensagem recebida: na linha Authentication-Results tem de constar «pass» para SPF, DKIM e DMARC. Complementarmente, os registos podem ser vistos diretamente por consulta DNS.

Quanto tempo demora até uma alteração fazer efeito?

As alterações de DNS ficam visíveis, conforme a configuração, entre minutos e 24 horas. A reputação de um domínio melhora mais devagar – contem com duas a quatro semanas até a taxa de entrega se mover de forma mensurável.

É preciso um subdomínio próprio para o envio?

Não obrigatoriamente, mas faz sentido. Separa a reputação do envio de marketing da da vossa correspondência comercial normal. Se algo correr mal num envio, não é toda a comunicação da empresa a ser afetada.