Google, Yahoo e Microsoft apertaram as regras: e-mail sem autenticação arrisca o spam

Uma proposta no spam é uma proposta que nunca foi enviada. Uma factura no spam é um pagamento que atrasa. E desde 2024 ficou muito mais fácil uma mensagem de empresa ir parar lá, porque os três maiores serviços de e-mail do mundo mudaram as regras ao mesmo tempo.

A Google abriu caminho

A partir de 1 de Fevereiro de 2024, a Google passou a aplicar requisitos a todos os remetentes que enviam para contas Gmail. Os principais são:

• autenticar as mensagens com SPF ou DKIM;
• ter registos de DNS válidos para os servidores que enviam;
• usar ligação cifrada (TLS) no envio;
• manter a taxa de spam reportado pelos destinatários abaixo de 0,3%;
• não se fazer passar por um endereço do Gmail no campo do remetente.

Quem envia mais de 5000 mensagens por dia tem regras adicionais: DMARC, alinhamento do domínio do remetente com o SPF ou o DKIM, e cancelamento da subscrição com um só clique. A Google avisa que, sem estes requisitos, as mensagens podem não ser entregues como esperado ou ser marcadas como spam.

A Yahoo seguiu no mesmo mês

A Yahoo começou a aplicar as suas regras para remetentes também em Fevereiro de 2024. Todos os remetentes têm de autenticar as mensagens com SPF ou DKIM, no mínimo, manter a taxa de spam abaixo de 0,3% e ter DNS válido nos servidores de envio. Quem envia em volume tem de ter SPF e DKIM, uma política DMARC publicada que passe, e cancelamento fácil da subscrição.

A Microsoft fechou o cerco

Pouco mais de um ano depois chegou a Microsoft. Desde 5 de Maio de 2025, quem envia mais de 5000 mensagens por dia para endereços Outlook.com, Hotmail.com e Live.com tem de ter SPF, DKIM e DMARC, e as mensagens que falhem podem ser recusadas.

Somadas, estas regras valem para o Gmail, o Yahoo, o Outlook.com e o Hotmail. E todas assentam no mesmo princípio: a mensagem tem de provar que vem de quem diz vir.

Porque isto apanha as empresas que usam Gmail

O SPF, o DKIM e o DMARC configuram-se no DNS do domínio do remetente. Se o teu endereço é @gmail.com, o domínio é da Google, e só a Google pode mexer nesses registos.

Uma mensagem escrita no próprio Gmail sai autenticada pela Google. Mas uma empresa nunca envia só por um sítio. Pensa nestes casos:

• o formulário de contacto do teu site, que envia avisos com o teu endereço como remetente;
• o programa de facturação, que envia as facturas aos clientes em teu nome;
• uma plataforma de newsletters ou de campanhas;
• uma impressora ou um digitalizador que envia documentos por e-mail.

Em todos eles, a mensagem sai de um servidor que não é da Google, mas diz que vem de um endereço @gmail.com. É exactamente o que a Google proíbe: fazer-se passar por um remetente do Gmail. Esses servidores não podem constar do SPF do gmail.com nem assinar com o DKIM da Google, por isso a mensagem falha a autenticação. O destino é o spam, ou a recusa.

Com um domínio próprio, o problema desaparece: acrescentas o servidor do programa de facturação ao teu SPF, configuras o DKIM que ele te dá, e as facturas passam a sair autenticadas com o nome da tua empresa.

A reputação passa a ser tua

Os grandes fornecedores avaliam também a reputação de quem envia, e essa reputação está ligada ao domínio. Num domínio próprio, ela é construída pelas mensagens da tua empresa e só por elas. Se enviares com cuidado, a reputação é tua e trabalha a teu favor.

Num endereço gratuito, partilhas o domínio com milhões de contas, incluindo as que os burlões criam todos os dias, e não tens forma de ver como estás a ser avaliado nem de corrigir nada.

Quem compra já sabe que o e-mail pessoal se perde

Quando o antigo departamento de cooperação britânico, o DFID, abriu o seu portal de fornecedores, o guia de registo recomendava a quem usasse contas pessoais que verificasse a pasta de spam com regularidade, para não perder oportunidades. Quem compra sabe que as mensagens para endereços pessoais se perdem.

Em Moçambique o risco é concreto. O regulamento de contratação pública permite notificar os concorrentes por e-mail, com prazos de resposta de poucos dias úteis. Uma notificação no spam pode custar mais do que um cliente: pode custar o contrato.

Testa o teu e-mail em dois minutos

Não precisas de ser técnico:

1. Envia uma mensagem do teu endereço de empresa para uma conta Gmail que consigas abrir.
2. Abre a mensagem no Gmail, no computador, carrega nos três pontos ao lado da data e escolhe "Mostrar original".
3. No topo vês três linhas: SPF, DKIM e DMARC. O ideal é que digam PASS nas três.

Repete o teste com as mensagens do formulário do site e do programa de facturação. Se alguma linha disser FAIL, ou se o DMARC não aparecer, há um registo de DNS em falta ou errado, e as tuas mensagens estão em risco.

Boas práticas que completam a autenticação

• Escreve a pessoas que esperam a tua mensagem, e não compres listas de contactos.
• Evita anexos enormes quando uma ligação serve.
• Não escrevas o assunto todo em maiúsculas nem com pontos de exclamação seguidos.
• Dá sempre uma forma fácil de deixar de receber mensagens de marketing.

Põe o teu e-mail na caixa de entrada

A Google, a Yahoo e a Microsoft querem saber quem envia cada mensagem, e a resposta está no domínio. Num endereço gratuito, essa resposta é sempre deles. Com um domínio próprio, é tua: o site, a facturação e as campanhas passam a enviar em nome da tua empresa, autenticados, e chegam a quem tem de os ler.

No OmniBox, cada domínio tem os registos de DNS visíveis no painel, para acompanhares o que está configurado. Escolhe o teu plano e garante que as tuas propostas e facturas chegam ao destino, ou lê primeiro as perguntas frequentes.