Por que o e-mail importante cai no spam e o golpe passa

Você mandou o boleto para o cliente. Ele jurou que não recebeu. Você abriu a pasta de enviados, viu a mensagem lá, reencaminhou — e nada. Três dias depois o cliente acha tudo no lixo eletrônico, junto com a proposta da semana passada.

E na mesma caixa de entrada, limpinha, chegou uma mensagem avisando que os dados bancários da sua empresa mudaram. Essa passou.

Não é azar e não é perseguição. Quando o seu e-mail cai no spam do cliente e o do golpista não cai, o que está acontecendo é que o servidor do outro lado faz três perguntas antes de aceitar qualquer mensagem — e a maior parte das empresas brasileiras nunca soube que essas perguntas existem, muito menos se o próprio domínio sabe respondê-las.

O que o servidor do destinatário está de fato perguntando

Quando um e-mail seu chega ao servidor do cliente, ninguém lê o texto para decidir se aquilo é confiável. A decisão começa antes, com três verificações automáticas que levam milissegundos. Elas têm nomes feios, e é por isso que quase ninguém explica — mas o que cada uma pergunta é simples.

SPF: quem tem permissão de enviar em nome desta empresa?

O SPF é uma lista pública, publicada no registro do seu domínio, dizendo quais servidores podem mandar mensagem em nome dele. É o equivalente à portaria do prédio ter a relação de quem pode entrar dizendo que trabalha ali.

Se a sua empresa manda e-mail pelo provedor A, mas o sistema de emissão de nota manda pelo provedor B e a ferramenta de disparo de proposta manda pelo provedor C, os três precisam estar nessa lista. Quase sempre um deles não está — e é justamente esse que manda o documento importante.

DKIM: esta mensagem foi alterada no caminho?

O DKIM é uma assinatura digital que o servidor de saída carimba na mensagem. Do outro lado, o servidor confere a assinatura contra uma chave pública publicada no seu domínio. Se bate, duas coisas ficam provadas: a mensagem realmente saiu de quem diz que saiu, e ninguém mexeu nela pelo caminho.

É o lacre da encomenda. Não impede que alguém mande uma caixa; impede que alguém abra a sua e troque o conteúdo sem que isso apareça.

DMARC: e quando uma das duas falha, o que eu faço?

Aqui está a peça que quase ninguém configura, e é a que mais importa. O DMARC é a instrução que você deixa publicada dizendo ao servidor do destinatário o que fazer quando uma mensagem se diz sua e não passa nas verificações: ignorar o problema, mandar para o spam, ou recusar de vez.

Sem DMARC, cada provedor decide por conta própria — e na dúvida, decide contra você. Com DMARC, você também passa a receber relatórios de quem anda tentando enviar mensagem usando o seu nome. É a única forma de descobrir que alguém está falsificando o seu domínio antes de o cliente ligar perguntando de um boleto que você não emitiu.

Os três estão definidos em normas públicas e antigas: o DKIM é de 2011, o SPF de 2014 e o DMARC de 2015. Não é novidade e não é tendência. É o alicerce que ficou de fora quando a empresa contratou o e-mail e ninguém explicou.

Por que o golpe passa e o seu boleto não

A resposta incomoda: porque o golpista se dá ao trabalho.

Quem monta uma fraude por e-mail sabe exatamente como funciona esse sistema de verificação. Ele registra um domínio parecido com o da sua empresa, configura SPF, DKIM e DMARC direitinho nesse domínio novo, e manda a mensagem. Do ponto de vista técnico, aquela mensagem é impecável: assinada, autorizada, íntegra. O filtro não tem motivo para desconfiar.

A sua mensagem legítima, enviada por um sistema que não está na sua lista de autorizados e sem assinatura nenhuma, é tecnicamente mais suspeita que a do golpista. O filtro não sabe quem é honesto. Sabe quem se identificou.

Os cinco motivos mais comuns, na ordem em que aparecem

1. Um sistema que manda e-mail por você não está autorizado. Emissor de nota fiscal, sistema de gestão, formulário do site, ferramenta de cobrança. Cada um que manda em seu nome precisa constar na autorização.
2. Nunca existiu assinatura. Muitos domínios saem do ar de fábrica sem DKIM. Funciona — até o dia em que o destinatário aperta o critério.
3. O endereço de saída tem histórico ruim. Se o seu servidor já foi usado para disparo em massa, ou se está numa faixa de endereços compartilhada com quem faz isso, você herda a fama.
4. Ninguém acompanha o que os destinatários estão marcando. Quem envia em volume tem hoje um teto de reclamação a respeitar — as regras públicas do Gmail para remetentes em volume, em vigor desde fevereiro de 2024, exigem manter a taxa de spam abaixo de 0,30% e recomendam ficar abaixo de 0,10%. Passou disso, a entrega piora para todo mundo do mesmo domínio.
5. Anexo, link encurtado e assunto em caixa alta. São os sinais mais óbvios, e ironicamente os menos determinantes. Mas somados a um domínio sem autenticação, empurram a mensagem para o outro lado da linha.

O que dá para conferir hoje, sem contratar ninguém

Três coisas, e nenhuma exige ser da área:

• Peça a alguém de fora que reencaminhe uma mensagem sua como anexo e procure, no cabeçalho, as palavras spf, dkim e dmarc. O que aparece ao lado delas é pass ou fail. Três pass é o alvo.
• Liste todos os sistemas que mandam e-mail em nome da empresa. Não é a lista que o TI acha que existe: é a lista de verdade, incluindo o financeiro, o comercial e aquele robô de aniversário que alguém contratou em 2022.
• Pergunte ao seu fornecedor de TI, com estas palavras: o nosso domínio tem DMARC publicado, e em que política? Se a resposta for uma pausa, você já sabe o tamanho do assunto.

Onde entra proteção na frente do servidor de e-mail

Autenticar o domínio resolve o lado de quem envia. Sobra o outro lado: o que chega.

A filtragem na frente do servidor de e-mail examina cada mensagem antes que ela toque a sua caixa — origem, reputação, anexo, link e as tentativas de imitar um remetente conhecido. É onde se barra a mensagem que se passa por diretor pedindo transferência, e é onde se segura o anexo que carrega o programa que criptografa os arquivos da rede.

Isso reduz risco. Não elimina, e quem promete eliminar está vendendo o que não existe. O que se ganha é tempo: menos mensagem perigosa chegando, e registro de quem tentou.

O ponto

Um e-mail que não chega custa a venda. Um e-mail falso que chega custa mais. Os dois problemas moram no mesmo lugar — na identidade do seu domínio, que é a única coisa que o servidor do outro lado consegue verificar.

Vale a pergunta honesta: você sabe dizer, agora, se o domínio da sua empresa tem as três verificações no lugar? Se a resposta for "acho que sim", a gente confere junto numa conversa de quinze minutos e você fica sabendo — mesmo que não contrate nada.

Leia também: o golpe das páginas falsas de reunião, que usa o mesmo princípio de imitar o que você reconhece, e por que o firewall é mais do que um bloqueador. Se quiser ver como fica a proteção de e-mail na prática, ela está descrita em proteção de e-mail empresarial.