Por que os e-mails do formulário do seu site caem no spam (e como SPF, DKIM e DMARC resolvem)

Um possível cliente preenche o formulário de contato. O site responde “Obrigado, entraremos em contato”. A mensagem cai na sua caixa de spam, ou em lugar nenhum, e você nunca responde. Nenhum dos dois fica sabendo.

É um dos problemas mais comuns que encontramos quando olhamos o site de uma pequena empresa, e raramente tem a ver com o conteúdo da mensagem. Tem a ver com quem o e-mail diz que o enviou e se o seu domínio consegue provar isso.

Como saber se você tem o problema #

Mande um teste para você mesmo pelo seu próprio formulário, de um endereço Gmail e de um endereço de trabalho. Depois:

• Olhe o spam e as abas “Promoções” ou “Outros”, não só a caixa de entrada.
• No Gmail, abra a mensagem, clique nos três pontos e escolha Mostrar original. Perto do topo aparecem três linhas: SPF, DKIM e DMARC, cada uma com PASS ou FAIL.

Se alguma falhar, ou nem aparecer, o resto deste artigo é para você. Confira também os logs da hospedagem ou da ferramenta de formulário, se houver: uma mensagem “enviada” que voltou só aparece ali.

A causa mais comum: o formulário se passa pelo visitante #

Muitos formulários, principalmente plugins antigos de WordPress e scripts feitos às pressas, enviam a mensagem a partir do endereço do próprio visitante. O seu servidor manda um e-mail dizendo que ele vem de maria@yahoo.com.

Para quem recebe, isso parece exatamente uma falsificação, porque é uma: quem enviou foi o seu servidor, não o Yahoo. Domínios como yahoo.com publicam uma política rígida pedindo aos outros provedores que recusem e-mails que dizem vir deles mas não passam na autenticação. Resultado: a mensagem é recusada ou vai para o spam.

A correção é simples e não se perde nada:

• De (From): um endereço do seu próprio domínio, como site@suaempresa.com.
• Responder a (Reply-To): o endereço do visitante.

Você continua clicando em “Responder” e falando direto com o visitante. A única diferença é que o e-mail agora diz a verdade sobre de onde veio.

Os três registros que provam que o e-mail é seu #

Enviar do seu domínio só ajuda se o domínio puder garantir o servidor que envia. É isso que fazem três registros de DNS.

Desde fevereiro de 2024, Gmail e Yahoo exigem que todo remetente se autentique com SPF ou DKIM. Quem envia em grande volume (cerca de 5.000 mensagens por dia para os usuários deles) também precisa dos dois, além de DMARC e cancelamento de inscrição com um clique. Um formulário de pequena empresa está longe desse volume, mas os filtros dos provedores são construídos em torno dessas regras, e um e-mail sem elas já começa em desvantagem.

Corrigindo, passo a passo #

1. Envie por um serviço de e-mail transacional #

Não dependa da função de e-mail embutida do servidor do site. Use um serviço feito para enviar e-mails de aplicações, como Resend, Postmark, Amazon SES ou o SMTP do seu provedor de e-mail. Eles cuidam da reputação e das novas tentativas, e mostram se cada mensagem foi entregue.

2. Verifique o seu domínio nesse serviço #

O serviço fornece alguns registros de DNS para adicionar: normalmente um registro DKIM e, muitas vezes, um registro SPF para um subdomínio de envio. Adicione-os exatamente como aparecem, no seu provedor de DNS (onde o DNS do domínio é gerenciado, que pode não ser onde você comprou o domínio). Espere o serviço mostrar o domínio como verificado.

3. Tenha um só registro SPF por domínio #

Um domínio pode ter apenas um registro SPF. Se você usa o Google Workspace para a caixa de e-mail e outro serviço envia pelo mesmo domínio, os dois entram no mesmo registro:

v=spf1 include:_spf.google.com include:spf.example-sender.com ~all

Dois registros v=spf1 separados fazem o SPF falhar para todos. O SPF também deixa de funcionar depois de dez consultas de DNS, então remova os include: de serviços que você não usa mais.

4. Publique uma política DMARC, começando devagar #

v=DMARC1; p=none; rua=mailto:dmarc-reports@suaempresa.com

p=none não muda nada na entrega; ele pede aos provedores que mandem relatórios sobre quem está enviando em nome do seu domínio. Depois de algumas semanas, quando os relatórios mostrarem só os seus próprios serviços, passe para p=quarantine. É isso que protege o seu domínio de quem manda boletos falsos em seu nome.

5. Teste de novo #

Mande outra mensagem pelo formulário e veja o Mostrar original. O objetivo é PASS nas três linhas, e a linha do DKIM deve citar o seu domínio, não o do serviço de envio.

Também dá para conferir os registros pelo terminal:

dig +short TXT suaempresa.com
dig +short TXT _dmarc.suaempresa.com

Quando pedir ajuda #

Se o DNS do seu domínio está espalhado entre registrador, uma hospedagem antiga e um provedor de e-mail, e ninguém lembra quem configurou o quê, o primeiro passo mais seguro é um inventário claro antes de mexer em qualquer coisa. Isso faz parte do nosso diagnóstico de site: acessos, DNS e e-mail, além de segurança, velocidade e SEO, com uma lista priorizada do que corrigir (veja um relatório de exemplo). Nos nossos planos, o formulário de contato, a configuração de envio e esses registros de DNS são configurados e monitorados por nós.