O que é autenticação de e-mail?

Definição

A autenticação de e-mail é um grupo de padrões técnicos, publicados como registros no DNS do seu domínio, que verificam a origem e a integridade de uma mensagem de e-mail. O e-mail não foi construído pensando na verificação do remetente, então, por padrão, qualquer pessoa pode colocar qualquer endereço no campo De. A autenticação fecha essa brecha dando aos servidores receptores uma forma de checar se uma mensagem que afirma vir do seu domínio foi de fato autorizada por ele.

Três protocolos fazem o trabalho. O SPF, Sender Policy Framework, declara quais servidores de e-mail têm permissão para enviar em nome do seu domínio. O DKIM, DomainKeys Identified Mail, anexa uma assinatura criptográfica a cada mensagem para que o receptor possa confirmar que ela não foi adulterada e que se originou do seu domínio. O DMARC, Domain-based Message Authentication, Reporting and Conformance, vincula essas verificações ao endereço que os destinatários de fato veem e diz aos receptores como tratar a correspondência que falha. Um padrão relacionado, o BIMI, pode exibir um logotipo de marca verificado quando o DMARC está em vigor, mas ele se apoia nessa pilha em vez de substituí-la.

A autenticação é uma propriedade do domínio de envio, configurada pelo dono do domínio no DNS. Não é algo que um destinatário configure, e é separada da questão de se os destinatários da sua lista são reais. Essa segunda questão é tarefa da verificação de e-mails, e é por isso que as duas costumam ser discutidas lado a lado.

Como Funciona

Cada protocolo roda no momento em que um servidor receptor aceita uma mensagem. O SPF funciona por meio de um registro DNS que lista os endereços IP e servidores autorizados a enviar correspondência em nome do seu domínio. Quando uma mensagem chega, o servidor receptor olha o endereço IP do servidor remetente e o compara com seu registro SPF publicado. Se o IP estiver listado, o SPF passa; se não, ele falha.

O DKIM funciona por meio de criptografia de chave pública. Seu sistema de envio assina as mensagens de saída com uma chave privada, anexando uma assinatura no cabeçalho da mensagem, e publica a chave pública correspondente no DNS. O servidor receptor recupera a chave pública, valida a assinatura e confirma duas coisas de uma vez: que a mensagem foi assinada pelo seu domínio e que as partes assinadas da mensagem não foram alteradas no trânsito.

O DMARC fica por cima e adiciona o conceito de alinhamento. O SPF e o DKIM autenticam, cada um, um domínio, mas esse domínio nem sempre é o que a pessoa vê na linha De. O DMARC exige que o domínio autenticado se alinhe com o domínio De visível, o que é justamente o que impede um invasor de passar na autenticação em um domínio que ele controla enquanto falsifica o seu no endereço visível. Um registro DMARC também publica uma política: p=none pede aos receptores apenas para monitorar e relatar, p=quarantine pede que tratem a correspondência reprovada com desconfiança, e p=reject pede que a bloqueiem. O DMARC ainda gera relatórios agregados que mostram a você quem está enviando correspondência usando o seu domínio, o que é inestimável para encontrar configurações incorretas e abusos.

Por Que Isso Importa para a Entregabilidade de E-mail

A autenticação de e-mail deixou de ser boa prática para virar exigência obrigatória. O Gmail e o Yahoo aplicam requisitos de remetente que tornam a autenticação uma pré-condição para a entrega. Todo remetente precisa ter SPF ou DKIM em vigor, junto com DNS reverso válido, um registro PTR corretamente configurado e transmissão criptografada por TLS. Quem envia em massa, ou seja, quem envia cerca de 5,000 mensagens ou mais por dia para endereços do Gmail, enfrenta deveres adicionais: precisa publicar um registro DMARC, passar no alinhamento de domínio e oferecer cancelamento de inscrição com um clique na correspondência de marketing. O Yahoo aplica regras bem parecidas e espera que quem envia em massa mantenha as taxas de reclamação de spam abaixo de 0,30 por cento. Uma política DMARC de p=none satisfaz atualmente a exigência de DMARC, embora avançar rumo à aplicação dê uma proteção mais forte contra spoofing.

A razão de os provedores insistirem na autenticação é a confiança. A autenticação permite que um receptor tenha certeza de que a correspondência que afirma vir do seu domínio realmente vem, o que bloqueia o spoofing de domínio exato usado em phishing e em fraudes de comprometimento de e-mail corporativo. A correspondência que falha na autenticação, ou que vem de um domínio sem autenticação alguma, é muito mais propensa a ser filtrada para o spam ou rejeitada de imediato.

É importante ser preciso sobre o que a autenticação faz e o que não faz. Ela prova identidade; ela não atesta o conteúdo. Um spammer pode autenticar um domínio que ele mesmo possui. Então a autenticação é necessária para uma boa entregabilidade, mas não é suficiente por si só. Os provedores de e-mail a combinam com a reputação do remetente, o engajamento do destinatário e a análise de conteúdo. A autenticação faz você passar pela porta; a reputação e o engajamento determinam em qual pasta você vai parar.

Como a VeriMails Lida com Isso

A autenticação de e-mail e a verificação de e-mails são as duas metades de um envio confiável, e cobrem pontas opostas do pipeline. A autenticação trata do domínio de onde você envia e é configurada no DNS. A verificação trata dos endereços para os quais você envia e é a parte que o VeriMails cuida diretamente. As duas precisam estar em vigor: um domínio perfeitamente autenticado ainda perde sua chegada à caixa de entrada se enviar para uma lista cheia de endereços mortos, porque as rejeições e reclamações resultantes destroem a reputação do remetente que os provedores pesam junto com a autenticação.

O VeriMails verifica sua lista de destinatários para que a autenticação não seja minada por uma lista de baixa qualidade. Cada endereço passa por uma verificação completa em várias camadas: validação de sintaxe, confirmação de MX e DNS, um handshake SMTP ao vivo com o servidor de e-mail receptor e detecção de domínios catch-all, endereços descartáveis e endereços baseados em função. Remover os endereços inválidos mantém sua taxa de rejeição definitiva baixa, e uma taxa de rejeição baixa é um dos sinais de reputação que decidem se sua correspondência autenticada chega à caixa de entrada ou à pasta de spam. Você pode verificar uma lista inteira por upload de CSV ou checar endereços um a um pela API REST. O VeriMails devolve categorias de entregabilidade claras para os fluxos de API e em massa.

O VeriMails também oferece ferramentas gratuitas que ajudam no próprio lado da autenticação, incluindo um gerador de SPF, um gerador de DKIM e um gerador de DMARC, para que você possa produzir os registros DNS corretos para o seu domínio. Usadas em conjunto, a autenticação estabelece que você é um remetente legítimo e a verificação mantém sua lista limpa o suficiente para sustentar essa posição. Contas novas ganham 100 créditos gratuitos no cadastro, sem precisar de cartão de crédito e com créditos que nunca expiram, com a verificação a partir de 0,0019 dólar por e-mail, ou seja, 19 dólares por 10,000 créditos, e planos anuais a partir de $12.50/month quando cobrados anualmente.

Perguntas Frequentes