DKIM para Gmail: Um Guia Completo de Configuração para 2026

Você provavelmente já viu isso acontecer. Uma consulta de cliente, um acompanhamento de orçamento ou uma campanha que você dedicou tempo para criar cai na caixa de spam, e a única pista é que a linha do remetente parece correta enquanto o Gmail ainda trata a mensagem como suspeita. É exatamente aí que o DKIM para Gmail é importante, pois ele fornece ao Gmail um sinal criptográfico de que seu e-mail realmente veio do seu domínio e não foi alterado durante o trajeto.

O Gmail não trata mais a autenticação como um extra opcional. Os próprios dados do Google mostram que 76,9% dos e-mails que o Gmail recebe são assinados com DKIM, e o Google exige que remetentes em massa usem SPF, DKIM e DMARC (orientação de autenticação do Gmail do Google). Se você envia newsletters, e-mails de vendas, atualizações de suporte ou campanhas de mala direta, isso torna o DKIM parte da configuração básica, não uma otimização posterior. Para uma introdução mais ampla sobre a pilha de autenticação, veja noções básicas de autenticação de e-mail.

Por que suas mensagens do Gmail precisam de autenticação DKIM

Quando um cliente diz que nunca viu seu orçamento, acompanhamento ou e-mail de campanha, o problema geralmente começa com a confiança. O Gmail precisa decidir se a mensagem parece ter vindo genuinamente do seu domínio, e essa decisão afeta se ela chegará à caixa de entrada, à aba de promoções ou ao spam.

O DKIM, DomainKeys Identified Mail, fornece ao Gmail essa prova. Ele assina o e-mail de saída com uma chave específica do domínio, e o Gmail verifica essa assinatura quando a mensagem chega. Se a assinatura corresponder, a mensagem tem um argumento mais forte para ser tratada como e-mail comercial legítimo e é menos provável que seja contestada durante a filtragem.

O e-mail assinado também ajuda a proteger seu domínio contra falsificação (spoofing). Sem o DKIM, alguém pode enviar uma mensagem que parece vir da sua empresa, e os provedores de caixa de entrada têm menos sinais para separar seu e-mail de uma cópia falsa. Esse é um risco direto para pequenas empresas que dependem do Gmail para respostas a clientes, faturas e campanhas de mala direta.

Um domínio assinado também lhe dá um sinal de reputação mais limpo. O Gmail analisa a autenticação como parte do panorama geral de confiança, portanto, uma mensagem assinada corretamente apoia sua reputação de remetente em vez de forçar o Gmail a adivinhar se o e-mail é seguro. Para uma visão geral de como as peças se encaixam, veja esta visão geral de autenticação.

Muitas pequenas empresas tentam corrigir a entregabilidade alterando linhas de assunto, espaçando os envios ou reescrevendo o corpo do texto. Esses ajustes podem ajudar no engajamento, mas não substituem a autenticação. Se a mensagem em si não estiver assinada corretamente, o Gmail ainda terá um motivo para tratá-la com cautela.

Gere sua chave DKIM no Google Workspace

Comece no console de administração do Google Workspace e, em seguida, vá para a área de autenticação do Gmail para o domínio que você deseja assinar. O fluxo de configuração do Google foi projetado em torno de uma ideia simples: gerar um novo registro, publicá-lo no DNS e, em seguida, retornar ao console de administração e clicar em Iniciar autenticação (sequência de configuração DKIM do Google Workspace).

Encontre a tela de autenticação

O caminho geralmente fica em Apps, depois Google Workspace, depois Gmail e, por fim, Autenticar e-mail. É aí que o Google cria o material DKIM vinculado ao seu domínio. Se você gerencia mais de um domínio, tenha cuidado ao escolher o domínio responsável pelo envio de e-mails, em vez de apenas aquele que possui seu site.

O prefixo do seletor faz parte do nome do registro que o Google lhe fornece. Pense nele como um rótulo que ajuda o Gmail a saber qual chave DKIM procurar mais tarde. Os documentos do Google também mostram que chaves de 2048 bits são a opção preferencial quando seu ambiente as suporta, o que reflete uma mudança em direção a uma autenticação criptográfica mais forte em vez do mínimo necessário.

Nota operacional: gere a chave no Google primeiro e, em seguida, copie o nome do host e o valor TXT exatos que ele fornecer. Tentar adivinhar o nome do registro é uma das maneiras mais rápidas de interromper a configuração.

Copie os detalhes do registro com cuidado

O Google mostrará um nome de host DNS e um valor de registro TXT. Essas duas partes importam mais do que o fluxo da tela em si. O nome do host é o que o DNS usa para publicar a chave, e o valor TXT é a metade pública do registro de assinatura.

Se você usa uma ferramenta de e-mail ou um fluxo de trabalho de divulgação conectado ao Gmail, este também é o ponto em que você deve garantir que está configurando o domínio de envio correto. Para empresas que usam um domínio no Gmail e outro em uma plataforma de envio, a escolha errada do domínio é uma fonte comum de confusão. Se você também precisar do lado SPF da imagem, este guia de SPF do Gmail combina bem com a configuração do DKIM.

Mantenha o texto do registro exatamente como o Google o fornece. Mesmo um pequeno erro de digitação no rótulo do host ou no valor colado pode impedir que o domínio seja autenticado posteriormente, e você não saberá disso apenas olhando para a tela de composição do Gmail.

Publique o registro DKIM no DNS do seu domínio

Seu provedor de DNS é onde a chave DKIM se torna ativa para o mundo exterior. O Google pode gerar o registro, mas o Gmail não confiará na assinatura até que essa chave pública exista na zona DNS do domínio de onde você envia.

Abra a área de gerenciamento de DNS do domínio e adicione um registro TXT com o nome de host e o valor TXT exatos que o Google fornecer. Esse registro é o que permite ao Gmail verificar e-mails de saída posteriormente. Se o seu provedor usa uma interface simplificada, procure por registros DNS, registros de domínio ou configurações avançadas de DNS.

A precisão importa mais do que a velocidade aqui. Copie o texto exatamente como mostrado, pois este não é o lugar para encurtar, reformatar ou limpar o valor. Um caractere ausente ou um espaço extra pode interromper a autenticação, mesmo que o registro pareça correto à primeira vista.

Formato de exemplo, não para copiar cegamente:
Nome do host, o seletor DKIM que o Google gerou.
Tipo, TXT.
Valor, a string DKIM completa que o Google lhe deu.

Para ferramentas de mala direta e fluxos de trabalho de divulgação conectados ao Gmail, a escolha do domínio precisa corresponder à caixa de correio que envia as mensagens. Se sua plataforma de envio usa um domínio diferente daquele no Google Workspace, um registro na zona errada não fará nada pela entregabilidade. Se você também precisar que o SPF se alinhe, este recurso de configuração de SPF para Gmail é um companheiro útil enquanto você finaliza os registros de autenticação.

Depois de publicar o registro, deixe um tempo para o DNS atualizar antes de testar. Alguns provedores mostram a alteração rapidamente, enquanto outros demoram mais para aparecer em toda a internet. A orientação sobre o tempo de propagação de DNS explica por que os administradores geralmente esperam antes de tentar ativar a assinatura no Google Admin, já que o lado do DNS geralmente é a parte mais lenta da configuração (orientação sobre o tempo de propagação de DNS).

Se você já gerencia o SPF, mantenha o conjunto completo de registros consistente em todo o domínio. O DKIM, o SPF e o domínio de envio precisam apontar na mesma direção, especialmente se você enviar do Gmail e de uma plataforma de divulgação separada. Um registro publicado no domínio errado não ajudará o Gmail a confiar no e-mail que sai do seu sistema.

Assim que o registro estiver no lugar, retorne ao Google Admin e prepare-se para ativar a assinatura. Se a entrada DNS estiver malformada, o Google não conseguirá verificar a chave, e o problema parecerá um problema do Gmail, embora tenha começado no DNS.

Verifique e teste sua configuração DKIM

Após o registro DNS estar ativo, retorne ao Google Admin e clique em Iniciar autenticação. Esse botão não cria o DKIM por conta própria, ele diz ao Google para começar a assinar e-mails depois que ele puder ver a chave pública no DNS. A configuração é considerada completa apenas quando o Google mostra o domínio como totalmente autenticado no console de administração.

A verificação mais limpa ainda é uma mensagem real enviada para uma caixa de correio externa. A própria orientação do Gmail diz para inspecionar os cabeçalhos e procurar uma linha Authentication-Results que mostre explicitamente dkim=pass header.i=@seudominio.com (orientação de verificação DKIM do Google Workspace). Isso informa que a assinatura sobreviveu ao trânsito e correspondeu ao domínio que deveria representar.

Como é um resultado bem-sucedido

Um teste bem-sucedido geralmente mostra o resultado DKIM nos cabeçalhos brutos, não na visualização normal da mensagem. Você também pode ver campos relacionados que confirmam a identidade de assinatura, mas a linha principal é aquela que diz que o DKIM passou para o seu domínio. Se essa linha estiver faltando, trate a mensagem como não verificada até saber o porquê.

Um verificador de terceiros pode ajudar, mas ele deve confirmar o que o cabeçalho já lhe diz. Use-o como uma verificação rápida de sanidade, não como a única fonte da verdade. A prova mais forte ainda é uma mensagem externa real com cabeçalhos válidos reconhecidos pelo Gmail.

Se o cabeçalho disser dkim=pass, a assinatura está funcionando. Se não, o problema geralmente é o posicionamento do registro, a propagação ou uma incompatibilidade entre o seletor e a entrada DNS ativa.

Muitos administradores param cedo demais e confiam apenas no status do console de administração. Isso é útil, mas não substitui a leitura do cabeçalho da mensagem no lado do recebimento. A caixa de correio é onde o Gmail toma sua decisão, então é lá que você deseja confirmar o resultado.

Solução de problemas comuns de DKIM

A maioria dos problemas de DKIM se enquadra em um pequeno conjunto de categorias previsíveis. Cada uma deixa um rastro diferente, então você geralmente pode restringir o problema sem adivinhar, mesmo que esteja enviando de uma ferramenta de mala direta e verificando por que uma campanha chega de forma diferente da outra.

Quando o Google diz que a autenticação não foi verificada

Se o Google ainda mostrar o domínio como não verificado, comece pela propagação. As atualizações de DNS nem sempre aparecem em todos os lugares ao mesmo tempo, portanto, um registro DKIM novo pode parecer correto no seu painel de controle enquanto o Gmail ainda vê o estado anterior. Alguns guias de configuração aconselham esperar antes de clicar em Iniciar autenticação no Google Admin, o que geralmente é a medida mais segura se a alteração acabou de ser publicada.

Se o status ainda não mudar após essa espera, inspecione o registro TXT no seu painel de DNS linha por linha. Um caractere ausente, um nome de host incorreto ou um registro adicionado sob o rótulo errado pode bloquear a verificação, mesmo quando a interface parece correta.

Quando a verificação do cabeçalho falha

Um cabeçalho com falha geralmente significa que a mensagem foi enviada, mas a assinatura não correspondeu ao que o Gmail esperava. Isso geralmente acontece quando o seletor no e-mail não corresponde ao seletor que você publicou, ou quando existe mais de um registro DKIM e o sistema de envio escolhe o errado.

Para remetentes que usam ferramentas de mala direta ou divulgação, isso geralmente aparece como uma mensagem que foi assinada em algum lugar do caminho, mas ainda não se sustenta na caixa de correio do destinatário. Se você também estiver lidando com problemas de posicionamento, revise maneiras práticas de evitar problemas de spam no Gmail. O DKIM ajuda na autenticação, mas não corrige todos os problemas de filtragem por conta própria.

Quando o registro DNS parece correto, mas ainda falha

Às vezes, o registro está lá e ainda está errado. O valor TXT precisa corresponder exatamente ao texto gerado pelo Google, incluindo a tag de versão DKIM e o material da chave. Se o seu provedor de DNS encapsular o valor de uma forma que altere a string, insira-o novamente para que o registro completo permaneça intacto.

Se o provedor não lidar com o formato de chave que você escolheu, uma configuração de DNS diferente pode ser mais fácil de trabalhar. Na prática, erros de copiar e colar causam mais falhas do que os limites do provedor, então comece verificando o registro em relação ao que o Google gerou.

Ordem de solução de problemas: verifique se o registro existe, confirme se o seletor corresponde, aguarde a propagação e, em seguida, teste novamente o cabeçalho.

Essa sequência evita que você altere muitas variáveis ao mesmo tempo. Se você editar o registro, o seletor e a ferramenta de envio ao mesmo tempo, não saberá qual alteração corrigiu o problema.

Se sua equipe também quiser manter os e-mails de saída fora do spam, estas maneiras práticas de evitar problemas de spam no Gmail oferecem uma próxima verificação útil após o DKIM estar no lugar.

Dicas avançadas para mala direta e manutenção

Uma aprovação no DKIM não significa automaticamente que todas as mensagens se comportarão da mesma maneira. A orientação do Google aponta para o alinhamento DMARC, onde o domínio de assinatura DKIM, o valor d=, corresponde ao domínio De visível. Se eles não se alinharem, uma mensagem ainda pode parecer autenticada em um sentido, enquanto falha na verificação de alinhamento que importa para a entrega e a confiança (orientação DKIM do Google Workspace).

Isso é muito importante para fluxos de trabalho de mala direta, envios de CRM e ferramentas de suporte. Uma campanha pode ser assinada corretamente pelo serviço de envio, mas ainda parecer incompatível do ponto de vista do destinatário se o remetente visível e o domínio autenticado se distanciarem. Para equipes que avaliam ferramentas de divulgação mais amplas, recursos para marketing digital de pequenas empresas podem ajudar a enquadrar a autenticação como parte da pilha completa, não como uma correção isolada.

Se você usa um produto como o Mail Merge for Gmail, a questão principal é se as mensagens saem do domínio que você já autenticou e se o endereço De visível corresponde a esse domínio. Essa é a linha prática entre uma mensagem tecnicamente assinada e uma que está configurada para um alinhamento mais limpo no Gmail e em outras caixas de entrada.

Mantenha a manutenção simples

Trate o DKIM como um ativo contínuo, não como uma tarefa única. Verifique se o seletor ainda corresponde ao registro ativo após qualquer alteração de DNS, migração de domínio ou troca de plataforma. Se você girar as chaves, atualize a entrada DNS primeiro e, em seguida, confirme a nova assinatura antes de aposentar a antiga.

Fique de olho também nas outras camadas de autenticação. O SPF e o DMARC não substituem o DKIM, mas tornam a configuração geral muito mais resiliente. Em um ambiente de pequena empresa, essa combinação geralmente é mais fácil de manter saudável do que tentar diagnosticar problemas na caixa de entrada mais tarde.

Se você gerencia vários remetentes, faça um pequeno inventário de cada sistema que envia e-mail em nome da sua empresa. Ferramentas de newsletter, centrais de ajuda, plataformas de faturamento e envios manuais do Gmail podem se comportar de maneira diferente. As pessoas que evitam os piores problemas de entregabilidade são aquelas que sabem exatamente qual sistema assina qual mensagem.

---

Se você estiver configurando isso para atualizações de clientes, divulgação ou campanhas de mala direta, termine o trabalho verificando o cabeçalho do Gmail e o domínio De visível e, em seguida, mantenha o SPF e o DMARC sincronizados com a mesma identidade de envio. Se você quiser um fluxo de trabalho de envio baseado no Gmail que permaneça próximo à caixa de entrada enquanto você gerencia a personalização a partir do Sheets, dê uma olhada no Mail Merge for Gmail.