Como criar registros DNS personalizados no DirectAdmin: DKIM, SPF e DMARC

Quando um provedor de e-mail ou uma plataforma de envios solicita que você verifique seu domínio, ele pode fornecer registros DNS. Neste guia, você usará o Gerenciamento de DNS do DirectAdmin para adicionar registros TXT de DKIM e DMARC e revisar um SPF existente, com dados fictícios de um provedor de e-mail.

O endereço e o nome do servidor, o domínio, o usuário, os limites e as ferramentas disponíveis podem variar conforme o seu serviço. Use os dados de acesso da sua própria hospedagem; as capturas de tela mostram uma interface de referência.

1. Confirme o domínio e onde seu DNS é gerenciado

• Confira o domínio exato indicado pelo provedor nos nomes dos registros. Uma letra de diferença corresponde a outro domínio. Se a solicitação e os registros não coincidirem, confirme qual é o correto antes de salvar.

• Confirme que o DNS autoritativo do domínio é gerenciado neste serviço do DirectAdmin. Se ele usar o DNS de outro provedor, as alterações nesta tela poderão não ter efeito na Internet; consulte onde você deve gerenciá-las.

• Um servidor de nomes no formato ns1… identifica um servidor DNS. Não é o nome nem o valor do TXT de DKIM, SPF ou DMARC. Para adicionar esses TXT, você não precisa modificar os registros NS nem os MX.

• Tenha em mãos o tipo, o nome, o valor completo e, se especificado, o TTL de cada registro. Guarde uma cópia do valor atual antes de editá-lo.

2. Abra o Gerenciamento de DNS e revise o que já existe

Na área de trabalho do DirectAdmin, acesse Gerenciador de Conta → Gerenciamento de DNS. Verifique o domínio selecionado antes de adicionar ou editar registros.

A tabela mostra Nome, TTL, Tipo e Valor. Revise os TXT existentes: um valor que começa com v=spf1 é o SPF; _dmarc identifica a política DMARC; um nome terminado em ._domainkey corresponde a um seletor DKIM.

Se já existir o mesmo nome e tipo que você precisa configurar, revise seu valor e use Editar quando for o caso. Não adicione duplicatas de SPF ou DMARC. Diferentes seletores DKIM, como x._domainkey e demo._domainkey, podem coexistir; não exclua o seletor de outro serviço.

3. Preencha corretamente Nome, TTL e Valor

Clique em Adicionar Registro e escolha o tipo solicitado. Nos três exemplos a seguir, use TXT. Em Tipo de registro TXT, selecione Simples para inserir o valor completo fornecido pelo provedor.

• Nome: se o formulário mostrar o domínio como sufixo, digite apenas a parte relativa, por exemplo demo._domainkey ou _dmarc. Para o domínio raiz, mantenha o nome completo que o DirectAdmin propõe ao escolher TXT, incluindo o ponto final: pruebas-hosting.hnd.io. neste exemplo.

• Se você inserir um nome completo neste painel, termine com um ponto para indicar que ele é absoluto. Não cole um nome completo sem revisar o sufixo: você pode acabar com o domínio repetido. Não presuma que @ é a forma exigida; use o nome raiz proposto pelo painel.

• TTL: é o tempo de cache, em segundos. Mantenha o valor padrão se o provedor não exigir outro. Nas capturas de tela, ele é 3600, equivalente a uma hora; não use Substituir valor TTL para alterar toda a zona neste procedimento.

• Valor: cole apenas o conteúdo solicitado, sem títulos, rótulos, barras de continuação nem quebras de linha adicionadas ao copiar de um e-mail. Em Simples, você pode colar o texto sem aspas externas; o DirectAdmin o mostra entre aspas ao salvá-lo.

4. Adicione o TXT de DKIM

O DKIM permite que o serviço de e-mail assine mensagens e que os destinatários verifiquem essa assinatura por meio de uma chave pública. Se o provedor fornecer um TXT com o seletor demo, preencha estes campos:

• Tipo de registro: TXT.

• Nome: demo._domainkey.

• TTL: o indicado pelo provedor ou o valor padrão.

• Tipo de registro TXT: Simples.

• Valor: a sequência completa fornecida pelo provedor, por exemplo uma que comece com k=rsa;p= seguida da chave pública.

Na zona pruebas-hosting.hnd.io, o nome relativo demo._domainkey corresponde a demo._domainkey.pruebas-hosting.hnd.io. A chave pode ocupar várias linhas visuais dentro do campo; confira se ela foi colada por completo. Não adicione reticências, não modifique os caracteres e nunca publique uma chave privada.

Clique em Adicionar. Quando o painel confirmar que o registro foi salvo, procure o TXT do seletor na tabela e confira o nome e o valor. Se o seu provedor solicitar CNAME em vez de TXT, use exatamente o tipo e o destino fornecidos; não converta a instrução dele em uma chave TXT.

5. Revise e atualize o SPF sem criar um segundo registro

O SPF declara quais servidores podem enviar e-mail para o domínio utilizado na verificação SPF. Ele é publicado como TXT. Para cada nome, deve existir um único registro que comece com v=spf1.

Um provedor pode fornecer este valor:

v=spf1 include:spf.proveedor.example ~all

Se já existir um SPF, clique em Editar na linha correspondente. Se o DirectAdmin abrir o assistente SPF, altere Tipo de registro TXT para Simples e revise o valor completo. Adicione include:spf.proveedor.example antes do mecanismo final all, separado por espaços e sem repeti-lo se já estiver presente.

Exemplo simplificado: se o valor original for v=spf1 a mx ~all e esses mecanismos continuarem sendo necessários, ele ficará assim:

v=spf1 a mx include:spf.proveedor.example ~all

Mantenha apenas um v=spf1 e um único mecanismo all no final. Preserve a política que seu domínio já utiliza: se ela termina em -all, não a altere para ~all sem revisar o efeito. Se o registro contiver redirect= ou você não souber como integrar os remetentes atuais, solicite ajuda antes de modificá-lo.

Clique em Salvar e confira se continua existindo apenas um SPF para esse nome. Se não existia SPF, use Adicionar Registro → TXT, mantenha o nome raiz proposto pelo DirectAdmin e cole a política confirmada para todos os serviços que enviam e-mail pelo seu domínio.

O SPF limita a dez os termos que provocam consultas DNS durante sua avaliação, incluindo as dependências de outros include. Não continue adicionando serviços sem revisar esse limite; se você tiver vários provedores, solicite a validação do SPF resultante.

6. Adicione ou atualize o TXT de DMARC

O DMARC indica como deve ser tratado o e-mail que não passa nas verificações de autenticação e alinhamento com o domínio visível do remetente. Se já existir _dmarc, edite essa linha em vez de criar um segundo registro.

• Tipo de registro: TXT.

• Nome: _dmarc.

• Tipo de registro TXT: Simples.

• TTL: o indicado pelo provedor ou o padrão.

• Valor: a política confirmada para o seu domínio.

Este é um exemplo de política de observação com relatórios agregados:

v=DMARC1; p=none; rua=mailto:informes@ejemplo.example

p=none não solicita a rejeição nem a quarentena das mensagens por DMARC; permite observar os resultados. rua indica para onde solicitar o envio dos relatórios agregados. Substitua o endereço por uma caixa de e-mail ou um serviço autorizado que possa recebê-los: adicionar o TXT não cria essa conta de e-mail. Se o destino pertencer a outro domínio, poderá exigir autorização adicional do destinatário.

Não altere uma política existente p=quarantine ou p=reject para p=none só porque ela aparece em um exemplo. Também não torne a política mais restritiva sem antes revisar todos os serviços que enviam e-mails. Clique em Adicionar ou Salvar, conforme o caso.

7. Confira o resultado

• Volte à tabela e confira o nome, o tipo TXT, o TTL e o valor de cada registro. Para revisar um valor longo, abra Editar, leia-o por completo e feche o formulário sem salvar se não precisar fazer alterações.

• Confirme que o seletor DKIM é o solicitado, que há um único SPF para o nome configurado e um único TXT de política em _dmarc.

• Salvar confirma a alteração na zona do painel; isso, por si só, não comprova que todos os resolvedores da Internet já a vejam. Os caches podem manter valores anteriores de acordo com seu TTL.

• Depois de dar tempo para os caches serem atualizados, solicite ou repita a validação do provedor. Se ela continuar falhando, revise primeiro o domínio exato, onde o DNS dele é gerenciado, o sufixo do nome e o valor completo.

Adicionar esses registros não garante, por si só, a entrega na caixa de entrada. O provedor deve usar a assinatura DKIM e os domínios de envio adequados; preserve os demais registros do site e do e-mail.