Servidor de e-mail em VPS: SPF, DKIM, DMARC

Instalar o Postfix ou um pacote pronto como o Mailcow numa VPS leva uma hora. Fazer as mensagens chegarem à caixa de entrada, e não ao spam, é mais difícil: os serviços de e-mail olham a porta, o endereço do servidor, a reputação dele e três registros DNS. Vamos ver o que conferir no provedor antes da compra e como configurar SPF, DKIM e DMARC.

Atualizado 03.11.2026 · Encontre um VPS sob medida →

Um servidor de e-mail faz dois trabalhos diferentes: recebe mensagens para o seu domínio e envia as suas mensagens para servidores de terceiros. O recebimento quase sempre funciona de imediato, se houver um registro MX no DNS. O envio é mais complicado: o lado que recebe decide se confia no seu servidor e, para isso, verifica a rede, o endereço e as assinaturas. Se qualquer elo não estiver configurado, as mensagens são rejeitadas ou vão para o spam sem nenhum aviso.

A porta 25 nos provedores

Os servidores trocam e-mails entre si pela porta 25. As portas 587 e 465 servem para os programas que entregam a mensagem ao próprio servidor; até o servidor MX de outra pessoa, a mensagem só chega pela 25. Por isso, a condição principal para ter e-mail próprio é a porta 25 de saída aberta.

Muitos provedores a mantêm fechada por padrão: servidores novos são usados com frequência para tentar enviar spam, e as reclamações e a má reputação recaem sobre os endereços do provedor. Segundo o catálogo da accsly em 3 de novembro de 2026, foi possível descobrir as condições da porta 25 em 117 provedores: em 39% ela está fechada, em 37% é aberta mediante pedido, em 24% vem aberta de início. Grandes plataformas de nuvem muitas vezes a fecham de vez, sem possibilidade de abertura.

Se a porta é aberta mediante pedido, o provedor costuma querer saber o domínio, a finalidade do e-mail e, às vezes, que o servidor não foi pago ontem. Escreva diretamente: «e-mail corporativo do domínio, cerca de N mensagens por dia, sem envios em massa». Para verificar a porta num servidor já contratado: nc -vz -w 5 gmail-smtp-in.l.google.com 25; se não houver conexão, a porta está fechada do lado do provedor. Planos de provedores em que a porta está aberta ou é aberta mediante pedido estão na seleção VPS para servidor de e-mail.

PTR e nome do servidor

O Google exige de todos os remetentes que o endereço do servidor tenha um registro DNS reverso (PTR) e que ele corresponda ao direto. O esquema é este: o servidor tem um nome, por exemplo mail.example.com; o registro A desse nome aponta para o endereço do servidor, o PTR do endereço aponta de volta para mail.example.com, e o servidor se apresenta com esse mesmo nome no comando HELO. Quem define o PTR é o provedor, no painel ou pelo suporte. Se o envio também for feito por IPv6, o PTR é necessário também para o endereço IPv6. Detalhes no artigo IPv4 e IPv6 no servidor. Numa NAT VPS sem endereço próprio não dá para configurar um PTR próprio, e esse servidor não serve para e-mail.

Reputação do endereço IP

O endereço da VPS pode ter pertencido a qualquer pessoa antes de você. Se foi usado para enviar spam, ele pode constar em listas públicas de endereços conhecidos por enviar spam (DNSBL), e parte dos serviços de e-mail vai rejeitar suas mensagens desde o primeiro dia. Antes de começar, verifique o endereço em serviços públicos de consulta de reputação; se ele estiver nas listas, peça outro ao provedor ou solicite a remoção: a maioria das listas tem um formulário para isso.

Um endereço novo e limpo tem outro problema: não tem histórico, e os grandes serviços o tratam com desconfiança. Comece com um volume pequeno de mensagens para destinatários reais e aumente aos poucos. O Google exige manter abaixo de 0,3% a fração de mensagens marcadas como spam pelos destinatários; dá para acompanhá-la no Google Postmaster Tools, que é gratuito. Envios em massa devem sair por um serviço separado ou, pelo menos, de um endereço e subdomínio separados, para que a reputação deles não afete o e-mail de trabalho.

SPF: quem pode enviar em nome do domínio

O SPF (RFC 7208) é um registro TXT na raiz do domínio com a lista de servidores autorizados a enviar mensagens em nome dele. O servidor que recebe compara com ele o endereço do remetente no envelope da mensagem (MAIL FROM) e o nome no HELO.

example.com.  TXT  "v=spf1 mx ip4:203.0.113.10 -all"

mx e ip4: são os seus servidores; se o e-mail também sai por um serviço externo, adicione o include: dele.
-all: os demais estão proibidos de enviar (fail); ~all: «provavelmente não» (softfail), útil durante a configuração.
O domínio deve ter exatamente um registro SPF. Os mecanismos que exigem consultas ao DNS (include, a, mx, exists, redirect) podem ser usados no máximo 10 vezes, contando os aninhados; se o limite for ultrapassado, a verificação retorna erro (permerror) e o SPF simplesmente não funciona.

DKIM: assinatura das mensagens

O DKIM (RFC 6376) é uma assinatura digital dos cabeçalhos e do corpo da mensagem. O servidor assina cada mensagem com a chave privada, e a chave pública é publicada no DNS com o nome seletor._domainkey.example.com. O destinatário verifica a assinatura e se certifica de que a mensagem foi enviada pelo domínio da assinatura e não foi alterada no caminho.

mail2026._domainkey.example.com.  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkq..."

O tamanho da chave RSA é de no mínimo 1024 bits, como exigem o RFC 8301 e o Gmail; o recomendado é 2048. As chaves são geradas pelo OpenDKIM, pelo rspamd ou pelo painel do pacote de e-mail, que também preenche o registro pronto. O seletor serve para a troca de chave: você publica a chave nova com um seletor novo, muda a assinatura e apaga o registro antigo alguns dias depois, quando as mensagens já enviadas tiverem sido verificadas.

DMARC: política e relatórios

O DMARC (RFC 7489) liga o SPF e o DKIM ao endereço no campo «De», que o destinatário vê. Uma mensagem passa no DMARC se passou no SPF ou no DKIM e o domínio verificado coincide com o domínio do «De» (por padrão, basta coincidir o domínio principal). O registro é publicado com o nome _dmarc:

_dmarc.example.com.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@example.com"

p=none: só observar; p=quarantine: mensagens que não passam no DMARC vão para o spam; p=reject: rejeitá-las.
rua: endereço para os relatórios agregados diários, que mostram quem envia mensagens em nome do domínio e de quais endereços.

Comece com p=none, leia os relatórios por 2–4 semanas, confirme que todas as suas fontes legítimas de e-mail passam na verificação e mude para quarantine e depois para reject.

O que o Gmail e o Outlook exigem

Desde 1º de fevereiro de 2024, o Gmail exige de todos os remetentes SPF ou DKIM, registro PTR correto, transmissão via TLS e taxa de reclamações de spam abaixo de 0,3%. Quem envia mais de 5.000 mensagens por dia para endereços do Gmail precisa de SPF e DKIM juntos, de um registro DMARC (basta p=none) com o domínio do «De» coincidindo com o domínio do SPF ou do DKIM e, nas mensagens promocionais, de cancelamento de inscrição com um clique. Desde 5 de maio de 2025, o Outlook.com adotou regras parecidas para remetentes a partir de 5.000 mensagens por dia: SPF e DKIM devem passar, e o DMARC deve ser no mínimo p=none, com coincidência de domínio; mensagens sem isso vão para o «Lixo Eletrônico» ou são rejeitadas.

Para um servidor pequeno a conclusão é simples: configure os três registros logo de início, mesmo que as mensagens sejam poucas. Para conferir o resultado, envie uma mensagem para a sua caixa no Gmail e abra «Mostrar original»: lá aparecem os resultados de SPF, DKIM e DMARC.

Quando não vale ter e-mail próprio

Um servidor próprio se justifica se você precisa de controle sobre as caixas e os dados ou de muitos endereços em vários domínios. Se o site só precisa enviar notificações e a porta 25 está fechada, é mais simples configurar o envio por um serviço de e-mail externo pela porta 587: SPF, DKIM e DMARC continuam sendo configurados para o seu domínio. Um servidor com e-mail completo e antispam se vira com 2 GB de memória; o espaço em disco precisa ter folga para as caixas e os backups. Quando o site e o e-mail devem sair da hospedagem para uma VPS está no artigo Quando migrar da hospedagem compartilhada para uma VPS.

Perguntas frequentes

Por que as mensagens não saem da VPS?

Na maioria das vezes, o provedor fechou a porta 25 de saída. Pelo catálogo da accsly, ela está fechada em 39% dos provedores com condições conhecidas e é aberta mediante pedido em outros 37%. Verifique a porta e escreva ao suporte.

Dá para enviar e-mail pela porta 587 em vez da 25?

Só para o seu próprio serviço de e-mail ou para um externo, que depois entrega a mensagem. Os servidores de e-mail de terceiros recebem mensagens de outros servidores pela porta 25.

O que são SPF, DKIM e DMARC em palavras simples?

SPF é a lista de servidores autorizados a enviar e-mail em nome do domínio. DKIM é uma assinatura que prova que a mensagem foi enviada pelo domínio e não foi alterada. DMARC é a política: o que fazer com as mensagens que não passaram nessas verificações e para onde mandar os relatórios.

Preciso de DMARC se envio poucas mensagens?

Sim. O Gmail exige DMARC obrigatoriamente de quem envia mais de 5.000 mensagens por dia, mas, mesmo para um servidor pequeno, um registro com p=none não custa nada, e os relatórios mostram quem envia e-mail em nome do domínio.

Qual deve ser o tamanho da chave DKIM?

No mínimo 1024 bits; o recomendado é 2048. Se o painel de DNS não aceita um registro TXT longo numa única linha, ele é dividido em várias strings entre aspas dentro do mesmo registro.

Por que as mensagens do meu servidor vão para o spam?

Normalmente falta o registro PTR, o SPF, o DKIM ou o DMARC, ou o endereço tem má reputação: está em listas de endereços conhecidos por enviar spam ou é totalmente novo. Verifique os cabeçalhos da mensagem no Gmail e o endereço nos serviços de consulta de reputação.

Planos sobre o tema

Ranking de hospedagem VPS 2026

Mais no guia

Servidor em nuvem ou VPSUm servidor em nuvem e uma VPS costumam ser a mesma máquina virtual em KVM. A diferença está no que vem em volta: a nuvem vende recursos por hora via API e oferece discos em rede, snapshots e serviços prontos, enquanto a VPS clássica é um plano fixo por mês, com disco local e um pacote de tráfego. Veja do que você realmente precisa e quanto isso custa.
Servidor dedicado ou VPSUma VPS é uma parte de um servidor físico; um servidor dedicado é a máquina inteira. Com 4 núcleos e 8–16 GB de memória, a VPS custa quase a metade; com 4 núcleos e 32 GB, os preços se igualam; e com 64 GB em 8 núcleos ou 128 GB em 16 núcleos, o servidor dedicado sai um terço mais barato que o virtual no catálogo. Veja o que muda além do preço: vizinhos, garantias, prazos, falhas de hardware e gerenciamento remoto.
Hospedagem ou VPS para um siteA hospedagem compartilhada é um espaço pronto para o site, em que quem cuida do servidor é o provedor. A VPS é um servidor seu, em que você configura tudo. Para uma landing page e um site comum em WordPress, a hospedagem basta e custa várias vezes menos. A VPS é necessária quando os limites da conta não dão conta do site ou quando ele precisa de um programa que a hospedagem não permite. Abaixo está o que cada opção inclui, quanto custa e uma tabela para escolher.
Proteção contra DDoS: o que os provedores realmente oferecemHoje, metade dos provedores coloca «proteção contra DDoS» na descrição dos planos. Por trás dessa linha pode haver filtragem de vários terabits ou apenas o direito de desligar o seu endereço quando um ataque atrapalha os vizinhos. Vamos ver do que a proteção é feita, como os níveis L3/L4 e L7 se diferenciam e como entender pelo contrato o que você está comprando.
Monitoramento de servidor: uptime, carga e alertasSem monitoramento, você fica sabendo que o servidor caiu pelos visitantes, e que o disco está acabando quando o banco de dados para de gravar. Bastam algumas verificações de fora e uma dezena de métricas de dentro para ver o problema antes dos usuários. Vamos ver o que medir, onde colocar as verificações e como fazer isso de graça.
Como ler os planos de hospedagem: limites ocultosO card do plano mostra núcleos, memória, disco e preço mensal. Mas dois planos com os mesmos números podem custar valores diferentes já depois de um ano e se comportar de forma diferente sob carga. A diferença está nas condições escritas em letra miúda, nas regras de uso ou só no contrato. Abaixo estão oito pontos que vale conferir antes de pagar.
IPv4 e IPv6 no servidorUma VPS comum tem um endereço IPv4 público e, se o provedor oferece suporte, uma sub-rede IPv6. Um IPv4 adicional quase sempre custa dinheiro, e os planos mais baratos às vezes nem vêm com IPv4 próprio. Vamos ver de onde vem essa escassez, o que dá para fazer só com IPv6 e quais configurações de endereço um servidor de e-mail precisa.
Banda e tráfego: o que significam 1 Gbit/s e ilimitadoO plano de um servidor costuma ter duas linhas de rede: velocidade da porta e volume de tráfego. A primeira diz com que rapidez o servidor pode enviar dados; a segunda, quanto ele pode enviar por mês. As duas estão ligadas por uma aritmética simples, e, sabendo fazer a conta, fica fácil entender o que «1 Gbit/s ilimitado» realmente oferece e se «5 TB» bastam para você.
Docker em VPS: por onde começarCom o Docker, você roda no servidor um bot, um site, um banco de dados e o monitoramento sem que um atrapalhe o outro, e mudar para outra VPS se resume a copiar alguns arquivos e os dados. A instalação leva cinco minutos; os problemas de verdade aparecem depois: portas do banco abertas para a internet, logs de dezenas de gigabytes e dados que sumiram junto com o contêiner. Veja como evitá-los desde o início.
Como migrar um site da hospedagem para uma VPSA migração em si leva umas duas horas, e os erros costumam acontecer em volta dela: uma tarefa do cron esquecida, regras do .htaccess que o nginx não lê, um registro AAAA com o endereço antigo ou um e-mail que sumiu junto com a troca de IP. Abaixo, a ordem dos passos com comandos e verificações para um site em PHP e MySQL.
Painéis de controle de servidor: ISPmanager, FASTPANEL, aaPanelO painel transforma a VPS em algo parecido com o painel da hospedagem compartilhada: sites, bancos de dados, e-mail e certificados são criados com o mouse, e não editando arquivos de configuração. Os três painéis mais instalados em servidores russos e em servidores baratos no exterior são o ISPmanager, o FASTPANEL e o aaPanel. Eles diferem no preço, na memória que exigem e no quanto tomam conta do servidor.
VPS Windows para 1CUm servidor alugado para o 1C livra a empresa daquele computador debaixo da mesa do escritório que ninguém atualiza nem copia. Mas o 1C em VPS tem particularidades: a licença de software fica vinculada aos parâmetros da máquina virtual, os usuários precisam de licenças tanto do 1C quanto do Windows, e a frequência dos núcleos importa mais que a quantidade. Veja como montar um servidor para o 1C numa empresa pequena.
VPS Windows: licenciamento, RDP e acesso seguroUm servidor Windows custa mais que um Linux não só por causa da memória: o preço inclui uma licença, e a forma como ela é contratada define se o uso está regular e quantas pessoas podem se conectar. Uma porta RDP exposta também é o caminho mais comum para invadir esses servidores. Veja os dois temas.
Quando migrar da hospedagem compartilhada para uma VPSUma VPS não deixa o site mais rápido por si só: ela dá recursos e liberdade e, junto com eles, o trabalho de administrar um servidor. Veja como saber que a hospedagem ficou pequena, quando o problema se resolve sem mudança e como migrar um site sem que os visitantes percebam.
Backups de VPS: estratégias e ferramentasNuma VPS, os backups são responsabilidade sua, mesmo que o plano diga «backups incluídos». Vamos ver o que exatamente copiar, por que o snapshot do provedor não basta, como configurar o restic ou o BorgBackup em meia hora e como ter certeza de que dá mesmo para restaurar a partir da cópia.
Primeiros 10 passos depois de comprar uma VPS: segurançaTentativas de adivinhar a senha de um servidor novo começam poucos minutos depois que ele ganha um IP público. Abaixo estão dez passos que, em uma hora, fecham as brechas mais comuns: comandos para Ubuntu e Debian, as diferenças para AlmaLinux e Rocky Linux e as verificações sem as quais é fácil perder o acesso ao seu próprio servidor.
Como escolher o país do servidorColoque o servidor onde estão os seus visitantes. Para um público no Brasil, São Paulo dá o menor ping; Miami e a costa leste dos EUA são a alternativa comum, e a Europa fica bem mais longe. A LGPD não obriga a manter os dados no Brasil, mas a transferência para fora precisa de base legal. O preço quase não decide: no mesmo provedor, Europa e EUA costumam custar o mesmo, e só Ásia e Austrália saem bem mais caras.
Cobrança por hora: quando ela compensaA cobrança por hora compensa se você precisa do servidor menos de três semanas por mês: para um teste, um build, uma tarefa pesada pontual. Na maioria dos provedores, a hora custa exatamente o preço mensal dividido por 730 horas, então num mês cheio você quase não paga a mais. O custo extra está em outro lugar: os planos com cobrança por hora são, em média, mais caros, e para um servidor que roda o ano inteiro o plano mensal ou anual costuma sair mais barato.
Quanta memória e quantos núcleos um site precisaA maioria dos sites roda bem com 2 GB de memória e um ou dois núcleos; uma loja com milhares de produtos precisa de 4 GB e dois núcleos. Memória importa mais que núcleos: quando ela falta, o site fica lento ou cai, e um núcleo a mais sem memória quase não ajuda. Abaixo mostro como calcular a memória para o seu site e como descobrir quanto ele gasta de verdade.
KVM ou OpenVZ: o que escolherEm 2026 quase sempre vale escolher KVM: ele custa no máximo uns dois dólares por mês a mais que o OpenVZ, mas nele tudo funciona, do Docker ao Windows. O OpenVZ só se justifica num caso estreito, e abaixo você vê qual; no final estão os comandos para conferir o seu servidor em um minuto.
NVMe ou SSD: faz diferença para um site?Para um site pequeno, a diferença entre NVMe e SSD é quase imperceptível: as páginas saem da memória, não do disco. Ela aparece em lojas virtuais e sites com banco de dados grande. E no mesmo provedor o NVMe custa só uns US$ 0,50–1 por mês a mais, às vezes até menos que o SSD, então o que decide normalmente não é o tipo de disco, e sim o tamanho e como o provedor o limitou.
O que é VPS, explicado de forma simplesUma VPS é um pedaço de um servidor físico potente que você aluga e que se comporta como um computador independente: com sistema próprio, endereço IP próprio e acesso total. Veja como ela se diferencia da hospedagem, para quem serve, quanto custa e o que conferir logo depois da contratação.
VPS para bot do Telegram: do que o bot precisa e como escolher o planoUm bot com menu e alguns comandos roda bem no servidor mais barato, enquanto um bot com disparos, arquivos e banco de dados esbarra em limites totalmente diferentes. Veja o que um bot realmente consome, quais limites do Telegram definem a escolha do servidor e como não pagar a mais.
Como testar ping e velocidade de uma VPS antes de pagarOs números de um plano não dizem qual será a latência até seus usuários nem a velocidade real do disco. Quase tudo pode ser medido antes de pagar, e o resto na primeira hora depois de ligar o servidor. Veja as ferramentas e como interpretar os resultados.
Rede corporativa em VPS: acesso remoto ao escritórioUm servidor alugado pode virar o centro da rede privada de uma empresa: funcionários remotos e filiais se conectam por ele ao ERP, ao servidor de arquivos, ao CRM e ao Git. Veja os esquemas mais comuns, os protocolos, os requisitos do servidor e o básico de segurança.
Como escolher uma VPS: os 7 parâmetros que decidemDois planos com os mesmos «2 núcleos, 4 GB, 50 GB» podem ter velocidade várias vezes diferente e custar o dobro um ano depois. Veja o que existe por trás de cada linha de um plano VPS e o que conferir antes de pagar.
VPS ou VDS: existe diferença e o que realmente importaNa maioria dos mercados, VPS e VDS significam a mesma coisa: um servidor virtual. A diferença que de fato afeta o seu trabalho não está no nome, e sim no tipo de virtualização e em os recursos serem garantidos ou não.