Entregabilidade de cold email: SPF, DKIM, DMARC, warm-up e bounce

Entregabilidade é a capacidade de um e-mail chegar à caixa de entrada de quem recebe, e não ao spam. No cold email, ela depende de quatro coisas: o domínio estar autenticado com SPF, DKIM e DMARC; a reputação de quem envia estar boa; a lista ter endereços válidos e pessoas certas; e o envio ser constante, em volume compatível com a idade da caixa.

Este guia aprofunda a parte técnica que o guia completo de cold email resume. Você vai ver como configurar a autenticação, quando usar um domínio secundário, como aquecer caixas novas, como tratar bounces e reclamações e o que monitorar toda semana.

Entregue não é o mesmo que na caixa de entrada

Duas palavras costumam ser confundidas:

Uma ferramenta de envio pode mostrar 98% de “entregues” e, mesmo assim, boa parte das mensagens estar no spam. Por isso, a entregabilidade se mede por sinais indiretos: taxa de resposta, reclamações, bounces e reputação do domínio.

Os quatro fatores da entregabilidade

Os quatro se somam. Um domínio perfeitamente autenticado ainda cai no spam se enviar para uma lista ruim; uma lista excelente não salva um domínio sem autenticação.

Autenticação: SPF, DKIM e DMARC

Os três registros ficam no DNS do domínio e se complementam. O verbete SPF, DKIM e DMARC resume o papel de cada um; aqui vai o que importa na hora de configurar.

SPF

O SPF é um registro TXT que lista quem pode enviar e-mail pelo domínio. Um exemplo para quem usa o Google Workspace:

v=spf1 include:_spf.google.com ~all

Três regras da especificação (RFC 7208) causam a maioria dos problemas:

• Um registro só. O domínio não pode ter dois registros SPF. Se tiver, a verificação falha com erro. Ao adicionar uma ferramenta nova, inclua-a no registro existente.
• Limite de 10 consultas. Cada include, a, mx e semelhantes conta como consulta ao DNS. Passando de 10, a verificação retorna erro permanente. Empresas que acumulam ferramentas (e-mail corporativo, CRM, plataforma de cadência, e-mail marketing) estouram esse limite sem perceber.
• O final do registro. ~all (falha leve) e -all (falha) dizem o que fazer com quem não está na lista. Com DMARC configurado, ~all é o mais comum.

DKIM

O DKIM (RFC 6376) assina cada mensagem com uma chave privada guardada pelo servidor de envio; a chave pública fica publicada no DNS, em um endereço com um seletor (por exemplo, google._domainkey.seudominio.com.br). O provedor de e-mail gera a chave e informa o registro a criar.

Dois cuidados:

• Tamanho da chave. A RFC 8301 exige chaves RSA de pelo menos 1024 bits e recomenda 2048. Se o painel oferecer as duas opções, escolha 2048.
• Cada ferramenta assina com o próprio domínio? Plataformas de envio que usam a sua caixa do Google ou da Microsoft herdam a assinatura. Plataformas que enviam pelos próprios servidores precisam de um registro DKIM delas no seu domínio, senão a assinatura sai com o domínio da ferramenta e o alinhamento falha.

DMARC

O DMARC diz aos provedores o que fazer quando uma mensagem falha na autenticação e pede relatórios sobre quem está enviando em nome do domínio. A especificação foi atualizada em 2026: a RFC 9989 substituiu a RFC 7489, e os registros continuam começando com v=DMARC1.

Nome: _dmarc.seudominio.com.br Tipo: TXT Valor: v=DMARC1; p=none; rua=mailto:dmarc@seudominio.com.br

O ponto central do DMARC é o alinhamento: o domínio que aparece no campo “De” precisa ser o mesmo (ou do mesmo domínio organizacional) validado pelo SPF ou pelo DKIM. É por isso que uma ferramenta que assina com o próprio domínio quebra o DMARC.

Um caminho comum de evolução:

1. p=none: só monitora. Leia os relatórios por algumas semanas para descobrir todos os serviços que enviam pelo domínio.
2. p=quarantine: mensagens que falham vão para o spam. Use quando todos os serviços legítimos estiverem autenticados.
3. p=reject: mensagens que falham são recusadas. Protege o domínio contra falsificação, mas exige que nada legítimo esteja fora da autenticação.

Como conferir se está funcionando

Envie um e-mail da caixa de prospecção para uma conta do Gmail e abra a opção “Mostrar original”. O topo mostra o resultado de SPF, DKIM e DMARC. Os três precisam aparecer como aprovados (PASS). Repita o teste sempre que adicionar uma ferramenta nova ao processo.

Domínio secundário

Muitas empresas enviam cold email por um domínio secundário, uma variação do domínio principal (por exemplo, empresa.com no lugar de empresa.com.br, ou useempresa.com.br). Se a reputação desse domínio cair, o domínio usado com clientes, notas fiscais e suporte não é afetado.

Evite domínios que pareçam imitação ou que confundam o destinatário sobre quem está enviando. O objetivo é proteger a reputação, não esconder a origem. A assinatura deve ter nome real, cargo e empresa.

Aquecimento (warm-up)

Caixas e domínios novos não têm histórico, e os filtros desconfiam de quem aparece enviando muito de uma vez. As diretrizes para remetentes do Google recomendam começar com volume baixo, para pessoas engajadas, aumentar aos poucos e manter um ritmo constante, sem picos.

Não existe tabela oficial de aquecimento. Um exemplo ilustrativo de progressão, a ajustar conforme os sinais:

O critério para avançar não é o calendário, e sim os sinais: bounces baixos, nenhuma reclamação relevante, respostas aparecendo. Se algum deles piorar, volte um passo.

Sobre as ferramentas de aquecimento automático, que trocam e-mails entre caixas para simular interação: elas podem ajudar a manter a caixa ativa, mas não substituem respostas reais de pessoas reais, e o que os filtros fazem com esse padrão não é público. Use com moderação e nunca como desculpa para pular a qualidade da lista.

Quanto cada caixa pode enviar

Os provedores têm limites técnicos por usuário. Segundo a documentação oficial, consultada em outubro de 2026:

• Google Workspace: até 2.000 mensagens por dia por usuário, com limites menores para envios automatizados e para contas em período de teste (limites de envio do Gmail no Google Workspace).
• Microsoft 365: até 10.000 destinatários por dia por caixa e 30 mensagens por minuto, além de um limite de destinatários externos por organização (limites do Exchange Online).

Esses números são tetos para evitar abuso, e não metas. Um cold email enviado perto deles quase certamente vai para o spam. O volume certo por caixa é muito menor e depende da idade do domínio, da qualidade da lista e da capacidade do time de responder. É por isso que operações maiores distribuem o volume entre várias caixas e domínios, em vez de forçar uma só. Para calcular quantas caixas e domínios a sua cadência exige, e montar o plano de aquecimento, use a calculadora de volume de cold email.

Bounce: o primeiro sinal de lista ruim

Bounce é a mensagem que volta sem ser entregue. Os códigos de retorno seguem um padrão (RFC 3463):

Bounces altos dizem aos provedores que você envia para endereços que não conhece, um comportamento típico de spam. Para evitar:

• Valide os e-mails antes de enviar, principalmente os que vieram de bases compradas ou de ferramentas de enriquecimento.
• Cuidado com domínios “aceita tudo” (catch-all): aceitam qualquer endereço na validação e devolvem depois. Envie para eles em volume menor.
• Revalide listas antigas. Pessoas mudam de empresa; um e-mail válido há um ano pode não existir mais.
• Registre a origem de cada contato, para descobrir qual fonte gera mais bounces. Veja como montar a base em lista de prospecção qualificada.

Reclamações de spam

Quando alguém marca a mensagem como spam, a reputação do domínio sofre mais do que com um bounce. O Google pede que a taxa de spam vista no Postmaster Tools fique abaixo de 0,1% e que nunca chegue a 0,3%, conforme as diretrizes para remetentes.

O que reduz reclamações no cold email:

• Relevância: escrever para quem tem motivo real para se interessar. Lista ampla demais é a causa número um.
• Identificação clara: nome, empresa e motivo do contato na primeira linha.
• Saída fácil: uma linha simples oferecendo parar. Quem quer sair e não encontra como, clica em “spam”. Veja as regras de saída em opt-in e opt-out.
• Respeito ao pedido: quem pediu para parar sai de todas as cadências, em todos os canais.

Conteúdo e formato

Depois que a reputação está boa, o conteúdo pesa menos do que se imagina, mas alguns padrões ainda chamam atenção dos filtros:

• Texto simples, sem layout de newsletter, sem imagens e sem anexos no primeiro contato.
• Poucos links, de preferência nenhum no primeiro e-mail. Encurtadores de link têm má reputação.
• Sem pixel de rastreamento de abertura. Ele adiciona uma imagem invisível à mensagem e a métrica de abertura já não é confiável.

O que monitorar toda semana

O Postmaster Tools só mostra dados quando o volume para contas do Gmail é suficiente, o que nem sempre acontece em cold email B2B, em que a maioria dos destinatários usa domínios corporativos. Nesse caso, a taxa de resposta e os bounces são os indicadores mais confiáveis.

Se algum indicador piorar, siga o roteiro de emergência do guia completo de cold email: reduzir envios, conferir autenticação, revisar lista e conteúdo e voltar devagar.

Erros comuns

• Dois registros SPF no mesmo domínio, depois de adicionar uma ferramenta nova.
• Ferramenta assinando com o próprio domínio, quebrando o alinhamento do DMARC.
• Domínio novo enviando o volume cheio no primeiro dia.
• Lista sem validação, com bounces altos logo na primeira semana.
• Usar o limite técnico do provedor como meta de envio.
• Não ler os relatórios DMARC e descobrir tarde que outro serviço envia pelo domínio sem autenticação.

Checklist de entregabilidade

Com a base técnica em ordem, o resultado passa a depender da mensagem. Veja como escrever em modelos de cold email B2B e no guia completo de cold email.