Isaque Victor cursos gratuitosNesta aula
O e-mail é um padrão aberto.
Você vai ver como um e-mail chega até você. E por que o nome no campo De: não prova quem mandou.
- Dizer por onde uma mensagem viaja
- Explicar por que o De: pode ser falso
- Conferir a origem com o Mostrar original
Uma história curta
Em 1972, Ray Tomlinson escreveu o programa que enviava e lia mensagens na ARPANET. Larry Roberts criou o programa para listar, arquivar, encaminhar e responder. Os verbos da sua caixa de entrada têm mais de 50 anos.
Em 1982 vieram o SMTP, o protocolo de envio, e o RFC 822, que definiu os campos From, To, Subject e Date. O padrão aceitava só texto sem acento. Só em 1996, com o MIME, entraram acentos, outros alfabetos e anexos.
Como uma mensagem viaja
A mensagem passa por três trechos, como uma carta que passa pela agência, pelo centro de distribuição e pelo carteiro.
- Do seu programa ao seu provedor: é o envio, pela porta 587 ou 465.
- Entre os provedores: o servidor de quem envia acha o de quem recebe pelo registro MX do DNS, na porta 25.
- Do provedor até você: IMAP deixa a mensagem no servidor, visível em todos os aparelhos. POP3 baixa e, em geral, tira do servidor.
O De: é só texto
Quem envia é quem preenche o De:. É como o remetente que se escreve no verso de um envelope: qualquer um escreve qualquer nome. A resposta foram três provas, que o provedor confere sozinho.
| Prova | A pergunta que responde |
|---|---|
| SPF | Esse servidor tem permissão do domínio para enviar? |
| DKIM | A mensagem foi assinada pelo domínio e chegou sem alteração? |
| DMARC | O que fazer quando SPF e DKIM falham: avisar, quarentena ou rejeitar? |
Desde 1º de fevereiro de 2024, o Gmail exige SPF ou DKIM de quem envia para contas Gmail. Quem envia mais de 5.000 mensagens por dia precisa dos três.
Coisa de profissional
O próprio padrão do e-mail (RFC 5321) admite que o remetente pode ser enganado: diz que até usuários casuais conseguem criar mensagens que levam o leitor ingênuo a achar que vieram de outro lugar. Por isso quem trabalha com e-mail não confia no nome do De:. No Gmail, abra a mensagem, clique em Mais e depois em Mostrar original. No cabeçalho, a linha Authentication-Results mostra se o SPF, o DKIM e o DMARC deram pass ou fail. Um fail numa mensagem que diz vir de um banco é motivo para desconfiar.
A defesa, na ordem certa
Senhas vazam. A verificação em duas etapas é uma camada extra caso a sua seja roubada. Mas nem toda segunda etapa vale o mesmo.
A ordem é: primeiro a chave de acesso, que usa digital ou rosto e não pode ser entregue a um site falso. Depois o aplicativo autenticador. Por último o SMS, melhor que nada e mais fraco que os outros.
Cuidado
O cadeado prova o nome do site, não a honestidade dele. Nunca digite a senha depois de clicar num link de e-mail. Abra o serviço por conta própria.
Escrever para ser lido
- Assunto que diz o conteúdo, como "Proposta de site, prazo 30/10".
- Um pedido por e-mail. Duas decisões são dois e-mails.
- Cco para grupos de pessoas que não se conhecem.
- Link em vez de anexo para arquivo grande.
Prática · 5 min
- Abra um e-mail legítimo e veja o Mostrar original. Anote SPF, DKIM e DMARC.
- Ative a verificação em duas etapas da sua conta. Se houver, cadastre uma chave de acesso.
- Crie um filtro para um remetente automático, como uma loja.
Resumo
- O e-mail tem mais de 50 anos. O MIME de 1996 trouxe acentos e anexos.
- O De: é texto que o remetente preenche. SPF, DKIM e DMARC conferem a origem.
- Segunda etapa: chave de acesso, depois aplicativo, depois SMS.
- Nunca digite senha depois de clicar num link de e-mail.
Fontes
Lidas em 30 de outubro de 2026.
- Internet Hall of Fame. Raymond Tomlinson e Internet Society, Brief History of the Internet.
- RFCs: 822 (1982), 2045, MIME (1996) e 5321, SMTP, seção sobre falsificação.
- RFCs: SPF, DKIM e DMARC.
- Google. Email sender guidelines e Mostrar original.
- NIST. SP 800-63B-4: autenticação resistente a phishing e restrição do SMS.
Quiz da aula
Três situações para aplicar o que viu.