Email seguro: 6 dicas essenciais para proteger seu e-mail em 2026

Um email seguro tem quatro camadas: acesso protegido por senha longa e única com verificação em duas etapas (2FA), conexão criptografada com TLS, domínio autenticado com SPF, DKIM e DMARC e um usuário que sabe reconhecer phishing. Se uma delas falha, as outras não seguram sozinhas.

As regras também mudaram nos últimos anos. Desde 2024, Gmail e Yahoo exigem autenticação de quem envia e-mail, e em 2026 o DMARC ganhou uma nova versão oficial. Abaixo estão as 6 dicas, com exemplos de configuração e um checklist no fim.

---

O que torna um e-mail seguro em 2026

Segurança de e-mail não é um recurso que se liga num botão. Cada camada protege contra um tipo de ataque e tem um responsável diferente:

Camada	Protege contra	Quem cuida
Senha forte + 2FA	Invasão da conta e uso de senhas vazadas	Cada usuário (o administrador pode exigir 2FA)
TLS	Interceptação de senhas e mensagens no caminho	Provedor e configuração do programa de e-mail
SPF, DKIM e DMARC	Golpistas enviando e-mails em nome do seu domínio	Quem administra o DNS do domínio
Antispam e antivírus	Mensagens maliciosas chegando à caixa	Provedor de e-mail e equipe de TI
Atenção ao phishing	Golpes que passam pelos filtros	Cada usuário

As dicas a seguir seguem essa ordem. As duas primeiras valem para qualquer pessoa; a terceira e a quarta são para quem usa e-mail com domínio próprio, como o e-mail da empresa.

---

1. Senha longa, única e verificação em duas etapas

O que se entende por senha forte mudou. A revisão 4 da SP 800-63B do NIST, órgão de padrões dos EUA que é referência em autenticação, traz estas regras:

• Comprimento vale mais que complexidade: no mínimo 15 caracteres quando a senha é o único fator de acesso (8 quando há um segundo fator).
• Sem regras de composição obrigatórias: exigir “maiúscula, número e símbolo” leva a padrões previsíveis, como Empresa@2026.
• Sem troca periódica obrigatória: troque a senha quando houver indício de vazamento, não por calendário.
• Uma senha para cada conta: se a senha do e-mail é a mesma de uma loja que vazou, o golpista testa as duas.

Uma frase com quatro ou cinco palavras aleatórias passa dos 15 caracteres e é fácil de lembrar. Para as demais contas, use um gerenciador de senhas ou o gerador de senhas fortes da SAN. Há mais detalhes no nosso guia completo de senhas.

Qual verificação em duas etapas escolher

Com 2FA, quem descobrir a sua senha ainda precisa de algo que só você tem. Da opção mais segura para a menos segura:

1. Chave de segurança física ou passkey: só funcionam no site verdadeiro, por isso resistem a páginas falsas de login.
2. App autenticador: gera códigos de 6 dígitos que mudam a cada 30 segundos.
3. Aviso no celular: o provedor pede que você aprove o acesso no app.
4. Código por SMS: melhor do que nada, mas vulnerável à clonagem de chip.

Dica: com 2FA ativo, alguns provedores pedem uma “senha de app” para Outlook, Thunderbird e outros programas que usam IMAP ou POP3. Gere uma senha de app por programa e revogue a de qualquer aparelho que você deixar de usar.

---

2. Conexão criptografada com TLS

O TLS criptografa o e-mail em dois trechos: entre o seu aparelho e o servidor, e entre um servidor e outro. Sem ele, a senha e o conteúdo das mensagens podem ser lidos por quem estiver na mesma rede, como num Wi-Fi público. O Gmail exige TLS de todos os remetentes desde 2024, segundo as diretrizes para remetentes do Google.

Para conferir se o seu e-mail usa TLS:

1. No webmail: o endereço deve começar com https:// e o navegador não pode mostrar alerta de certificado.
2. No programa de e-mail: o recebimento deve usar a porta 993 (IMAP) ou 995 (POP3) e o envio, a 465 ou a 587 com STARTTLS. Veja a tabela completa em POP3 ou IMAP.
3. Nas mensagens recebidas: no Gmail, abra os detalhes da mensagem (a seta ao lado do remetente) e veja o campo de segurança, que informa se ela chegou com criptografia TLS.

Se o programa de e-mail mostrar aviso de certificado inválido de repente, principalmente numa rede pública, não aceite. Pode ser alguém tentando interceptar a conexão. Os menus ainda falam em “SSL”, mas o protocolo em uso hoje é o TLS, como explicamos em SSL e TLS: por que o SSL não é mais usado.

---

3. SPF, DKIM e DMARC no seu domínio

Essas três configurações ficam no DNS do seu domínio e provam aos outros servidores que uma mensagem com @suaempresa.com.br saiu de fato da sua empresa. Sem elas, qualquer pessoa consegue enviar e-mail em seu nome, e as suas mensagens legítimas tendem a cair no spam.

SPF: quem pode enviar pelo domínio

O SPF é um registro TXT com a lista de servidores autorizados a enviar pelo seu domínio. O valor exato do include vem do seu provedor de e-mail:

Nome:  suaempresa.com.br
Tipo:  TXT
Valor: v=spf1 mx include:spf.provedor-de-exemplo.com.br -all

O domínio só pode ter um registro SPF. Se você usa mais de um serviço de envio (e-mail da empresa, ferramenta de newsletter, sistema de notas fiscais), junte todos os include no mesmo registro, respeitando o limite de 10 consultas de DNS da RFC. O final -all diz que qualquer servidor fora da lista deve falhar na verificação; ~all indica uma falha leve, que só marca a mensagem como suspeita.

DKIM: a assinatura de cada mensagem

O DKIM assina cada mensagem com uma chave privada que fica no servidor. A chave pública vai no DNS, num nome com o “seletor” definido pelo provedor:

Nome:  seletor1._domainkey.suaempresa.com.br
Tipo:  TXT
Valor: v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...

O provedor gera a chave e você só publica o registro. O Google aceita chaves a partir de 1024 bits, mas recomenda 2048.

DMARC: o que fazer com quem falha

O DMARC confere se o domínio do remetente (o que aparece no campo “De”) bate com o domínio validado pelo SPF ou pelo DKIM. Depois, diz ao servidor que recebe o que fazer com as mensagens que falham e para onde mandar relatórios. Um registro inicial fica assim:

Nome:  _dmarc.suaempresa.com.br
Tipo:  TXT
Valor: v=DMARC1; p=none; rua=mailto:dmarc@suaempresa.com.br

Política (p=)	O que acontece com quem falha	Quando usar
none	Nada; você só recebe relatórios	No começo, para descobrir quem envia pelo seu domínio
quarantine	A mensagem vai para o spam	Depois de corrigir SPF e DKIM de todos os serviços
reject	A mensagem é recusada	Quando os relatórios mostram que só sobram envios falsos

Comece com p=none e leia os relatórios do endereço rua por algumas semanas. Eles mostram cada servidor que enviou em nome do domínio. Corrija os serviços legítimos que falham e só então avance para quarantine e, por fim, reject.

Novidade de 2026: em maio, o DMARC ganhou uma nova versão oficial do padrão. Os registros continuam começando com v=DMARC1, mas a tag pct foi removida. Para testar uma política sem aplicá-la por inteiro, a nova especificação traz a tag t=y.

Para conferir o que está publicado, use o terminal do Windows, macOS ou Linux:

nslookup -type=TXT suaempresa.com.br
nslookup -type=TXT _dmarc.suaempresa.com.br
nslookup -type=TXT seletor1._domainkey.suaempresa.com.br

---

4. O que Gmail, Yahoo e Outlook exigem dos remetentes

Desde fevereiro de 2024, o Google e a Yahoo passaram a exigir autenticação de quem envia mensagens para os seus usuários. As regras estão nas diretrizes do Google e nas boas práticas da Yahoo:

Requisito	Todos os remetentes	Mais de 5.000 mensagens por dia
SPF e DKIM	Pelo menos um dos dois	Os dois
DMARC	Recomendado	Obrigatório (no mínimo p=none), alinhado ao SPF ou ao DKIM
DNS direto e reverso (PTR) válidos	Obrigatório	Obrigatório
TLS na transmissão	Obrigatório no Gmail	Obrigatório no Gmail
Taxa de denúncias de spam	Abaixo de 0,3%	Abaixo de 0,3%
Descadastro em um clique	Não exigido	Obrigatório em e-mail marketing, com link visível na mensagem

O Google recomenda manter a taxa de spam abaixo de 0,1% e nunca chegar a 0,3%. A Yahoo pede que pedidos de descadastro sejam atendidos em até 2 dias.

A Microsoft seguiu o mesmo caminho no Outlook.com, Hotmail e Live. Desde maio de 2025, domínios que enviam mais de 5.000 mensagens por dia para esses endereços precisam de SPF, DKIM e DMARC, conforme o anúncio oficial. Mensagens fora do padrão podem ir para o lixo eletrônico ou ser recusadas.

Mesmo que você envie pouco: configure SPF, DKIM e DMARC. Sem eles, propostas e cobranças legítimas da empresa ficam mais sujeitas ao spam, e golpistas conseguem usar o seu domínio em mensagens falsas para os seus próprios clientes.

---

5. Como reconhecer phishing

Phishing é a mensagem falsa que tenta fazer você clicar num link, abrir um anexo ou informar senha e dados. Os filtros barram boa parte, mas nenhum barra tudo. Desconfie quando a mensagem:

• Pressiona: “sua conta será bloqueada hoje”, “última chance”, “responda em 1 hora”;
• Pede senha, código de verificação ou dados de cartão: empresas sérias não pedem isso por e-mail;
• Tem nome conhecido e endereço estranho: “Banco X” enviando de um domínio que não é o do banco, ou com letras trocadas (rn no lugar de m, 0 no lugar de o);
• Esconde o destino do link: ao passar o mouse (ou segurar o dedo, no celular), o endereço real é diferente do site oficial;
• Traz anexo que você não esperava: principalmente .zip, .html, .iso ou documentos que pedem para “habilitar conteúdo”;
• Cobra algo que você não reconhece: boletos, notas fiscais e multas são iscas comuns; veja como identificar um boleto falso;
• Oferece algo bom demais: prêmio, reembolso ou desconto que você não pediu.

Erros de português já não são uma pista confiável: com ferramentas de IA, golpes chegam bem escritos. Na dúvida, não use o link da mensagem. Abra o site ou o app oficial digitando o endereço, ou confirme por telefone com um número que você já conhece.

Caiu no golpe? Faça isto agora

1. Troque a senha do e-mail usando um aparelho de confiança e encerre as sessões abertas.
2. Confira se o 2FA continua ativo e se não foram criadas regras de encaminhamento ou filtros que você não conhece.
3. Troque a senha de outros serviços em que você usava a mesma senha.
4. Avise a equipe de TI e, se informou dados bancários, o seu banco.

A Cartilha de Segurança do CERT.br tem fascículos gratuitos sobre o tema, como “Golpes: Não se Deixe Enganar” e “Golpes: Caiu? Veja o que Fazer”, que valem compartilhar com a equipe.

---

6. Antispam, anexos e atualizações

O filtro antispam do servidor é a primeira barreira contra phishing e malware. Na empresa, o administrador também pode bloquear tipos de anexo que ninguém precisa receber. Uma referência para essa política:

Tipo de anexo	Risco	O que fazer
.exe, .scr, .bat, .js, .vbs	Executam código ao abrir	Bloquear no servidor
.zip, .rar, .7z, .iso, .img	Podem esconder executáveis	Abrir só se esperado e após o antivírus
.html, .htm	Abrem páginas falsas de login	Desconfiar sempre
.docm, .xlsm e outros com macro	Macros podem instalar malware	Nunca “habilitar conteúdo” de remetente desconhecido
.pdf, .docx, imagens	Menor, mas podem levar a links falsos	Conferir links antes de clicar

Para arquivos grandes ou que circulam entre várias pessoas, prefira compartilhar um link de uma pasta na nuvem com acesso controlado em vez de anexar. E mantenha sistema operacional, navegador, app de e-mail e antivírus atualizados: boa parte das atualizações corrige falhas de segurança exploradas justamente por anexos e links maliciosos.

Na SAN: com o E-mail Profissional da SAN, sua empresa tem endereços com o próprio domínio (o domínio é grátis) e um painel simples para criar e gerenciar as contas. Com o domínio em mãos, você publica SPF, DKIM e DMARC em nome da sua marca.

---

Checklist de e-mail seguro

Para cada usuário

• Senha com 15 caracteres ou mais, usada só no e-mail;
• 2FA ativo, de preferência com app autenticador, chave física ou passkey;
• Celular com bloqueio de tela e app de e-mail oficial, configurado com IMAP na porta 993;
• Nenhum link ou anexo aberto sem conferir remetente e endereço real;
• Sistema, navegador e antivírus atualizados.

Para quem administra o domínio

• Um único registro SPF, com todos os serviços que enviam pelo domínio;
• DKIM ativo em cada serviço de envio, com chave de 2048 bits;
• DMARC publicado com rua, avançando de none para quarantine e reject;
• Webmail em HTTPS e programas configurados só em portas com TLS;
• Antispam ativo e anexos executáveis bloqueados no servidor;
• Revisão periódica de contas sem uso e de regras de encaminhamento.

---

Perguntas frequentes