Auditoria de entregabilidade

Há uma palavra que engana muitos remetentes: «enviado». A sua plataforma marca o correio como enviado, o registro diz 250, e tudo parece correto. Mas «enviado» só significa que o servidor de destino aceitou a mensagem; não diz nada de onde ela acabou. Pode estar na caixa de entrada, na aba de promoções, no spam ou silenciosamente descartada. Uma auditoria de entregabilidade existe para fechar essa distância entre o que o seu sistema acha que aconteceu e o que de verdade o destinatário vê, e para dizer a você, com dados, o que você tem que mudar para que o correio importante chegue.

Por que a entrega não é a mesma coisa que a entregabilidade?

A entrega é um evento técnico: o receptor aceitou o envelope. A entregabilidade é um resultado de negócio: a mensagem chegou a um lugar onde uma pessoa a verá. Entre ambos há uma camada de decisões que Gmail, Outlook, Yahoo e os demais tomam em milissegundos, pesando quem envia, como se autentica, que reputação arrasta e como os seus destinatários se comportaram no passado. Você pode ter uma taxa de entrega de 99% e uma entregabilidade péssima se esses 99% aterrissarem no spam. Por isso medir só os bounces é olhar pelo olho mágico: a auditoria abre a porta.

O custo de não chegar

A entregabilidade ruim não aparece em uma fatura, e por isso se ignora tempo demais. Mas o custo é real e se acumula. Cada correio que cai no spam é uma venda que não ocorre, uma senha que não se redefine, um recibo que o cliente não encontra. Cada real investido em criar e enviar uma campanha que ninguém vê se desperdiça inteiro. E o dano compõe: os provedores aprendem de cada envio, então seguir mandando sobre uma reputação danificada não é neutro, a piora, e recuperá-la custa mais quanto mais se demora. Há ainda um gasto silencioso: a equipe que culpa o conteúdo, testa vinte assuntos e refaz o modelo quando o problema estava na autenticação perde meses perseguindo a alavanca errada. Uma auditoria corta esse desperdício pela raiz porque substitui o palpite por um diagnóstico. Saber que o problema é técnico — e saber qual é — vale justo o que custa seguir tratando-o como se fosse criativo.

Sinais de que você precisa de uma

Alguns sintomas não deixam dúvida, e outros se disfarçam de má sorte. As aberturas caem sem que você mude nada no conteúdo. Um provedor concreto — quase sempre Gmail ou Outlook — começa a tratar você pior que o resto. Aparecem bounces com um 550 que mencionam autenticação ou reputação. A taxa de reclamações sobe e você não sabe por quê. Ou, sem mais, as vendas que vinham do correio esfriam e ninguém encontra a causa. Quando qualquer um desses sinais aparece, não é momento de adivinhar: é momento de auditar, porque cada semana de envio sobre uma base quebrada afunda um pouco mais a sua reputação.

Quais são as cinco camadas que uma auditoria de entregabilidade lê?

A entregabilidade não falha em um único lugar, então uma auditoria séria olha cinco camadas que se influenciam entre si, em vez de uma só coisa. Isto é o que revisamos.

# O SPF fica dentro do limite de 10 lookups, ou estoura em silêncio?
$ dig +short TXT example.com | grep spf1
"v=spf1 include:_spf.google.com include:sendgrid.net include:mktomail.com ~all"
# 11 lookups entre os includes — acima do limite, o SPF devolve permerror

# O DMARC aplica, ou está parado em p=none sem caminho adiante?
$ dig +short TXT _dmarc.example.com
"v=DMARC1; p=none; rua=mailto:[email protected]"
# p=none: só reporta — as falhas de alinhamento são vistas, não combatidas

O que revisamos em cada camada

Em autenticação, não basta que SPF, DKIM e DMARC existam: têm que estar certos. Conferimos que haja um único registro SPF — dois provocam um erro de validação que manda ao spam correio legítimo —, que o DKIM assine e, sobretudo, que esteja alinhado com o domínio que o destinatário vê, e que a sua política DMARC seja coerente com a sua maturidade de envio. Revisamos também se você tem BIMI ao alcance, porque mostrar o seu logo verificado na caixa reforça a confiança.

Em reputação, olhamos como os receptores veem você: a sua reputação de IP e de domínio, se você figura em listas negras como Spamhaus, e o que dizem os painéis dos próprios provedores — Postmaster Tools no Google, SNDS na Microsoft —, que são a fonte mais honesta sobre como tratam você. Se há uma listagem, nós a rastreamos até a sua causa, porque deslistar sem corrigir a origem só compra tempo.

Em infraestrutura, conferimos os fundamentos que muitos esquecem: que cada IP tenha um DNS reverso coerente e um FCrDNS válido, que o cifrado TLS esteja no lugar, e que a configuração do MTA, a modelagem de tráfego e a gestão de filas não estejam sabotando a sua reputação com picos ou retentativas mal calibradas. Aqui entra também uma realidade do mercado brasileiro: pela Gerência de Porta 25 do CGI.br, as redes residenciais bloqueiam a saída pela porta 25, então enviar a partir de um IP de aspecto residencial ou de um ambiente sem a porta 25 liberada é exatamente o tipo de achado que uma auditoria sinaliza. Em higiene de listas, revisamos como você gere os bounces, se arrasta armadilhas de spam, se tem um processo de supressão e reengajamento, e se oferece o descadastro em um clique que hoje se exige. E em conformidade, contrastamos a sua operação com o que as grandes caixas pedem para o correio em massa, começando pela taxa de reclamações.

Reputação: como os provedores pontuam você

A reputação é a moeda da entregabilidade, e convém entender como ela se cunha. Os provedores atribuem ao seu IP e ao seu domínio uma pontuação que resume o seu histórico: como você se comportou, quantas reclamações você gera, com que constância envia e quanto interage quem recebe. Não é um número que você possa consultar diretamente — cada provedor guarda o seu —, mas deixa rastros legíveis. O Postmaster Tools do Google classifica a sua reputação de domínio e de IP em categorias e mostra a sua taxa de spam; o SNDS da Microsoft faz algo parecido com os seus IPs. A reputação de domínio pesa cada vez mais que a de IP, porque o domínio segue você mesmo que troque de servidor, enquanto um IP novo começa sem histórico. Por isso uma troca de infraestrutura não apaga uma má reputação de domínio: ela viaja com você. Uma auditoria lê esses sinais e diz a você se o seu problema é de IP, de domínio ou de ambos, que é o primeiro passo para arrumar o que toca.

Engajamento: o sinal que mais pesa hoje

Se uma alavanca ganhou peso nos últimos anos, é o engajamento. Aos provedores já não basta que você esteja autenticado e limpo: eles olham se as pessoas querem o seu correio. As aberturas, os cliques, as respostas e o fato de tirarem você do spam somam; os apagamentos sem abrir, as reclamações e o silêncio prolongado subtraem. A lógica é simples: a caixa quer mostrar ao seu usuário o que lhe interessa, e usa o comportamento passado para adivinhá-lo. Isso tem uma consequência incômoda para quem envia a todos por igual: mandar a contatos que nunca interagem não só não vende, como arrasta a sua reputação e piora a entrega aos que sim querem ler você. Uma auditoria revisa os seus dados de engajamento por segmento e por provedor, e muitas vezes o conserto de maior impacto costuma ser parar de escrever a quem faz meses que não abre, mais do que qualquer ajuste técnico.

O que mudou debaixo do correio entre 2024 e 2026?

Auditar hoje não é o que era há três anos, porque as regras se endureceram. Desde fevereiro de 2024, Gmail e Yahoo exigem dos remetentes em massa autenticação com SPF, DKIM e DMARC, descadastro em um clique mediante o cabeçalho List-Unsubscribe, e uma taxa de reclamações de spam abaixo de 0,3%; superar esse limiar marca você, de fato, como spammer. A Microsoft se somou: desde 5 de maio de 2025, todo domínio que envie mais de 5.000 correios diários a Outlook, Hotmail ou Live deve autenticar igual. No Brasil, a essas regras globais soma-se o CAPEM, o Código de Autorregulamentação para a Prática de E-mail Marketing avalizado pelo CGI.br, que exige bases opt-in ou soft opt-in, envio a partir de um domínio próprio, e um opt-out respeitado em no máximo dois dias úteis pelo link de descadastro e cinco por outros meios, com uma segunda alternativa de baixa não clicável. Uma auditoria atual confere que você cumpre o que hoje se exige, para além de que «funciona» — das grandes caixas globais à autorregulação brasileira — e o que se exigirá em breve. Reunimos esses requisitos, lado a lado e com fontes, na nossa página de referências e dados.

O que de verdade olham Gmail, Yahoo, Microsoft e os provedores locais?

Convém não tratar todos os provedores como se fossem um, porque cada um tem o seu caráter. O Gmail premia o engajamento acima de quase tudo e oferece, através do Postmaster Tools, uma janela razoavelmente honesta a como ele vê você; as suas quedas costumam avisar ali antes de se notarem nas aberturas. O Outlook e o Hotmail, da Microsoft, são historicamente mais rígidos com a reputação de IP e mais opacos, embora o SNDS e o seu programa de remetentes ajudem; um mesmo envio que entra no Gmail pode brigar com o Outlook. O Yahoo, junto com o AOL, compartilha boa parte do enfoque do Gmail sobre reclamações e autenticação. E no mercado brasileiro há que contar com os provedores locais — UOL, Terra e BOL —, que têm a sua própria base de usuários e o seu próprio comportamento, e que uma auditoria lê à parte em vez de assumir que se comportam como os globais. Uma auditoria dá a você uma leitura por provedor em vez de um veredito único, porque a solução para entrar no Outlook raramente é a mesma que para melhorar no Gmail, e tratar o problema em bloco é o caminho curto para não resolver nenhum.

Como a auditoria se executa?

O método importa tanto quanto o escopo. Começamos com acesso somente leitura ao que você já tem — DNS, logs do MTA ou do ESP, painéis de provedor —, sem pedir credenciais de envio nem capacidade de tocar a sua configuração. Lançamos provas de chegada à caixa de entrada com seed lists nos grandes provedores, para ver onde você aterrissa de verdade e não onde acha que aterrissa. Lemos os seus logs e os seus códigos de rejeição em contexto, porque um 421 e um 550 contam histórias distintas e pedem respostas distintas. E cruzamos tudo isso em um único diagnóstico, priorizado por impacto, não por ordem alfabética.

Seed lists: o que medem e o que não

Boa parte do valor de uma auditoria vem das provas de chegada à caixa com seed lists, mas convém entender o que elas dizem e o que não. Uma seed list é um conjunto de contas de teste, espalhadas pelos grandes provedores, às quais enviamos para ver onde a sua mensagem aterrissa: caixa de entrada, promoções ou spam, provedor a provedor. Isso revela a colocação real, que nenhuma estatística de envio mostra. O que uma seed list não vê é o engajamento de pessoas de verdade nem a colocação personalizada que cada provedor faz para cada usuário, então a tratamos como um termômetro fiável da tendência, não como uma verdade absoluta de caixa por caixa. Cruzá-la com os seus dados reais de aberturas e com os painéis de Postmaster e SNDS é o que converte uma medição pontual em um diagnóstico sólido.

Isolar por subdomínio e por propósito

Um dos achados que mais rendem raramente aparece em uma ferramenta automática: como o seu envio está organizado. Misturar no mesmo domínio e nos mesmos IPs o correio de marketing, o transacional e o de notificações é cômodo e perigoso, porque uma campanha com reclamações pode arrastar a entrega dos seus recibos e das suas redefinições de senha, que são justo os que não podem falhar. A prática sadia é isolar por subdomínio e por propósito: um subdomínio para marketing, outro para transacional, cada um com a sua autenticação e a sua reputação, de modo que um problema em um não contamine o outro. Operações grandes recuperaram entrega só com essa separação. Uma auditoria revisa a sua arquitetura de domínios e subdomínios e, quando está tudo no mesmo saco, costuma ser uma das primeiras recomendações, porque protege o crítico sem tocar uma única linha de conteúdo.

O correio B2B e o filtro corporativo

Quem envia a empresas enfrenta uma camada de filtragem que o correio ao consumidor não conhece, e uma auditoria séria a leva em conta. Muitas organizações recebem o seu e-mail através de Google Workspace ou Microsoft 365, mas por cima põem os seus próprios filtros — gateways de segurança, regras antiphishing, listas internas — que podem reter ou marcar uma mensagem que num endereço pessoal entraria sem problema. O resultado é que um mesmo envio pode ter uma colocação excelente em contas de consumidor e tropeçar nos domínios corporativos dos seus clientes, justo os que mais importam num negócio B2B. Auditar esse cenário implica olhar a entrega por tipo de destinatário e não só por provedor, conferir que a sua autenticação resista aos gateways mais exigentes, e reconhecer que parte do que freia você vive na política de segurança de cada empresa, não nos grandes provedores. Distinguir um problema de reputação geral de um de filtro corporativo evita perseguir a avaria no lugar errado.

Aquecimento e volume: o ritmo importa

A reputação se constrói com muitos envios consistentes, mais do que com um envio grande, então o ritmo é parte do diagnóstico. Um IP ou um domínio novos e sem aquecer que de repente lançam dezenas de milhares de correios parecem exatamente o que parece um spammer, e os provedores respondem em conformidade. O aquecimento — subir o volume de forma gradual, começando pelos contatos mais ativos — diz à caixa que você é um remetente legítimo que cresce, longe de uma fonte que apareceu do nada. A constância importa tanto quanto a rampa: os picos e vales bruscos geram desconfiança, enquanto um volume previsível a constrói. Uma auditoria compara o seu padrão de envio com a sua reputação e muitas vezes encontra ali a explicação de uma queda que parecia inexplicável: não mudou o conteúdo nem a lista, mudou o ritmo.

O que você recebe

O entregável é um roteiro de ações priorizadas, longe de um simples despejo de dados. Você recebe um relatório com os achados ordenados por impacto, de modo que sabe o que corrigir primeiro e o que pode esperar. Cada achado vem com o seu porquê e o seu como, para além do alarme. Separamos os consertos rápidos — os que movem o ponteiro nesta mesma semana — dos projetos de fundo que requerem plano. E, quando aplica, deixamos a você a base para medir a melhoria, de maneira que a próxima revisão compare contra um ponto de partida real. O objetivo é que você termine a auditoria sabendo exatamente o que fazer na segunda de manhã. A estrutura do relatório segue as cinco camadas em vez de uma lista genérica, então cada achado já chega preso à camada a que pertence e à ordem em que deve ser tratado: um registro de autenticação quebrado na camada um aparece à frente de um ajuste de conteúdo na camada quatro.

Como medimos o antes e o depois

Uma auditoria que não se pode medir é uma opinião, então deixamos números desde o começo. Antes de tocar em nada, fixamos uma linha de base: onde você aterrissa hoje segundo as provas com seed lists por provedor, o que diz a sua taxa de reclamações, como Postmaster e SNDS classificam você. Com esse ponto de partida, cada conserto se pode atribuir a um efeito, e a próxima revisão compara contra dados reais em vez de contra sensações. Isso muda a conversa dentro da sua equipe: em vez de discutir se o correio «vai melhor», vocês olham se a colocação na caixa subiu de sessenta para noventa por cento no Gmail, ou se as reclamações baixaram do limiar perigoso. Medir o antes e o depois também protege o seu investimento, porque demonstra que intervenção funcionou e qual não merece repetir-se.

A de 25 pontos e a auditoria profunda

Nem todo mundo precisa do mesmo, então oferecemos dois níveis. A auditoria gratuita de 25 pontos é a foto rápida: revisa os fundamentos — autenticação, listas negras, configuração visível — e basta para saber se você tem um problema e de que tamanho. A auditoria profunda entra onde a gratuita se detém: análise de logs, provas de chegada a múltiplos provedores, revisão da configuração do MTA e um plano de remediação sob medida. O sensato é começar pela gratuita; se ela destapa algo sério, a profunda diz a você exatamente como resolvê-lo. Ninguém empurra você ao nível pago sem uma razão que tenhamos podido mostrar antes.

Para quem é esta auditoria

Esta auditoria não é só para quem opera o seu próprio motor de envio. Serve à marca de ecommerce cujas campanhas deixaram de converter e não sabe por quê. Serve ao produto SaaS cujos correios transacionais — cadastros, redefinições, alertas — começam a não chegar e geram tíquetes de suporte. Serve à agência que gere o correio de vários clientes e precisa de um diagnóstico que possa mostrar. E serve ao remetente de grande volume que já tem infraestrutura própria e quer uma segunda leitura especialista antes de uma mudança importante. Se você envia correio que importa — e a esta altura quase todo o correio de negócio importa —, uma auditoria diz a você se a base sobre a qual você envia aguenta o peso. O que muda entre uns e outros é a profundidade, mais que a utilidade.

Erros comuns que encontramos

Depois de muitas auditorias, as mesmas falhas se repetem com assombrosa fidelidade. O duplo registro SPF que ninguém limpou e que quebra a validação. O DKIM que assina mas não está alinhado com o domínio visível, então o DMARC falha em silêncio. A política DMARC que se deixou em modo permissivo «temporariamente» há dois anos e ali segue. A ausência de descadastro em um clique em correio que já conta como em massa. As listas que nunca se depuram e acabam batendo em armadilhas de spam. E o clássico no Brasil: enviar direto a partir de um IP que pertence a uma faixa que os receptores consideram residencial, justo a que a Gerência de Porta 25 reserva para a submissão e não para o trânsito. Nenhum é exótico; todos são evitáveis, e quase todos se arrumam assim que são nomeados.

O conteúdo e o design também contam

A técnica abre a porta, mas o conteúdo decide se você fica dentro. Os provedores e os seus usuários reagem ao que veem: um equilíbrio de imagem e texto quebrado, links encurtados ou que não coincidem com o domínio remetente, anexos suspeitos ou um assunto que promete demais são sinais que empurram para o spam ou para a reclamação. O descadastro deve ser fácil de encontrar, não escondido em letra cinza de seis pontos, porque um usuário que não acha como se descadastrar aperta «isto é spam», e essa reclamação pesa muito mais que uma baixa silenciosa. Uma auditoria revisa os seus modelos com esses olhos para apontar os padrões que sabotam você sem que saiba, não para reescrever o seu marketing. Muitas vezes, pequenos ajustes de estrutura — um link de baixa visível, um remetente coerente, menos peso de imagem — recuperam entrega sem tocar a mensagem.

O que uma auditoria não pode prometer

Por honestidade, convém dizer também o que ela não é. Uma auditoria não compra reputação nem a repara de um dia para o outro: identifica a causa e traça o caminho, mas a recuperação demora o que demora o bom comportamento para se notar. Não garante a caixa de entrada, porque nenhum terceiro controla as decisões do Gmail ou do Outlook; o que ela faz é pôr todas as probabilidades do seu lado. E não converte uma lista ruim em uma boa: se o problema de fundo é a quem você escreve e com que permissão, ela dirá com clareza, ainda que arrumá-lo siga sendo trabalho seu. O que sim promete é justo isso, clareza: sair sabendo o que falha, por que e em que ordem resolvê-lo. Em entregabilidade, essa clareza é metade da batalha ganha.

Depois da auditoria

Um diagnóstico só vale pelo que ocorre depois. Se a sua equipe quer executar a remediação, o relatório é pensado para que ela possa fazê-lo: cada ponto é acionável. Se você prefere que o façamos nós, implementamos os consertos e, quando faz sentido, passamos a operar a sua entregabilidade de forma contínua — monitoramento, ajuste e resposta — para que o problema não volte pela porta dos fundos. E se a auditoria revela que o gargalo está no motor de envio, abordamos essa conversa à parte, incluída uma possível migração de PowerMTA para KumoMTA quando a plataforma ficou curta.

Auditoria pontual ou monitoramento contínuo?

Uma auditoria é uma foto; a entregabilidade é um filme. Para muitos remetentes, uma auditoria pontual bem-feita e a sua remediação bastam por um bom tempo. Para outros — volume alto, vários fluxos, um negócio que depende do correio —, faz mais sentido passar da foto ao acompanhamento: monitoramento contínuo de reputação e listas negras, alertas quando algo se move, e uma revisão periódica que ajuste antes que um problema se note na receita. Não empurramos ninguém ao modelo contínuo por padrão; o propomos quando o seu perfil de risco o justifica, e a própria auditoria costuma deixar claro de que lado você cai. O importante é não confundir uma foto nítida com uma garantia permanente: o correio sadio se mantém, não se arruma uma única vez.

Por que uma auditoria independente

Quem vende o ESP a você raramente é quem dirá que o problema é a configuração dele, e quem vende IPs não costuma recomendar que você envie menos. Nós não revendemos plataformas nem licenças, então a auditoria não é a antessala de uma compra obrigada: é um diagnóstico cujo único interesse é que o seu correio chegue. Isso nos deixa dizer o incômodo quando faz falta — que a sua lista está suja, que o seu volume não encaixa com a sua reputação, que a ferramenta que você paga não é o seu problema — e recomendar a solução que convém a você, antes da que mais nos rende. Um diagnóstico vale pela sua honestidade, e a honestidade é mais fácil sem um produto para colocar.

O ponto de partida é sempre o mesmo e não custa nada: a auditoria gratuita de 25 pontos dá a você uma foto honesta de onde você está hoje e de se vale a pena aprofundar. É a forma de decidir com dados em vez de com palpites.