Como verificar um domínio no Amazon SES e configurar DKIM, SPF e DMARC no Route 53

O Amazon SES é o serviço de e-mail de saída da AWS: barato e fiável para os e-mails que uma aplicação envia (confirmações, avisos, faturas). Mas que o e-mail saia não é o difícil; o difícil é que chegue à caixa de entrada e não ao spam. Para isso o Gmail, o Outlook e companhia exigem três coisas que se demonstram no DNS do seu domínio: DKIM (uma assinatura criptográfica), SPF (que servidores podem enviar em seu nome) e DMARC (o que fazer com o que não cumprir o anterior).

Se o seu domínio está no Route 53, na mesma conta AWS, o SES pode criar boa parte dos registos por si. Mesmo assim convém saber o que está a pôr e porquê.

Passo a passo

1. Escolha a região do SES

   O SES funciona por regiões e as identidades verificadas não se partilham entre elas. Escolha uma próxima dos seus utilizadores ou onde já tenha o resto (por exemplo Europa - Irlanda, eu-west-1) e fique com ela para sempre: a aplicação terá de enviar para essa região.

2. Crie a identidade de domínio

   Na consola do SES, Identidades, Criar identidade, tipo Domínio. Escreva o domínio sem "www" (midominio.com). Na secção de DKIM deixe Easy DKIM com o comprimento de chave que o SES propuser. Se o domínio está no Route 53 nesta conta, verá a caixa para publicar os registos DNS automaticamente: marque-a. Crie a identidade.

   O SES gera três registos CNAME do tipo xxxx._domainkey.midominio.com. Com a caixa marcada já estão no Route 53; se não, copie-os e crie-os à mão na zona alojada. A verificação demora desde minutos até algumas horas; a identidade passará a "Verificada" sozinha.

3. Configure um domínio MAIL FROM personalizado (para o SPF)

   Por defeito, os e-mails do SES saem com um remetente técnico em amazonses.com, que é o que o SPF verifica. Para que a verificação se faça contra o seu domínio e o DMARC possa "alinhar", configure um domínio MAIL FROM personalizado: dentro da identidade, separador Domínio MAIL FROM personalizado, Editar, e ponha um subdomínio que não use para mais nada, por exemplo correo.midominio.com. Escolha que o SES use o valor por defeito de amazonses.com se o MX falhar, para não deixar de enviar por um erro de DNS.

   O SES pede-lhe dois registos nesse subdomínio (de novo, com o Route 53 pode pô-los sozinho):

   Nome	Tipo	Valor
   correo.midominio.com	MX	10 feedback-smtp.eu-west-1.amazonses.com (troque a região pela sua)
   correo.midominio.com	TXT	"v=spf1 include:amazonses.com ~all"

4. Adicione SPF também ao domínio principal

   Se envia e-mail a partir de mais sítios (o seu servidor de e-mail, um fornecedor de newsletters), o seu domínio raiz já terá um registo TXT v=spf1. Adicione include:amazonses.com a esse mesmo registo; nunca crie um segundo TXT que comece por v=spf1, porque dois registos SPF invalidam os dois. Se não tem nenhum, crie-o no Route 53:

   Nombre: midominio.com    Tipo: TXT
   Valor:  "v=spf1 include:amazonses.com ~all"

   Se além disso usa Google Workspace ou Microsoft 365, o valor levará também o seu include correspondente, separados por espaços.

5. Publique a política DMARC

   O DMARC é um registo TXT no subdomínio _dmarc. Comece em modo de observação (p=none) para que ninguém rejeite o seu e-mail enquanto ajusta, e peça relatórios para um endereço que leia:

   Nombre: _dmarc.midominio.com    Tipo: TXT
   Valor:  "v=DMARC1; p=none; rua=mailto:dmarc@midominio.com"

   No Route 53: Criar registo, nome _dmarc, tipo TXT, valor entre aspas. Passadas umas semanas sem surpresas nos relatórios, suba para p=quarantine e depois para p=reject. O Gmail e o Yahoo exigem DMARC a quem envia muito e-mail, por isso não o salte.

6. Verifique e envie um teste

   Na identidade do SES deve aparecer tudo a verde: identidade verificada, DKIM correto e MAIL FROM configurado. Envie um e-mail de teste para uma conta Gmail e abra "Mostrar original": deve indicar SPF: PASS, DKIM: PASS e DMARC: PASS. Se ainda está no sandbox do SES, só poderá enviar para endereços verificados; tem o guia para sair do sandbox nesta mesma secção.

O que pode correr mal