Se o seu e-mail está no Duobox e você se perguntou o que são as duas linhas de Devoluções na tabela de DNS, isto é para você. Também se alguma vez viu “enviado por amazonses.com” embaixo de um e-mail seu.
Um e-mail tem dois remetentes. O que a pessoa vê —o From:, voce@suaempresa.com— e o do envelope, o MAIL FROM do SMTP, que é para onde volta uma devolução se o endereço não existe. Esse segundo fica escrito no e-mail como Return-Path.
O e-mail que sai do Duobox é entregue pelo Amazon SES. Até agora o envelope era do SES, e o Gmail mostrava assim mesmo: “enviado por amazonses.com” embaixo do seu nome.
Por que importava
O SPF não verifica o From:: verifica o domínio do envelope. Passava, mas por amazonses.com, que não é o seu. Para o DMARC isso não conta, porque o DMARC pede que SPF ou DKIM passem para um domínio alinhado com o `From:`.
Então o DMARC de cada domínio se apoiava em uma perna só, a assinatura DKIM. Se algo no caminho quebrava a assinatura —uma lista de e-mail que adiciona um rodapé, um antivírus que reescreve um link— não sobrava nada para segurá-lo.
O que fizemos
Cada domínio agora tem um subdomínio bounce.seudominio.com que faz o papel de envelope, com dois registros:
| Tipo | Nome | Valor |
|---|---|---|
| MX | bounce | 10 feedback-smtp.us-east-1.amazonses.com |
| TXT | bounce | v=spf1 include:amazonses.com ~all |
O MX é por onde o SES recebe as devoluções; o TXT o autoriza a enviar em nome desse subdomínio. Pedimos ao SES que use bounce.seudominio.com como MAIL FROM do seu domínio, e a partir daí o Return-Path é seu, o SPF passa e se alinha —bounce.seudominio.com e seudominio.com são o mesmo domínio para o DMARC— e o DMARC tem duas pernas em vez de uma.
O que você precisa fazer
Se o DNS do seu domínio é gerenciado por nós, nada: os registros já estão lá, e os domínios antigos os receberam na verificação seguinte.
Se você conectou um domínio que mantém em outro provedor, vai ver duas linhas novas, Devoluções, na tabela de DNS. Copie-as lá.
E se não copiar, seu e-mail sai do mesmo jeito. Foi de propósito: enquanto faltar o MX de bounce, o SES volta ao envelope de antes. Torná-los obrigatórios teria deixado sem enviar empresas cujo e-mail já funcionava. Preferimos uma melhoria que se soma a um requisito que corta.
Para ver se ficaram funcionando, abra a aba DNS do seu domínio no hub: as duas linhas de Devoluções dizem se estão verificadas. Mais mudanças como esta, no changelog.