Domínios e DNS

Domain Connect e os registros DNS (SPF, DKIM, DMARC, verificação) para enviar e publicar no seu domínio.

Domínios: envio de e-mail e páginas

Para o Asender trabalhar com a sua marca, o DNS do seu domínio precisa dizer duas coisas: que o Asender pode enviar e-mail em nome dele (domínio de envio) e que o Asender pode servir as suas páginas nele (domínio de páginas). Este guia mostra os dois caminhos de configuração (o botão de 1 clique e o manual), os registros de cada caso, as ferramentas públicas de checagem e os problemas mais comuns.

Os valores exatos dos registros (host de entrada, include de SPF, chave DKIM, token de posse) são gerados para a sua conta e aparecem na tela do domínio. Os exemplos abaixo usam marcadores entre < > nesses pontos: copie sempre o valor da tela, nunca de um exemplo.

Visão geral

Você também ganha, sem configurar nada, um endereço de páginas gratuito em apages.xyz. O domínio próprio é opcional.

Caminho rápido: conectar com 1 clique (Domain Connect)

O Asender usa o protocolo aberto Domain Connect: você entra no provedor de DNS, confere os registros que o Asender vai criar e autoriza. Nenhuma senha nem token fica com o Asender. Hoje o provedor compatível é a Cloudflare.

Quando o domínio está na Cloudflare e o recurso está disponível, a tela do domínio mostra o bloco Conectar com Cloudflare. O botão leva você à Cloudflare, e na volta o Asender verifica o domínio sozinho. Cancelar na Cloudflare não altera nada no seu DNS.

O que cada serviço pede à Cloudflare:

Se o botão de 1 clique não aparece (seu DNS não está na Cloudflare, o recurso ainda não foi liberado para o ambiente, ou a Cloudflare ainda não liberou o modelo do Asender), há duas alternativas:

• Token de API da Cloudflare. Na Cloudflare, crie um token com o modelo Editar DNS da zona (Zone → DNS → Edit), limitado a esta zona. Cole o token na tela do domínio e use Aplicar registros na Cloudflare. O token é guardado cifrado e você pode removê-lo quando quiser (revogue-o também na Cloudflare). A aplicação só cria os registros do Asender e informa o resultado de cada um: criado, atualizado, já estava certo, precisa de você (conflito) ou falhou.
• Manual, como descrito abaixo.

Os modelos do Asender para o Domain Connect se chamam asender.net.pages.json (páginas) e asender.net.mail.json (e-mail); o link de autorização sai assinado pelo Asender, então ninguém troca um valor no caminho.

Domínio de envio de e-mail

Dois modos

Ao cadastrar o domínio em Admin, Domínios, você escolhe onde ficam as caixas de e-mail:

• Aqui no Asender (modo completo). O Asender recebe e envia. O MX do domínio passa a apontar para o Asender.
• Em outro provedor (modo só envio). Seu e-mail continua chegando no Google Workspace, no Microsoft 365 ou onde estiver hoje. O MX não muda; o Asender só assina e envia. É o modo certo para quem quer usar o e-mail marketing sem mexer na caixa de entrada.

Não publique os registros do modo completo num domínio que usa Google ou Microsoft: o MX do Asender tiraria seu e-mail de lá, e o -all do SPF faria o que o Google envia falhar na autenticação.

Registros

Na tela do domínio, Ver DNS lista os registros exatos. No domínio exemplo.com.br:

Detalhes que valem atenção:

• Cada domínio tem a sua chave DKIM. O seletor padrão é s1 e a chave pública vem da tela. Em modo só envio ela convive com a do Google (google._domainkey): cada assinatura tem seu seletor, e o destinatário usa o que vier na mensagem. Não remova o seletor do Google.
• Um domínio só pode ter UM registro SPF. Publicar um segundo v=spf1 invalida os dois. No modo só envio, substitua o SPF atual pelo valor da tela, que já preserva tudo o que existia (inclusive o Google) e mantém o seu mecanismo final (-all, ~all). O Asender detecta SPF duplicado e mostra como juntar os dois em um.
• DMARC começa em p=none, que apenas monitora. Subir direto para reject sem ler os relatórios pode derrubar e-mail legítimo mal configurado. Endureça depois. O endereço dmarc@seu-domínio precisa existir se você quer receber os relatórios. Se o domínio já tem um DMARC seu, não o troque: o Asender alinha o envio pelo DKIM do seu domínio, então a sua política atual continua valendo.
• Valor, não só nome. O verificador compara o conteúdo: o token de posse tem de ser exatamente o da tela, o p= do DKIM tem de ser o da chave gerada, e o SPF tem de conter o include atual.

Quando o domínio conta como verificado

DMARC e o grupo do cliente de e-mail entram no retrato da tela, mas não bloqueiam a verificação. Você pode clicar em Verificar a qualquer momento. Sem clicar, o Asender verifica sozinho: 15 tentativas de 1 em 1 minuto, depois 10 de 5 em 5 minutos, depois de 15 em 15 minutos sem prazo final. Domínio já verificado é reconferido a cada 15 minutos e só vira "desatualizado" depois de 3 checagens seguidas erradas, para que uma oscilação de DNS não derrube o envio. Cada registro tem um estado: ok, ausente, divergente, modelo antigo (apontava para um endereço antigo da plataforma, atualize para o valor da tela), indeterminado (o DNS não respondeu; nada é desverificado por isso) ou não se aplica.

Quer que outra pessoa publique o DNS? Em Enviar para webmaster, informe o e-mail dela: ela recebe os registros prontos para publicar, e a verificação é automática depois.

O que o e-mail marketing exige

O e-mail marketing só envia com remetente de domínio verificado da conta. Se o From de uma campanha usa um domínio que não está verificado, a mensagem não sai (ela é marcada como falha, em vez de sair com outro remetente). O seletor de remetente do assistente de campanha lista os domínios verificados. Sem nenhum, ele pede para verificar um em Admin, Domínios.

Return-path, VERP e retorno de devoluções

Devoluções (bounces) e reclamações de spam voltam para um endereço de retorno no formato b-<token>@<domínio de retorno da plataforma> (VERP), que o Asender lê para suprimir endereços que não existem mais. Esse domínio de retorno é da plataforma: você não publica nenhum registro para ele. Duas consequências, quando o recurso está ativo na plataforma:

• o endereço de retorno das mensagens aponta para o domínio do Asender, não para o seu. Por isso o alinhamento do DMARC passa pelo DKIM do seu domínio (que o Asender assina em toda mensagem de marketing), e não pelo SPF;
• o SPF do seu domínio com o include do Asender continua recomendado (reputação) e continua sendo checado na verificação.

Domínio de páginas

Subdomínio ou domínio principal

Em Páginas, Domínios, adicione o domínio (por exemplo lp.exemplo.com.br). A tela guia três passos:

1. Posse. Publique um TXT em _asender-verify.<host> com o token mostrado (começa com asv_). Sem essa prova, qualquer conta poderia pedir certificado para um domínio que não é dela.
2. Apontamento. Faça o domínio apontar para o nome-alvo do Asender.
3. Certificado. Com posse e apontamento ok, o HTTPS é emitido automaticamente (a verificação já faz a primeira conexão que dispara a emissão); a tela mostra o estado (pendente, depois ativo).

O domínio fica pronto quando os três passos estão ok.

Subdomínio (recomendado), como lp.exemplo.com.br:

Use sempre o nome-alvo e não um endereço IP: se o Asender trocar de servidor, o seu domínio continua certo, sem você mexer em nada.

Domínio principal (o "apex", como exemplo.com.br): a regra do DNS não permite CNAME no domínio nu, então a tela pede um registro ALIAS (também chamado ANAME ou CNAME flattening, conforme o provedor) para o mesmo nome-alvo. Na Cloudflare, basta criar um CNAME em @; ela o achata sozinha. Provedores sem ALIAS (como o DNS do Registro.br) usam o último recurso: registros A (e AAAA) com os endereços que a tela mostra. Esses endereços podem mudar; a tela avisa e recomenda migrar para ALIAS ou CNAME assim que o provedor permitir. Outra saída é usar o www: cadastre www.exemplo.com.br (um CNAME comum) e redirecione o domínio principal para ele.

Domínios próprios contam na cota do seu plano (acima dela o cadastro responde 402). Um domínio já cadastrado por outra conta responde 409, e um host inválido, reservado (como os do próprio Asender) ou sob um sufixo público responde 422.

Na API

curl -X POST 'https://api.pages.asender.net/v1/dominios' \
  -H 'Authorization: Bearer <token-de-sessão>' \
  -H 'X-Asender-Tenant: <slug-da-conta>' \
  -H 'Content-Type: application/json' \
  -d '{ "host": "lp.exemplo.com.br" }'

A resposta traz registro_txt (o nome do TXT de posse, _asender-verify.lp.exemplo.com.br), token (o valor a publicar) e os blocos posse, apontamento e tls. Depois, POST /v1/dominios/{id}/verificar confere os três passos e responde 200 com o estado de cada um (posse.ok, apontamento.ok, tls.estado) e pronto; um registro que ainda não propagou aparece como passo pendente, não como erro. Só responde 503 quando o DNS não pôde ser consultado. A posse, uma vez provada, não é reconsultada: você pode apagar o TXT depois. A referência completa está no guia da API de Páginas.

Ferramentas públicas de checagem

Antes de abrir chamado, confira o seu DNS nas ferramentas gratuitas do Asender, sem login, em https://tools.asender.net:

• DNS Overview (https://tools.asender.net/dns-overview). Digite o domínio e receba um raio-X de MX, SPF, DKIM (procura nos seletores mais comuns, entre eles s1, google e selector1), DMARC, TLS de entrega e higiene, com nota, achados por gravidade e o registro pronto para copiar. Achar nada num seletor não significa "sem DKIM": significa "não achei nos nomes que conheço". Para a API: GET https://tools.asender.net/api/tools/v1/dns-overview?dominio=exemplo.com.br.
• Email Tester (https://tools.asender.net/email-tester). A ferramenta dá um endereço de uso único; você envia um e-mail de teste do seu domínio para ele e recebe o relatório de autenticação e qualidade da mensagem.

As duas têm limite de uso por IP (por minuto). Se você receber um erro de limite, espere um instante.

Problemas comuns