Todos os guias · Atualizado: 2026-10-18

DKIM no Microsoft 365: assinar os teus emails com o teu domínio

Verificámos 1 500 sites de pequenos negócios (lojas Shopify, sites Wix e apps na Vercel). Em mais de um terço dos que têm o email no Microsoft 365, o DKIM nunca foi ligado. Para o teu próprio domínio, o Microsoft 365 não o liga sozinho: tem de ser feito uma vez, no portal do Microsoft Defender.

Sem DKIM no teu domínio, o Microsoft 365 assina os teus emails como oteunome.onmicrosoft.com. Essa assinatura nunca corresponde ao teu domínio, por isso a proteção contra emails falsos (o DMARC) fica só com o SPF, que falha quando uma mensagem é reencaminhada.

Antes de começar

Precisas de uma conta de administrador do Microsoft 365 e de acesso ao sítio onde geres o DNS do domínio: onde compraste o domínio, a Cloudflare, o Wix…

Passo 1: abrir o DKIM no Microsoft Defender

Entra em security.microsoft.com com a conta de administrador.
Abre Email e colaboração › Políticas e regras › Políticas de ameaças › Definições de autenticação de email (Email & collaboration › Policies & rules › Threat policies › Email authentication settings) e escolhe o separador DKIM.
Na linha do teu domínio, tenta ligar o interruptor (Toggle). Aparece um erro (Client error) com os valores dos registos: é normal, porque os registos ainda não existem. Carrega em OK.
Clica na linha do domínio, fora do interruptor. No painel que abre, a secção Publicar CNAMEs (Publish CNAMEs) mostra os dois registos a criar. Deixa este painel aberto.

Passo 2: criar os dois registos CNAME no DNS

No sítio onde geres o DNS, cria dois registos CNAME, com os valores exatamente como o portal os mostra:

Tipo: CNAME
Nome (anfitrião): selector1._domainkey
Valor: selector1-oteudominio-pt._domainkey.… (copia o valor do portal)

Tipo: CNAME
Nome (anfitrião): selector2._domainkey
Valor: selector2-oteudominio-pt._domainkey.… (copia o valor do portal)

Não copies os valores de outro sítio, nem deste guia: desde maio de 2025 os domínios novos usam um formato (terminado em dkim.mail.microsoft) e os antigos outro (terminado em onmicrosoft.com), e só o portal sabe qual é o teu.

Cloudflare: DNS › Records › Add record, tipo CNAME. Deixa o registo em «DNS only» (nuvem cinzenta): com o proxy ligado, o DKIM não funciona.
Outros fornecedores: procura «adicionar registo CNAME» na ajuda deles. Na maior parte escreve-se só selector1._domainkey no nome.

Se o DNS do teu domínio está no Wix: o guia do Wix

Passo 3: ligar a assinatura

Espera alguns minutos (às vezes mais) para a Microsoft encontrar os registos. Depois, no painel que deixaste aberto, liga Assinar mensagens deste domínio com assinaturas DKIM (Sign messages for this domain with DKIM signatures).

Quando funciona, o estado do domínio passa a Signing DKIM signatures for this domain. Se continuar em CnameMissing, a Microsoft ainda não vê os registos: confirma o nome e o valor dos dois, e tenta mais tarde.

Passo 4: confirmar que funciona

Envia um email da tua conta para uma conta Gmail. Abre-o, carrega nos três pontos › Mostrar original (Show original) e procura a linha do DKIM: deve dizer PASS com o teu domínio.

Também podes verificar o domínio aqui. Se o aviso «O Microsoft 365 não assina o teu email com o teu domínio» desaparecer, os registos estão publicados.

Erros que vemos muitas vezes

Os dois CNAME criados, mas o interruptor «Assinar mensagens…» nunca ligado.
Valores copiados de outro guia, no formato errado para o teu domínio.
Só um dos dois registos. São precisos os dois: a Microsoft alterna entre eles quando troca as chaves.
Na Cloudflare, os CNAME com a nuvem laranja (proxy). Têm de ficar em «DNS only».
Uma chave antiga de 1024 bits. Funciona, mas a recomendação é 2048. A troca não se faz no portal: faz-se na PowerShell do Exchange Online (Rotate-DkimSigningConfig -KeySize 2048). Não é urgente.

E depois do DKIM?

Com o DKIM e o SPF certos, o passo seguinte é pôr o DMARC a travar os emails falsos: passar de p=none para p=quarantine, sem perder emails pelo caminho.

De p=none para p=quarantine, passo a passo

Para não teres de voltar a verificar

Uma mudança de fornecedor de email ou um registo apagado por engano bastam para a assinatura deixar de funcionar, e ninguém dá por isso. O Excubitor pode vigiar o domínio todas as semanas e escrever-te só quando algo muda. Grátis para 1 domínio: faz a verificação e carrega em «Avisa-me».