Todos os guias · Atualizado: 2026-10-18

Email devolvido com «550 5.7.26»: o que o Gmail te está a dizer

O 550 5.7.26 é a forma de o Gmail dizer: não consegui confirmar que este email vem mesmo de quem diz ser, por isso recusei-o. É uma recusa definitiva: o email não volta a ser tentado. A causa está quase sempre no domínio de quem envia, e corrige-se lá.

Nos 1 500 sites de pequenos negócios que verificámos, as duas causas mais comuns deste erro eram frequentes: 1 em cada 17 tinha o SPF partido, e metade dos domínios com email no Google Workspace nunca tinha ligado o DKIM.

Primeiro: qual das três mensagens recebeste?

O código é o mesmo, mas a mensagem que vem a seguir muda. Procura na devolução uma destas frases:

«the sender is unauthenticated»: nem o SPF nem o DKIM passaram para este email. O Gmail exige um dos dois a toda a gente.
«has an SPF record with a hard fail policy (-all)»: o servidor que enviou não está no teu SPF, e o teu SPF termina em -all, que manda recusar.
«is not accepted due to domain's DMARC policy»: o teu DMARC está em quarantine ou reject, e este email não passou no SPF nem no DKIM com o teu domínio. O Gmail fez o que o teu DMARC pediu.

Recebeste a devolução de um email que não enviaste? Então alguém tentou enviar em nome do teu domínio, e o teu DMARC travou-o. Está a funcionar: não há nada a corrigir.

Passo 1: descobre que serviço enviou o email

O erro raramente vem da tua caixa de correio. Quase sempre vem de outra coisa que envia em teu nome: as newsletters, as faturas, a loja online, o formulário do site, um CRM. Olha para o email devolvido e pergunta: de onde saiu este?

Cada serviço que envia como o teu domínio tem de estar autorizado no SPF ou, melhor, assinar com DKIM em nome do teu domínio. A ajuda de cada serviço chama a isto «autenticar o domínio» (domain authentication).

Passo 2: se a mensagem fala do remetente ou do SPF

Junta o serviço ao teu SPF: o include: que ele indica vai para o registo SPF que já tens, nunca para um segundo registo.
Liga o DKIM desse serviço com o teu domínio, seguindo a ajuda dele (normalmente um ou dois registos CNAME ou TXT).
Volta a enviar o email.

Trocar -all por ~all faz desaparecer a segunda mensagem, mas não resolve nada: o email continua sem SPF nem DKIM válidos e vai na mesma para o spam ou é recusado. Corrige o serviço, não o all.

Dois registos SPF ou mais de 10 consultas: como arrumar o SPF

DKIM no Google Workspace, passo a passo

DKIM no Microsoft 365, passo a passo

Passo 3: se a mensagem fala da política DMARC

O teu DMARC está a fazer o seu trabalho, mas apanhou um email verdadeiro. A correção é a mesma do passo 2: o serviço que enviou tem de assinar com DKIM em nome do teu domínio (ou passar no SPF com o teu domínio).

Se é urgente (por exemplo, as faturas estão a ser devolvidas), podes pôr o DMARC em p=none enquanto corriges, e voltar a quarantine logo a seguir:

Tipo: TXT
Nome (anfitrião): _dmarc
Valor: v=DMARC1; p=none; rua=mailto:dmarc@aminhaempresa.pt

Não te esqueças de voltar: com p=none, qualquer pessoa volta a poder enviar emails falsos em teu nome sem que nada os trave.

DMARC: de p=none para p=quarantine, quando e como

Os vizinhos: 5.7.27, 5.7.30 e os 4.7.x

550 5.7.27: o SPF não passou. O Gmail exige SPF a quem envia em volume.
550 5.7.30: o DKIM não passou. O Gmail exige DKIM a quem envia em volume.
421 4.7.26, 4.7.27 e 4.7.30: o mesmo problema, mas temporário: o Gmail está a atrasar os teus emails em vez de os recusar. A correção é a mesma, e convém fazê-la antes de passar a definitivo.

«Em volume» quer dizer mais de 5000 emails por dia para contas Gmail. Abaixo disso, basta um dos dois (SPF ou DKIM) a passar, mas ter os dois é o que evita estes erros.

Passo 4: confirmar

Envia um email de teste a partir do serviço que falhou para uma conta Gmail tua. Abre-o, carrega nos três pontos e em «Mostrar original» (Show original). Lá em cima tens SPF, DKIM e DMARC, cada um com PASS ou FAIL.

E verifica o domínio: o Excubitor diz-te se o SPF está partido, se o DKIM do Google ou da Microsoft está desligado e em que ponto está o teu DMARC, com a prova de cada um.

Erros que vemos muitas vezes

Corrigir a caixa de correio quando o email devolvido saiu da ferramenta de newsletters ou da faturação.
Criar um segundo registo SPF para o serviço novo, em vez de juntar o include: ao que já existe.
Publicar a chave DKIM do Google e não carregar em «Iniciar autenticação» (Start authentication).
Pôr o DMARC em p=none para «resolver» e nunca mais o voltar a subir.

Para não teres de voltar a verificar

Estes erros aparecem no dia em que alguém junta um serviço novo ou mexe no DNS. O Excubitor pode vigiar o domínio todas as semanas e escrever-te só quando algo muda. Grátis para 1 domínio: faz a verificação e carrega em «Avisa-me».