Lei CAN-SPAM: requisitos para cold email

Esta página explica o que a lei CAN-SPAM (CAN-SPAM Act) exige de quem envia cold email. O conteúdo se baseia no CAN-SPAM Act Compliance Guide for Business, o guia de conformidade da Federal Trade Commission (FTC) dos EUA (editado em janeiro de 2024, consultado em outubro de 2026), e no texto da norma no 16 CFR Part 316, publicado no eCFR. Aqui explicamos as regras; isto não é aconselhamento jurídico. Se a sua prospecção cumpre essas regras depende do que você escreve e de como você gerencia a sua lista, e nenhuma ferramenta decide isso por você.

Quais são os requisitos da lei CAN-SPAM?

O guia de conformidade da FTC define sete requisitos principais para e-mails comerciais. Eles valem para cada mensagem enviada, e não para a campanha como um todo. Ou seja: um e-mail sem o aviso de descadastro já é um problema, mesmo que todos os outros e-mails da sequência tenham esse aviso. A tabela abaixo lista cada requisito e o que ele significa na prática para quem faz cold email.

Requisito (guia CAN-SPAM da FTC)	O que significa para um cold email
Nada de cabeçalhos falsos ou enganosos	From, To, Reply-To e as informações de roteamento precisam ser corretos e identificar a pessoa ou a empresa que enviou a mensagem.
Nada de assuntos enganosos	O assunto precisa refletir o que o e-mail realmente contém. Um "Re:" falso no primeiro contato sugere uma conversa que nunca aconteceu.
Identificar a mensagem como anúncio	Uma mensagem comercial precisa ser identificável como publicidade. O guia não prescreve uma redação fixa.
Incluir um endereço postal físico válido	Seu endereço atual, uma caixa postal ou uma caixa postal privada registrada conforme as normas postais.
Informar como se descadastrar	Uma explicação clara e visível de como deixar de receber seus e-mails de marketing.
Atender o opt-out em até 10 dias úteis	Depois que alguém pede o descadastro, essa pessoa não recebe mais nenhum e-mail de marketing seu após esse prazo.
Monitorar o que terceiros fazem em seu nome	Se outra pessoa ou empresa envia por você, a responsabilidade legal continua sendo sua.

Requisitos da lei CAN-SPAM para cabeçalhos e linha de assunto

Dois dos requisitos da lei CAN-SPAM tratam do que o destinatário vê antes de abrir a mensagem: o cabeçalho e o assunto. A regra do cabeçalho abrange o nome do remetente, o endereço do remetente, o Reply-To e as informações de roteamento, ou seja, o domínio e os servidores pelos quais a mensagem passou. Tudo isso precisa identificar quem de fato enviou o e-mail. Enviar com uma persona inventada, ou a partir de um domínio que esconde a sua empresa, entra em conflito com essa regra.

A CAN-SPAM não exige SPF, DKIM nem DMARC. Eles são padrões técnicos, não requisitos legais. No nível do servidor, porém, cumprem o mesmo propósito: permitem que o servidor de destino verifique se uma mensagem assinada pelo seu domínio veio de um servidor que você autorizou. Quando o domínio do remetente, a assinatura DKIM e a política DMARC estão alinhados, as informações de roteamento batem com quem você diz ser. Nosso guia de SPF, DKIM e DMARC para cold email mostra os registros que você precisa publicar.

No caso do assunto, o teste é se ele engana sobre o conteúdo. "Uma pergunta rápida sobre as contratações do 3º trimestre" em um e-mail que apresenta um software de recrutamento é defensável. "Re:" ou "Sua fatura" em cima de um pitch de vendas não é. Os exemplos de assunto para cold email que reunimos seguem essa regra.

A lei CAN-SPAM vale para e-mails B2B?

Muita gente que faz prospecção B2B acha que a lei só cobre newsletters para consumidores. O guia da FTC diz que ela não abre exceção para e-mails entre empresas. Um cold email para o endereço corporativo de um gerente de compras precisa dos mesmos elementos que uma promoção de varejo: cabeçalhos corretos, um assunto honesto, identificação como anúncio, um endereço postal e um opt-out.

Cada e-mail de uma sequência de cold email é avaliado individualmente. Isso tem três consequências práticas:

• Os follow-ups também precisam da explicação de descadastro e do endereço postal, não apenas o primeiro contato. Um follow-up encadeado com cabeçalhos In-Reply-To continua sendo uma mensagem comercial.
• Personalização não torna uma mensagem não comercial. Um e-mail um a um, escrito para um único destinatário, continua sendo comercial se o objetivo for promover o seu produto.
• Segundo o guia da FTC, assinantes e membros também podem se descadastrar. Ter um relacionamento prévio com o destinatário não elimina a obrigação de oferecer o opt-out.

Em quanto tempo é preciso atender um pedido de descadastro?

O guia da FTC dá 10 dias úteis a partir do pedido de descadastro. Depois disso, a pessoa não pode receber mais nenhum e-mail de marketing seu. O guia também exige que a explicação do opt-out seja clara e visível, para que o destinatário a encontre sem precisar procurar. Um link escondido em texto cinza abaixo da assinatura, ou uma instrução que só aparece no primeiro e-mail da sequência, torna isso bem mais difícil de sustentar.

Na prospecção a frio, o descadastro costuma falhar porque a lista está em mais de um lugar. Alguém responde "me tira da lista" no primeiro e-mail, mas um follow-up agendado em outro sistema sai mesmo assim. Antes de iniciar uma sequência, escolha uma única lista mestre e bloqueie o endereço nela, para que todas as etapas agendadas o ignorem. O descadastro também afeta a entregabilidade. Quem não encontra uma forma de sair muitas vezes clica em "denunciar spam", e reclamações são um dos sinais que os servidores de destino levam em conta. Nosso artigo sobre por que meus e-mails vão para o spam trata desse lado da questão.

Quem responde quando outra pessoa envia o seu e-mail?

O guia da FTC diz que, se você contratar alguém para cuidar do seu e-mail marketing, não pode transferir por contrato a sua responsabilidade legal. Tanto a empresa cujo produto a mensagem promove quanto a empresa que de fato a envia podem ser responsabilizadas. Para um time B2B, isso inclui um freelancer que roda as suas sequências, um prestador que monta listas ou uma plataforma que envia a partir de um endereço próprio em seu nome.

Você não pode simplesmente confiar em tudo o que sai com o seu nome. Confira pessoalmente o remetente, os assuntos, o rodapé com o seu endereço postal e o tratamento dos descadastros. Você também precisa saber a partir de qual domínio os e-mails são enviados. Se não dá para saber qual domínio assina a mensagem, não dá para verificar o requisito do cabeçalho. Os relatórios agregados de DMARC listam os servidores que enviam e-mails como o seu domínio, e ler um relatório DMARC permite identificar um remetente que você não autorizou.

Onde a CAN-SPAM termina: destinatários na Alemanha e na UE

A CAN-SPAM é uma lei americana baseada em opt-out. Nenhum dos requisitos, na forma como a FTC os lista, é consentimento prévio: você pode enviar a primeira mensagem desde que siga as regras e atenda os descadastros. Esse modelo não se transfere para outros países. Para destinatários na Alemanha, o § 7 (2) nº 2 da Lei contra a Concorrência Desleal (UWG) trata a publicidade por e-mail sem o consentimento prévio e expresso do destinatário como um incômodo inaceitável. O § 7 (3) UWG traz uma exceção estreita para clientes existentes, que não cobre o primeiro contato com um prospect.

Portanto, não envie cold email para destinatários na Alemanha, mesmo que a mensagem cumpra todos os requisitos da CAN-SPAM. Separe a sua lista de prospects pelo país do destinatário antes de planejar uma sequência e verifique as regras de cada país que você pretende atingir. Não aplique as regras americanas em todo lugar.

Como o EmailFlow OS envia, e o que continua sendo responsabilidade sua

O EmailFlow OS envia e-mail com vídeo personalizado para prospecção B2B a frio. Você grava um único vídeo, faz o upload no EmailFlow OS, conecta a sua própria conta Brevo e o seu domínio de envio e importa a sua lista de prospects. O EmailFlow OS então cria uma versão personalizada dessa gravação para cada destinatário, e não apenas para cada empresa, e envia cada versão a partir da sua própria caixa de entrada, pela sua conta Brevo e pelo seu domínio de envio. Nada sai de um endereço de remetente compartilhado da plataforma.

Para a CAN-SPAM, o que importa é que as informações de cabeçalho apontam para o seu domínio e para a sua conta Brevo. Você controla os dois e pode conferi-los no seu próprio DNS e nos seus relatórios DMARC. O resto depende de como você usa o produto: um assunto honesto, a identificação como anúncio, o seu endereço postal, uma explicação clara de descadastro em cada mensagem e a remoção de quem pedir opt-out em até 10 dias úteis, inclusive da lista que você importou no EmailFlow OS. Usar o EmailFlow OS não torna a sua prospecção conforme à CAN-SPAM nem a qualquer outra lei. Significa que o caminho de envio é seu e pode ser verificado por você.

Perguntas frequentes

? A lei CAN-SPAM exige consentimento antes de enviar um cold email?

Não. Nenhum dos requisitos do guia CAN-SPAM da FTC é consentimento prévio. É um modelo de opt-out: você pode enviar um primeiro e-mail comercial se ele tiver cabeçalhos corretos, um assunto honesto, identificação como anúncio, um endereço postal e um aviso de descadastro. Na Alemanha é o contrário: o § 7 (2) nº 2 UWG exige consentimento prévio e expresso.

? A CAN-SPAM se aplica a e-mails B2B?

Sim. O guia de conformidade da FTC diz que a lei não abre exceção para e-mails entre empresas. Um cold email para o endereço corporativo de alguém precisa dos mesmos elementos que uma promoção para consumidores: cabeçalhos verdadeiros, um assunto que não engane, identificação como anúncio, um endereço postal físico válido e um opt-out atendido em até 10 dias úteis.

? Posso usar uma caixa postal como endereço no cold email?

Sim, segundo o guia da FTC. Um endereço postal físico válido pode ser o seu endereço atual, uma caixa postal registrada no US Postal Service ou uma caixa postal privada registrada em uma agência comercial de recebimento de correspondência, conforme as normas postais. Um endereço inventado ou desatualizado não vale, porque os destinatários precisam conseguir chegar até você.

? SPF, DKIM e DMARC contam como requisitos da CAN-SPAM?

Não. Nem o 16 CFR Part 316 nem o guia da FTC mencionam esses padrões de DNS. A CAN-SPAM exige informações de cabeçalho e de roteamento que não sejam falsas ou enganosas. SPF, DKIM e DMARC são padrões técnicos separados que permitem aos servidores de destino verificar se os e-mails do seu domínio vieram de servidores que você autorizou, então servem ao mesmo objetivo no nível do servidor.