SMTP relay: serviços, Google e DNS

O que é um SMTP relay?

Um SMTP relay é um servidor de e-mail que recebe uma mensagem de um cliente e a encaminha para outro servidor, normalmente o host MX do destinatário. Ele funciona sobre o SMTP, o Simple Mail Transfer Protocol, que o IETF publica como padrão aberto. O cliente pode ser um CRM, um formulário de contato do site, uma impressora que digitaliza e envia por e-mail ou uma ferramenta de vendas. O cliente não entrega os e-mails na internet por conta própria. Ele passa cada mensagem para o relay, e o relay cuida das consultas DNS, das novas tentativas e dos bounces.

Um exemplo. Sua loja virtual envia uma confirmação de pedido de pedidos@seudominio.com. O servidor da loja se conecta à porta de submissão do relay, se autentica e envia a mensagem. O relay consulta o registro MX do domínio do comprador, abre uma conexão SMTP servidor a servidor com esse host e faz a entrega. Se o servidor de destino estiver ocupado e devolver um código de falha temporária, o relay coloca a mensagem na fila e tenta de novo mais tarde. Sua loja nunca precisa lidar com nada disso.

Em seguida, o servidor de destino verifica se o relay tem permissão para enviar em nome de seudominio.com. É justamente nessa verificação que a maioria das configurações erra. A seção sobre DNS, mais abaixo, trata disso.

Como funciona um SMTP relay, passo a passo?

1. 1 Submissão: o cliente se conecta à porta de submissão do relay. A página de configuração do relay informa essa porta e, em muitos serviços, também uma porta com TLS implícito. A entrega servidor a servidor usa uma porta separada.
2. 2 Criptografia: na porta de submissão, o cliente envia o comando STARTTLS. Isso eleva a conexão para TLS antes de qualquer credencial ser enviada.
3. 3 Autenticação: o cliente faz login com SMTP AUTH, usando usuário e senha ou credenciais de chave de API. Como alternativa, o relay aceita a conexão porque ela vem de um endereço IP cadastrado.
4. 4 Envelope e mensagem: o cliente envia MAIL FROM, um RCPT TO para cada destinatário e DATA com os cabeçalhos e o corpo. O endereço do MAIL FROM é o remetente do envelope e vira o Return-Path.
5. 5 Assinatura: o relay adiciona uma assinatura DKIM. O ideal é que o valor d= seja o seu próprio domínio.
6. 6 Entrega: o relay consulta o registro MX do domínio do destinatário e entrega. Falhas temporárias vão para a fila e são tentadas novamente. Falhas permanentes geram uma mensagem de bounce.

O terceiro passo é o que separa um relay de um open relay (relay aberto). Um open relay aceita e-mails de qualquer pessoa e os envia para qualquer lugar. As considerações de segurança do padrão SMTP apontam isso como um risco. Spammers encontram open relays rapidamente, e o IP do relay acaba entrando em blocklists de DNS. Todos os serviços da próxima seção exigem autenticação ou uma lista de IPs permitidos.

O que é um serviço de SMTP relay e quais existem?

Um serviço de SMTP relay é um relay hospedado. Você recebe um hostname, uma porta e credenciais, e o provedor opera a infraestrutura de envio. Google Workspace, Amazon SES, Brevo, Mailgun, Mailjet, MailerSend, SMTP2GO e SocketLabs publicam documentação de SMTP relay. O protocolo é o mesmo em todos. O que muda é para quem cada serviço foi feito e o que a política de uso aceitável de cada um permite. A tabela compara os serviços pelos mesmos critérios, com base na documentação de cada fornecedor.

Serviço	Feito para	Como você se autentica	Onde ele para
SMTP relay do Google Workspace	Dispositivos e aplicações de uma organização que já usa o e-mail do Workspace	IPs cadastrados, SMTP AUTH com uma conta do Workspace ou ambos (Ajuda do Administrador do Google Workspace)	Só clientes do Workspace podem usar, e o administrador define quais endereços de remetente são permitidos
Interface SMTP do Amazon SES	Desenvolvedores e aplicações que já rodam na AWS	Credenciais SMTP específicas do SES, criadas no console do SES. Elas são separadas das chaves de acesso da AWS (Amazon SES Developer Guide)	Contas novas começam em sandbox. Até o acesso de produção ser liberado, só podem enviar para endereços verificados
SMTP relay da Brevo	Remetentes de marketing e transacionais que querem ferramentas de campanha na mesma conta	Um login SMTP e uma chave obtidos nas configurações de SMTP da conta Brevo	O envio segue a política de uso aceitável da Brevo e o plano da conta
Mailgun, Mailjet, MailerSend, SMTP2GO, SocketLabs	E-mails transacionais de aplicações, como recibos, redefinição de senha e notificações	Credenciais SMTP ou chaves de API por domínio, conforme a documentação de cada fornecedor	A política de uso aceitável de cada fornecedor tem regras sobre e-mails não solicitados. Leia antes de usar o serviço para prospecção

Para a sua reputação de remetente, a pergunta-chave é se o serviço assina com o seu domínio e permite definir um Return-Path personalizado em um subdomínio seu. Se permitir, a reputação se constrói sob o seu domínio. Se não, o servidor de destino enxerga o domínio do provedor no lugar.

SMTP relay do Google: como funciona o serviço do Workspace?

O SMTP relay do Google é um recurso do Workspace que permite ao administrador enviar e-mails de saída de dispositivos e aplicações pelos servidores do Google. O Google documenta o recurso na Ajuda do Administrador do Workspace, no artigo "Encaminhar mensagens de saída do serviço de redirecionamento SMTP pelo Google". No Admin Console, acesse Apps > Google Workspace > Gmail > Roteamento e abra a configuração do serviço de SMTP relay. Ali você configura três coisas:

• Remetentes permitidos: apenas usuários registrados do Workspace, apenas endereços dos seus domínios ou qualquer endereço.
• Autenticação: aceitar e-mails só de endereços IP especificados, exigir autenticação SMTP com uma conta do Workspace ou exigir as duas coisas.
• Criptografia: exigir TLS na conexão.

Os clientes se conectam a smtp-relay.gmail.com em uma das portas listadas nesse artigo da Ajuda do Administrador. Uma falha comum é uma impressora ou aplicação que se conecta de um IP dinâmico que nunca foi cadastrado. O Google rejeita o e-mail, e o dispositivo mostra só um erro genérico de envio. Os e-mails enviados pelo relay contam para os limites de envio do relay do Google, que são separados dos limites por usuário. Nosso guia sobre os limites de envio do Gmail explica como funcionam essas cotas e os erros de bounce que elas causam. Seu registro SPF também precisa ter include:_spf.google.com. Sem isso, os e-mails enviados pelo relay falham no SPF.

Dá para usar o Gmail como serviço de SMTP relay?

Uma conta pessoal do Gmail não inclui o serviço de relay do Workspace. Ela tem, sim, um servidor SMTP de saída, o smtp.gmail.com, e um cliente de e-mail ou script pode fazer login nele com as credenciais da conta. Segundo a Ajuda da Conta do Google, aplicativos que não aceitam o login do Google precisam de uma senha de app, e senhas de app só funcionam depois que a verificação em duas etapas é ativada. Isso faz do smtp.gmail.com um servidor de submissão para uma única caixa de e-mail, e não um relay para um escritório ou uma aplicação. Toda mensagem sai como essa única conta e conta para os limites de envio dela.

Isso serve para um script que manda alertas para você. Não serve para e-mails do domínio da sua empresa. Uma conta gmail.com não consegue assinar DKIM para seudominio.com, então o DMARC do seu domínio não tem como alinhar. Para enviar do seu próprio domínio pelo Google, você precisa de uma assinatura do Workspace e do smtp-relay.gmail.com. Nosso guia de registros DNS do Google Workspace cobre a parte de DNS.

Existe serviço de SMTP relay gratuito?

Vários provedores transacionais oferecem planos gratuitos ou cotas de teste. Os limites variam de fornecedor para fornecedor e mudam com o tempo, por isso não os citamos aqui. Confira a página de preços de cada fornecedor no dia em que for se cadastrar. Ao comparar opções gratuitas, observe os pontos abaixo. São eles que decidem se um plano gratuito é utilizável e quanto você vai pagar quando ultrapassá-lo:

• Limites de volume por dia ou por mês. Mensagens acima do limite costumam ser rejeitadas ou retidas em fila, e não entregues.
• Assinatura DKIM com domínio próprio e Return-Path personalizado. Verifique se o plano gratuito inclui esses recursos ou se só os planos pagos incluem.
• IPs compartilhados ou dedicados. Planos gratuitos geralmente enviam de pools compartilhados, então o comportamento de outros remetentes afeta a reputação do IP.
• Retenção de logs e webhooks de bounce. Você precisa deles para remover os hard bounces antes do próximo envio.
• A política de uso aceitável. Ela é a mesma para contas gratuitas e pagas e normalmente tem regras sobre e-mails não solicitados.

Rodar o seu próprio servidor Postfix não custa nada em licenças, mas o trabalho fica com você: DNS reverso, certificados TLS, monitoramento de filas e verificação de blocklists. Muitos provedores de nuvem bloqueiam por padrão o tráfego SMTP de saída servidor a servidor em instâncias novas. Até o provedor liberar esse bloqueio, um relay auto-hospedado muitas vezes não consegue entregar nada.

Quais registros DNS um SMTP relay precisa?

Quem decide se aceita os e-mails vindos do relay é o servidor de destino, e a primeira coisa que ele verifica é o seu DNS. Veja cada registro envolvido e como ele costuma falhar:

Registro	O que faz pelos e-mails enviados via relay	Falha típica
SPF (TXT na raiz ou no domínio do Return-Path)	Autoriza os IPs do relay a enviar pelo domínio do envelope	Falta o include do relay, ou alguém cria um segundo registro SPF. A especificação do SPF trata mais de um registro SPF como erro permanente (permerror)
DKIM (TXT ou CNAME em seletor._domainkey)	Permite que o relay assine com d=seudominio.com	O relay assina com o próprio domínio. O DKIM passa, mas não alinha com o seu domínio do From
DMARC (TXT em _dmarc)	Exige que SPF ou DKIM passe e alinhe com o domínio do From, como define a especificação do DMARC	As duas verificações passam no domínio do provedor, nenhuma alinha com o seu, e o DMARC falha
Return-Path personalizado (CNAME)	Leva o remetente do envelope para o seu subdomínio, para que o SPF possa alinhar	Não foi configurado, então os bounces e a verificação SPF vão para o domínio do provedor

Depois de alterar o DNS, envie uma mensagem de teste e confira o cabeçalho Authentication-Results. Você procura spf=pass, dkim=pass com o seu próprio domínio em header.d e dmarc=pass. Nosso verificador de SPF, DKIM e DMARC consulta os registros que você publicou. O guia de SPF, DKIM e DMARC para cold email aprofunda o tema do alinhamento.

Como o EmailFlow OS envia: pela sua própria conta Brevo e pelo seu domínio

A prospecção em vídeo com o EmailFlow OS não passa por um remetente compartilhado da plataforma. Você grava um único vídeo e faz o upload no EmailFlow OS. Conecta a sua própria conta Brevo e o seu domínio de envio. Depois, importa a sua lista de prospects para o EmailFlow OS, e é lá que a lista fica. O EmailFlow OS cria uma versão personalizada dessa única gravação para cada destinatário, e não uma por empresa. Cada versão sai da sua própria caixa de entrada, pela sua conta Brevo e pelo seu domínio de envio.

Seus registros SPF, DKIM e DMARC, a reputação do seu domínio e a sua conta Brevo continuam sob o seu controle. Isso também significa que o trabalho de DNS descrito acima continua sendo seu. É o servidor de destino que decide se aceita cada mensagem e em qual pasta ela cai. A página sobre e-mail com vídeo personalizado por IA do EmailFlow OS mostra como o fluxo se encaixa.

Perguntas frequentes

? Qual porta usar em um SMTP relay?

Use a porta de submissão do relay com STARTTLS, ou a porta com TLS implícito se o seu cliente só aceitar essa opção. A porta servidor a servidor é para a entrega entre servidores de e-mail, e muitas redes de nuvem e provedores de internet a bloqueiam para tráfego de saída. Cada serviço informa suas portas na própria página de configuração. O Google as lista na Ajuda do Administrador do Workspace, e a Amazon no SES Developer Guide.

? Qual a diferença entre um SMTP relay e um open relay?

Um SMTP relay só encaminha e-mails de clientes que fazem login com SMTP AUTH ou se conectam de um IP na lista de permitidos. Um open relay encaminha e-mails de qualquer pessoa para qualquer destino. Spammers procuram open relays, e os IPs desses relays acabam em blocklists de DNS. Por isso todo serviço de relay hospedado exige credenciais ou IPs cadastrados.

? Um serviço de SMTP relay melhora a entregabilidade?

O relay não decide onde a mensagem vai parar. Quem decide é o servidor de destino. O relay enfileira mensagens, tenta reenviá-las e reporta os bounces. O servidor de destino avalia o alinhamento de SPF e DKIM com o seu domínio do From, a reputação do seu domínio, as reclamações e a qualidade da lista. Um relay que assina com o próprio domínio em vez do seu pode fazer o DMARC falhar.

? Posso usar um SMTP relay transacional para cold email?

Leia primeiro a política de uso aceitável do provedor. Serviços transacionais como Amazon SES, Mailgun e Mailjet publicam regras sobre e-mails não solicitados, e descumpri-las pode levar à suspensão da conta. Na UE, regras de consentimento como as da UWG alemã também se aplicam, seja qual for o relay. Descubra o que a sua prospecção exige antes de enviar.