Comece pelo acesso e pela recuperação.
Use uma senha exclusiva e segundo fator ou passkeys quando o provedor oferecer. Mantenha a recuperação atualizada e protegida. Prefira contas individuais a uma senha compartilhada; para caixas de equipe, use delegação e permissões compatíveis com o serviço.
Revise sessões, regras e encaminhamentos.
Se suspeitar de acesso indevido, confira dispositivos, sessões e aplicativos conectados. Procure regras que escondem mensagens, encaminham conversas ou apagam alertas. Revogue o que não reconhecer e verifique alterações nos dados de recuperação. Trocar só a senha pode não remover todos os acessos.
SPF: quais serviços podem enviar.
O SPF publica no DNS quais origens estão autorizadas a enviar pelo domínio usado na verificação. Inclua todos os serviços legítimos e evite registros SPF duplicados. A configuração precisa ser revisada quando você troca de provedor ou adiciona ferramentas de envio.
DKIM e DMARC: assinatura e política.
O DKIM permite verificar uma assinatura da mensagem. O DMARC usa alinhamento de domínio e resultados de autenticação para aplicar a política publicada e orientar relatórios. Planeje a adoção para não bloquear envios legítimos. Esses controles não criptografam o conteúdo nem impedem toda tentativa de golpe.
Confirme pedidos sensíveis por outro canal.
Mudança de conta bancária, pagamento urgente e pedido de documentos precisam de confirmação independente. Um remetente conhecido pode ter sido comprometido. Combine com a equipe como confirmar solicitações e como denunciar uma mensagem suspeita sem repassar links ou anexos maliciosos.
O que você já revisou?
Marque os itens que você conferiu. As marcações ficam apenas nesta página: não acessam sua conta nem fazem uma auditoria.
Dúvidas frequentes.
Receber uma mensagem falsa prova que minha caixa foi invadida?
Não. O remetente pode ter sido falsificado sem acesso à sua conta. Investigue sessões, regras e envios desconhecidos para distinguir falsificação de comprometimento.
O diagnóstico DNS avalia a segurança completa do e-mail?
Não. Ele verifica registros públicos do domínio. Não examina senhas, sessões, conteúdo da caixa ou todos os sistemas de envio. Use o resultado para orientar a configuração, junto à revisão dos acessos.
Referências para continuar.
Orientações de fontes oficiais para aprofundar estes cuidados.