Klytic

Início›Guias›Segurança de e-mail

Segurança de e-mail · Entender

Proteger o e-mail que você já tem

Sim, é possível reforçar a proteção do Microsoft 365, do Google Workspace, do Exchange ou de outro servidor sem trocar de e-mail. O MX do domínio aponta para o gateway, que analisa as mensagens e depois as entrega ao servidor atual. Os usuários mantêm suas caixas; o responsável pelo DNS e o administrador do e-mail têm, cada um, uma configuração a fazer.

Atualizado em outubro de 20267 minFontes oficiais citadas

A decisão: manter a caixa, mudar o MX

Trocar de e-mail e trocar de proteção são dois projetos diferentes. O primeiro desloca as caixas, o histórico, as agendas e as contas nos celulares. O segundo mexe apenas no caminho das mensagens recebidas.

Esse caminho cabe em um registro DNS: o MX, que indica aos servidores remetentes onde entregar as mensagens do seu domínio. Quando ele aponta para o gateway, este recebe, analisa e depois entrega a mensagem ao servidor de caixas. Isso vale para:

  • Microsoft 365 (Exchange Online);
  • Google Workspace;
  • Exchange instalado na sua empresa ou hospedado;
  • qualquer outro servidor de e-mail que receba via SMTP;
  • Klytic Mail, que é apenas um caso entre outros, não um pré-requisito.

Este guia trata do caso em que se mantém a caixa. Se você também vai trocar de servidor, os guias migrar do Microsoft 365 e migrar do Google Workspace descrevem esse projeto.

Quem altera o quê

ConfiguraçãoOndeQuem
Registro MX do domínioZona DNS, no registrador ou no provedor de DNSA pessoa que gerencia o DNS, ou o prestador que recebeu essa delegação
Declaração do gateway ao e-mailConsole de administração do Microsoft 365, do Google Workspace ou do servidorO administrador do e-mail
SPF, DKIM e DMARCZona DNSO responsável pelo DNS, após o inventário dos servidores que enviam pelo domínio
Domínios e servidor de entregaGatewayO fornecedor do gateway, que prepara a configuração

O princípio no Microsoft 365

A documentação da Microsoft sobre a filtragem por um serviço de terceiros é clara: o MX do domínio deve apontar para esse serviço, que depois entrega ao Exchange Online. A Microsoft recomenda um conector de entrada do tipo “parceiro”, que pode recusar as mensagens que chegarem sem passar pelo serviço. Ela também recomenda ativar a filtragem aprimorada para conectores, para que a sua própria análise avalie o remetente verdadeiro e não o endereço do gateway. E desaconselha simplesmente ignorar a sua filtragem para os endereços do serviço de terceiros.

O princípio no Google Workspace

O Google descreve um “gateway de e-mail de entrada”: o MX aponta para o gateway, e o administrador declara os endereços IP dele no console. O Gmail os usa para encontrar o endereço real do remetente nos cabeçalhos, do qual dependem o SPF e a sua avaliação de spam. Também é possível recusar as mensagens que não vêm do gateway. O Google esclarece que não aplica a política DMARC do remetente às mensagens recebidas por um gateway declarado: esse controle passa então a caber ao gateway.

Este guia não reproduz as telas desses consoles, que mudam. Siga a página oficial citada no rodapé no momento da configuração.

Vários servidores atrás de um único gateway

Caso frequente em um grupo: a empresa controladora no Microsoft 365, uma subsidiária no Google Workspace, uma terceira em um servidor antigo. Um único gateway pode ficar à frente dos três.

O princípio é um roteamento por domínio. O MX de cada domínio aponta para o gateway. Para cada domínio, o gateway sabe a qual servidor entregar as mensagens após a análise. A análise é comum, o destino muda.

Vantagem: uma mesma política de filtragem, ou configurações diferentes conforme o domínio, e a leitura de todas as decisões no mesmo lugar. Ponto a preparar: um domínio cujas caixas estejam divididas entre dois servidores exige saber, endereço por endereço, onde entregar. Esse caso deve ser estudado antes da migração.

O que muda e o que não muda

Não muda: os endereços, as caixas, o histórico, o programa de e-mail, o webmail, os celulares. O filtro integrado do e-mail continua funcionando. As permissões e os compartilhamentos internos continuam sendo os da plataforma.

Muda:

  • O primeiro servidor que recebe as mensagens. É ele que vê a conexão de origem e verifica a autenticação do remetente.
  • O servidor de caixas deixa de ver o remetente diretamente e passa a ver o gateway. Daí a declaração descrita acima.
  • As mensagens levam os cabeçalhos de decisão do gateway: um administrador pode ler ali por que uma mensagem foi entregue ou separada.
  • Se o gateway também retransmitir as mensagens enviadas, o registro SPF do domínio deve autorizá-lo, e a assinatura DKIM deve ser publicada para ele. O sentido desses mecanismos é explicado em SPF, DKIM e DMARC.

No dia em que você também trocar de servidor de caixas, o gateway pode continuar no lugar: só o servidor de entrega muda. O guia migrar um e-mail sem interrupção continua sendo a referência para esse dia, inclusive para SPF, DKIM e DMARC.

A implantação, em ordem

  1. Inventário: domínios, servidor de caixas de cada um, aplicativos que enviam mensagens em nome do domínio.
  2. Preparação do gateway pelo fornecedor: domínios aceitos, servidor de entrega, regras iniciais.
  3. Declaração do gateway no e-mail (conector de entrada ou gateway de entrada), se a plataforma previr.
  4. Redução prévia do TTL do MX e, depois, alteração do MX. Durante a validade do cache DNS, parte dos remetentes ainda entrega diretamente ao servidor de caixas: isso é normal.
  5. Verificação: uma mensagem enviada de um endereço externo deve chegar com os cabeçalhos de decisão do gateway.
  6. Acompanhamento da quarentena nos primeiros dias, para liberar os falsos positivos e ajustar as regras.

A reversão é simples: restaurar o MX anterior. Ela se prepara como em uma migração, com uma pessoa que tenha autoridade para decidir.

O que o gateway não faz

Ele vê as mensagens que passam por ele, e apenas elas. Ele não vê as mensagens trocadas entre duas caixas de uma mesma plataforma que não saem dela, nem os arquivos compartilhados em um armazenamento online, nem os logins dos usuários.

Portanto, ele não substitui as configurações internas do Microsoft 365 ou do Google Workspace: permissões, autenticação de dois fatores, alertas de login, regras de encaminhamento automático. Uma conta roubada continua sendo, antes de tudo, um assunto do e-mail. O guia spam, phishing, malware e conta comprometida esclarece essa divisão.

Por fim, um remetente que conheça o endereço técnico do servidor de caixas pode tentar entregar diretamente a ele, sem passar pelo MX. É por isso que a Microsoft (conector parceiro) e o Google (recusa das mensagens fora do gateway) propõem um bloqueio.

Perguntas frequentes

É preciso avisar os usuários?

Os endereços deles não mudam. Avise-os, porém, de que poderão receber avisos de quarentena: veja Quarentena, falsos positivos e denúncias.

É preciso desativar o filtro do Microsoft 365 ou do Google?

Não. A Microsoft recomenda deixar a sua análise ativa e configurá-la para que veja o remetente verdadeiro, em vez de ignorá-la.

Quanto tempo leva a migração?

A mudança de MX em si entra em vigor no ritmo do cache DNS. A preparação depende do número de domínios e de servidores. Para o Klytic MTA, veja a seção seguinte.

Um gateway posicionado à frente altera a entregabilidade dos nossos envios?

Somente se ele também retransmitir as mensagens enviadas. Nesse caso, SPF e DKIM devem levá-lo em conta: veja SPF, DKIM e DMARC.

Por que não simplesmente trocar de e-mail?

É outra decisão, com outros critérios. Ela é tratada em escolher um e-mail corporativo europeu.

Onde a Klytic se posiciona

O Klytic MTA fica à frente do e-mail que você tem: Microsoft 365, Google Workspace, Exchange, Klytic Mail ou qualquer outro servidor. Ele não pressupõe uma caixa Klytic.

  • Ativação: geralmente de 24 a 48 horas. A Klytic prepara a configuração; você altera o registro MX do seu domínio, ou a Klytic faz isso por você. A declaração do gateway no console do Microsoft 365 ou do Google Workspace é feita pelo administrador desse e-mail, e é preparada com a Klytic durante a ativação.
  • Implantação: nuvem Klytic, instância dedicada ou servidores do cliente. Para necessidades específicas, outras arquiteturas podem ser concebidas com a Klytic, por exemplo uma filtragem na nuvem e um relay instalado na sua empresa, ou várias regiões.
  • Ofertas: Essencial e Avançado. O Essencial cobre a autenticação, o antispam, o antivírus, o phishing, os domínios sósias, a quarentena, a assinatura DKIM dos envios e a recuperação antes do envio. O Avançado acrescenta a fraude financeira, a proteção no clique, o console DMARC e a exportação dos logs para um SIEM.
  • Teste: 30 dias gratuitos, sem trocar de e-mail.

O Klytic MTA não gerencia as permissões nem as contas do seu e-mail atual, e não promete equivalência com as ferramentas de segurança integradas ao Microsoft 365 ou ao Google Workspace: ele se soma à frente delas.

Esta página descreve um princípio. Os consoles da Microsoft e do Google evoluem: a documentação oficial deles é a referência para o procedimento.

Fontes

Consultadas em outubro de 2026.

  • Microsoft Learn, “Manage mail flow using a third-party cloud service with Exchange Online” (Gerenciar o fluxo de e-mails com um serviço de nuvem de terceiros no Exchange Online): o MX deve apontar para o serviço de terceiros; conector de entrada do tipo parceiro; filtragem aprimorada para conectores em vez de ignorar a filtragem. learn.microsoft.com
  • Ajuda do Google Workspace, “Set up an inbound mail gateway” (Configurar um gateway de e-mail de entrada): MX para o gateway, declaração dos seus endereços IP, recusa possível das mensagens fora do gateway; a política DMARC do remetente não é aplicada pelo Gmail às mensagens recebidas pelo gateway. knowledge.workspace.google.com
  • RFC 5321, SMTP: os hosts intermediários são em geral designados pelo registro MX do DNS. rfc-editor.org
  • Klytic, página Klytic MTA: módulos das ofertas Essencial e Avançado, opções, modos de implantação, ativação pelo MX. klytic.com

Proteja o seu e-mail atual

Teste gratuito de 30 dias, sem trocar de e-mail: só o MX muda.

Falar com um consultor →

Conhecer o Klytic MTA

Leia também

Entender · Segurança de e-mailFiltro integrado ou gateway de segurança na frente do e-mailO filtro de um serviço de e-mail protege esse serviço. Um gateway recebe o e-mail do domínio, o analisa e o entrega: onde posicioná-lo, o que ele guarda.7 min de leituraLer →Entender · Segurança de e-mailSPF, DKIM e DMARC: o que protegem e o que não protegemSPF, DKIM e DMARC impedem o uso exato do seu domínio. Eles não leem a mensagem: o que barram, o que passa e como implantá-los.6 min de leituraLer →GuiasComo migrar um e-mail corporativo sem interrupção?Coexistência, segunda passagem, TTL do MX, SPF, DKIM, DMARC e testes de envio: trocar de serviço de e-mail sem perder mensagens, e o que continua visível.GuiasLer →

Oferta de boas-vindas

30 dias de teste gratuito, migração acompanhada

Oferta de teste sem compromisso. Um consultor entra em contato para entender suas necessidades e preparar seu espaço Klytic.

🚀 Começar o teste gratuito Ver os preços