# Proteção de e-mail empresarial em 2026: como funciona a filtragem de spam e phishing para Microsoft 365, Google Workspace e cPanel

> O comprometimento de e-mail empresarial causou às vítimas 3,05 mil milhões de dólares em perdas reportadas em 2025, de acordo com o FBI. Este guia explica como um filtro de nível MX se posiciona à frente de Microsoft 365, Google Workspace ou cPanel, o que SPF, DKIM e DMARC realmente provam, e o que as regras de remetente do Gmail, Yahoo e Outlook.com significam para o seu domínio.

- URL canônico: https://www.broadnet.me/pt/blog/business-email-spam-phishing-protection-guide-2026
- Idioma: pt
- Última atualização: 2026-10-22
- Editor: BroadNet (https://www.broadnet.me)

- Publicado em: 2026-10-22
- Autor: BroadNet Editorial Team

A proteção de e-mail empresarial em 2026 significa colocar um filtro à frente de cada caixa de correio no seu domínio. Aponta os registos MX do domínio para um gateway de filtragem, que verifica cada mensagem recebida quanto a spam, phishing, malware e spoofing, e depois encaminha o e-mail limpo para Microsoft 365, Google Workspace, cPanel/WHM ou Exchange. SPF, DKIM e DMARC protegem o seu próprio domínio contra falsificações. [iBlockSpam](https://iblockspam.com/), o serviço de proteção de e-mail da BroadNet, funciona desta forma, a um preço fixo por domínio.

> Factos verificados nas suas fontes a 22 de outubro de 2026: o relatório anual IC3 de 2025 do FBI, Microsoft Learn, Ajuda de Administrador Google Workspace, Yahoo Sender Hub, o anúncio da Microsoft Tech Community para Outlook.com, o RFC Editor (RFC 5321, 6376, 7208, 7489 e 9989) e o próprio website da iBlockSpam. Todos os valores estão ligados à sua fonte. Os preços e limites podem sofrer alterações, por isso consulte as páginas em direto antes de comprar.

| Pergunta | Resposta curta |
|---|---|
| Qual é a dimensão do problema? | Em 2025, o IC3 do FBI registou 24.768 queixas de comprometimento de e-mail empresarial com 3,05 mil milhões de dólares em perdas reportadas, e 191.561 queixas de phishing/spoofing |
| Onde se posiciona a filtragem de entrada? | No registo MX: o e-mail segue de remetente → gateway de filtragem → sua plataforma de e-mail → caixa de entrada |
| Configuração de Microsoft 365 | Conetor de entrada do parceiro, bloqueado ao filtro, com Enhanced Filtering for Connectors ativado |
| Configuração de Google Workspace | Adicione o filtro como um gateway de entrada na consola de Administração |
| O que protege o seu próprio domínio? | SPF (RFC 7208), DKIM (RFC 6376) e DMARC (RFC 7489, substituído por RFC 9989 em maio de 2026) |
| Regras para remetentes em massa | O Gmail e o Outlook.com exigem SPF, DKIM e DMARC de domínios que enviam mais de 5.000 mensagens por dia; o Yahoo aplica o mesmo a remetentes em massa sem publicar um limite |
| Preço de iBlockSpam | A partir de $12 por domínio por mês, com faturação anual, incluindo caixas de correio ilimitadas |

## Porque é que o e-mail empresarial continua a ser o principal meio de

O [Relatório de Crimes na Internet de 2025](https://www.ic3.gov/AnnualReport/Reports/2025_IC3Report.pdf) do FBI contabilizou 1.008.597 queixas e 20,877 mil milhões de dólares em perdas reportadas. O phishing/spoofing foi o tipo de crime mais reportado, com 191.561 queixas. O comprometimento de e-mail empresarial (BEC) teve muito menos queixas, 24.768, mas as perdas reportadas ascenderam a $3.046.598.558, um aumento face aos $2.770.151.146 em 2024. Entre os tipos de fraude facilitada por meios cibernéticos, apenas a fraude de investimento custou mais às vítimas. O relatório também refere que as empresas reportaram mais de 30 milhões de dólares em perdas devido a burlas de BEC que envolveram IA.

Estes números cobrem apenas as queixas apresentadas ao IC3, pelo que mostram a tendência em vez do custo total. Mostram também que as duas ameaças atuam em conjunto. O phishing é o ataque de volume. O BEC é o lucro, onde um e-mail convincente de um "fornecedor" ou de um "executivo" pede a alguém para alterar dados bancários ou aprovar uma transferência. O IC3 define o phishing como e-mails, mensagens de texto e chamadas telefónicas não solicitadas, pelo que o mesmo plano de ação também se aplica ao SMS. O nosso guia sobre [defesa contra smishing](https://www.broadnet.me/blog/smishing-defense-sms-phishing-protection) cobre a vertente das mensagens de texto.

## Como funciona a filtragem de entrada: o registo MX decide

Ao abrigo do [SMTP (RFC 5321)](https://www.rfc-editor.org/rfc/rfc5321), um servidor emissor consulta os registos MX do seu domínio para saber para onde entregar o e-mail. Para onde quer que esses registos apontem, todos os conteúdos recebidos passam primeiro por lá. Um gateway de filtragem altera a rota de "remetente → o seu servidor de e-mail" para "remetente → gateway → o seu servidor de e-mail". O gateway aceita a ligação, verifica a reputação e a autenticação do remetente, analisa links e anexos e, em seguida, entrega a mensagem, coloca-a em quarentena ou rejeita-a.

As suas caixas de correio não mudam. Os utilizadores mantêm as mesmas aplicações, palavras-passe e pastas. Duas definições são mais importantes do que qualquer outra coisa. Primeiro, cada registo MX tem de apontar para o gateway, porque um registo MX de reserva esquecido que ainda aponte diretamente para o seu servidor de e-mail permite que os atacantes ignorem o filtro. Segundo, a sua plataforma de e-mail deve aceitar e-mails da internet apenas provenientes do gateway. A [proteção integrada](https://learn.microsoft.com/en-us/defender-office-365/eop-about) da Microsoft continua a funcionar por trás do gateway, pelo que acaba com duas camadas independentes em vez de apenas uma.

## Microsoft 365, Google Workspace e cPanel: especificidades da plataforma

### Microsoft 365 e Exchange Online

A Microsoft documenta esta configuração em [Manage mail flow using a third-party cloud service](https://learn.microsoft.com/en-us/exchange/mail-flow-best-practices/manage-mail-flow-using-third-party-cloud). O registo MX aponta para o serviço de filtragem, e deve criar um conector de entrada de Parceiro que aceite apenas e-mails provenientes do certificado ou dos endereços IP do serviço. Sem isso, os atacantes podem enviar diretamente para o seu tenant e contornar o filtro. A Microsoft "recomenda vivamente" a ativação de [Enhanced Filtering for Connectors](https://learn.microsoft.com/en-us/exchange/mail-flow-best-practices/use-connectors-to-configure-mail-flow/enhanced-filtering-for-connectors), também chamada de skip listing. Com um gateway à frente, cada mensagem chega através do endereço IP do gateway. A Filtragem Avançada (Enhanced Filtering) preserva o IP de origem original e a informação do remetente, para que as verificações de SPF, DKIM, DMARC e anti-spoofing da Microsoft continuem a identificar o remetente real. A Microsoft desaconselha simplesmente contornar a filtragem de spam para os IPs do gateway, uma vez que esses endereços são frequentemente partilhados entre muitos clientes.

### Google Workspace

Em Google Workspace, regista o filtro como um [gateway de correio de entrada](https://knowledge.workspace.google.com/admin/gmail/advanced/set-up-an-inbound-mail-gateway) no console de Administração, lista os seus endereços IP e, opcionalmente, rejeita todo o correio que não venha do gateway. Google refere que o Gmail não aplica a política de DMARC do remetente em mensagens que chegam através do gateway, embora continue a utilizar os resultados de autenticação para combater o spam e o phishing. O seu gateway deve, portanto, realizar as suas próprias verificações de SPF, DKIM e DMARC.

### cPanel/WHM e Exchange on-premises

Servidores de alojamento e Exchange auto-geridos seguem a mesma lógica de MX. Antes de alterar o DNS, confirme qual o servidor que recebe efetivamente o correio para o domínio. Depois, aponte o MX para o gateway, configure o gateway para entregar no seu servidor e restrinja o SMTP de entrada aos endereços do gateway, onde a sua configuração o permitir. Reduza o TTL do registo MX com um dia de antecedência para que tanto a alteração como qualquer reversão tenham efeito rapidamente.

## SPF, DKIM e DMARC: a proteger o seu próprio domínio

A filtragem de entrada protege os seus utilizadores. A autenticação de domínio protege todos os que recebem correio que afirma vir do seu domínio. Cada um dos três padrões prova algo diferente:

- **SPF** ([RFC 7208](https://www.rfc-editor.org/rfc/rfc7208)) publica quais os servidores que podem enviar correio para o seu domínio. As verificações estão limitadas a 10 mecanismos de consulta DNS, pelo que um registo com demasiadas entradas "include" falhará.
- **DKIM** ([RFC 6376](https://www.rfc-editor.org/rfc/rfc6376)) adiciona uma assinatura criptográfica que os recetores verificam face a uma chave pública publicada no seu DNS. Prova que o domínio de assinatura enviou a mensagem e que a mensagem não foi alterada.
- **DMARC** ([RFC 7489](https://www.rfc-editor.org/rfc/rfc7489)) associa SPF ou DKIM ao domínio no endereço From: visível, indica aos recetores o que fazer quando uma mensagem falha (none, quarantine ou reject) e envia-lhe relatórios sobre quem está a enviar como se fosse o seu domínio.

Em maio de 2026, o IETF publicou o [RFC 9989](https://www.rfc-editor.org/rfc/rfc9989), a especificação DMARC atualizada (o trabalho "DMARCbis"), no Standards Track. Este torna obsoleto o RFC 7489, e dois RFCs complementares, 9990 e 9991, cobrem o reporte agregado e de falhas. Os registos DMARC existentes continuam a funcionar. O percurso habitual mantém-se o mesmo: publicar p=none, ler os relatórios, corrigir cada remetente legítimo e, finalmente, passar para quarantine e depois para reject.

## Domínios semelhantes, personificação e quarentena

O DMARC impede que os atacantes utilizem o seu domínio exato. Não os consegue impedir de registar um domínio semelhante, com uma letra trocada, um hífen adicionado ou uma terminação diferente, e de enviar mensagens a partir daí com SPF e DKIM totalmente válidos. Muitas tentativas de BEC funcionam desta forma, razão pela qual um bom filtro também analisa a personificação do nome de exibição, domínios de remetente novos e domínios semelhantes ao seu próprio nome. Monitorizar o registo de domínios semelhantes ao seu permite alertá-lo antes que um deles comece a enviar e-mails.

A quarentena decide se as pessoas irão aceitar um filtro. O e-mail suspeito deve ser retido, não eliminado, e cada utilizador deve ser capaz de ver o que foi retido e libertar uma mensagem real sem ter de abrir um ticket. Os administradores necessitam de uma visão de todo o domínio e do histórico de mensagens para rastrear qualquer reclamação sobre e-mails em falta. O próprio serviço da Microsoft, por exemplo, envia phishing de alta confiança diretamente para uma quarentena exclusiva de administradores por defeito. Decida antecipadamente quem pode libertar o quê.

## O que as regras de remetente do Gmail, Yahoo e Outlook.com significam para o seu domínio

Desde 1 de fevereiro de 2024, as [diretrizes de remetente de e-mail](https://support.google.com/a/answer/81126) da Google exigem que todos os remetentes para contas Gmail configurem SPF ou DKIM, utilizem TLS, tenham DNS de encaminhamento e reverso válidos e mantenham a taxa de spam reportada no Postmaster Tools abaixo de 0,3%. Os remetentes de mais de 5.000 mensagens por dia também devem ter SPF, DKIM e DMARC, com o domínio From: alinhado, e suportar o cancelamento da subscrição com um clique para e-mails de marketing. O [Sender Hub](https://senders.yahooinc.com/best-practices/) do Yahoo estabelece a mesma base: SPF ou DKIM para todos, ambos acrescidos de DMARC de pelo menos p=none para remetentes em massa, uma taxa de spam abaixo de 0,3% e cancelamentos da subscrição respeitados em 2 dias. O Yahoo afirma que não publica um limite de volume para definir quem é considerado um remetente em massa.

A Microsoft seguiu o exemplo para endereços de consumidores da Outlook.com (hotmail.com, live.com, outlook.com). O seu [anúncio de abril de 2025](https://techcommunity.microsoft.com/blog/microsoft-defender-for-office-365-blog/strengthening-email-ecosystem-outlook%E2%80%99s-new-requirements-for-high%E2%80%90volume-senders/4399730) exige que os domínios que enviam mais de 5.000 e-mails por dia passem nos testes de SPF e DKIM e publiquem DMARC de pelo menos p=none, alinhado com SPF ou DKIM. A partir de 5 de maio de 2025, o e-mail não conforme será rejeitado com o erro "550; 5.7.515 Access denied". Para uma empresa típica, isto tem duas consequências. Cada plataforma que envia em nome do seu domínio, como o seu CRM, ferramenta de faturação ou plataforma de marketing, necessita de autenticação alinhada. E uma vez que o DMARC seja aplicado, torna também muito mais difícil falsificar o seu domínio perante os seus próprios clientes. Para envios transacionais e de marketing, o [serviço de e-mail](https://www.broadnet.me/products/email) da BroadNet gere o envio autenticado através de SMTP e API.

## Checklist: escolha de um filtro de e-mail de entrada

1. Funciona à frente da sua plataforma (Microsoft 365, Google Workspace, cPanel/WHM, Exchange) utilizando o método documentado pelo fornecedor, como um conector com Filtragem Avançada ou um gateway de entrada?
2. Verifica SPF, DKIM e DMARC no próprio e-mail de entrada e deteta a personificação do nome de exibição e de domínios semelhantes?
3. Cada utilizador tem uma quarentena pessoal com resumos, além de uma vista de administrador e histórico de mensagens pesquisável?
4. O que acontece se o seu servidor de e-mail falhar? Procure por um período de spooling declarado.
5. O preço é por utilizador ou por domínio, e quais são os limites de volume e tamanho de mensagem incluídos?
6. A configuração regista o seu DNS atual e fornece passos de reversão, e existe algo que monitorize MX, SPF e DMARC para detetar desvios posteriormente?
7. Onde é processado o e-mail, o que é armazenado e durante quanto tempo?
8. Os termos de reembolso, o cancelamento e a forma de rescisão estão descritos antes de assinar?

O e-mail é apenas um canal. Se os seus clientes receberem palavras-passe de utilização única ou alertas por SMS, aplique a mesma disciplina nesse canal. Consulte o nosso [guia de padrões de segurança SMS OTP](https://www.broadnet.me/blog/sms-otp-security-standards-2026) e utilize o [MobileValidate](https://www.broadnet.me/products/mobilevalidate) para verificar números de telemóvel e endereços de e-mail antes de enviar.

## Como o iBlockSpam se integra

O iBlockSpam faz parte da [família de marcas BroadNet](https://www.broadnet.me/brands). De acordo com a sua [página de como funciona](https://iblockspam.com/how-it-works), aponta os seus registos MX para os servidores de filtragem do iBlockSpam, e cada mensagem recebida é verificada quanto a spam, vírus, malware, phishing e spoofing antes que o e-mail limpo seja enviado para o servidor que já utiliza. Os passos são: verificar, configurar, validar e monitorizar. Um assistente guiado apresenta o DNS atual e o novo lado a lado e guarda os passos de reversão. O iBlockSpam não edita o seu DNS por si. Os factos publicados são:

- Funciona com Microsoft 365, Google Workspace, cPanel/WHM, Exchange e outros servidores de e-mail.
- Quarentena pessoal para cada utilizador com resumos agendados, uma quarentena de administração partilhada e 30 dias de histórico de mensagens.
- Se o seu servidor de e-mail estiver em baixo, o e-mail é retido por até 5 dias e entregue quando o servidor estiver novamente operacional.
- Caixas de correio e aliases de domínio ilimitados. Cada domínio inclui 100.000 mensagens de entrada por mês, um tamanho máximo de mensagem de 400 MB e 500 mensagens de retransmissão de saída com assinatura DKIM.
- Monitorização de Lookalike Domains, monitorização de relatórios DMARC e alertas de desvio MX/SPF/DMARC (semanais no Protect, diários no Protect Plus).
- O e-mail é processado nos Estados Unidos.

[Preços](https://iblockspam.com/pricing) por domínio, em USD, excluindo impostos: o **Protect** custa $12 por domínio por mês, faturado anualmente ($144 por ano), ou $15 mensalmente. O **Protect Plus** custa $19 faturado anualmente ($228 por ano) ou $24 mensalmente, e inclui monitorização diária, um relatório mensal para o proprietário e uma sessão de configuração com um especialista. Não existe período de teste gratuito. Em vez disso, a primeira subscrição anual de um domínio tem uma garantia de reembolso de 30 dias. O Email Health Check gratuito analisa os seus seletores MX, SPF, DMARC e DKIM comuns sem necessidade de conta. A abordagem de [segurança](https://www.broadnet.me/security) mais abrangente da BroadNet e o seu [Trust Center](https://www.broadnet.me/trust) cobrem as certificações do grupo.

## Perguntas frequentes

### O filtro de spam integrado da Microsoft 365 é suficiente para uma empresa?

Para algumas organizações, é. A Microsoft 365 inclui proteção anti-spam, anti-malware e anti-phishing para cada caixa de correio na cloud, estando ativa por predefinição. Um gateway separado adiciona uma camada independente à frente da mesma, com a sua própria deteção, quarentenas pessoais, spooling de interrupções e controlos por domínio. Se adicionar um, siga a configuração documentada da Microsoft: um conetor Partner bloqueado com Enhanced Filtering for Connectors ativado.

### O que é um filtro de spam de nível MX?

Um filtro de spam de nível MX é um serviço para o qual os registos MX do seu domínio apontam, pelo que recebe todo o e-mail de entrada antes do seu servidor de correio. Verifica cada mensagem quanto a spam, phishing, malware e spoofing, entrega e-mail limpo à sua plataforma atual e retém e-mail suspeito em quarentena. As suas caixas de correio, aplicações e palavras-passe permanecem as mesmas. Apenas muda a rota que o e-mail percorre para as alcançar.

### O que é Enhanced Filtering for Connectors em Exchange Online?

O Enhanced Filtering for Connectors, também chamado de skip listing, é uma configuração de Microsoft 365 para conectores de entrada que recebem correio de um serviço situado à frente do Exchange Online. Ele ignora o endereço IP do gateway para identificar o remetente original, permitindo que as verificações de SPF, DKIM, DMARC e anti-spoofing da Microsoft avaliem a fonte real. A Microsoft recomenda vivamente a sua utilização sempre que o seu registo MX aponte para um filtro que não seja da Microsoft.

### O SPF, o DKIM e o DMARC impedem e-mails de phishing?

Eles impedem um tipo de phishing: correio que falsifica o seu domínio exato. Com o DMARC em modo de quarentena ou rejeição, os recetores podem bloquear mensagens que utilizem falsamente o seu endereço From:. Eles não impedem domínios semelhantes (lookalike), contas comprometidas de fornecedores reais ou phishing enviado através de contas gratuitas devidamente autenticadas. Para isso, são necessários filtragem de entrada, verificações de personificação e equipas que verifiquem alterações de pagamentos através de um segundo canal.

### O que mudou com as regras de remetentes em massa do Gmail, Yahoo e Outlook.com?

Desde fevereiro de 2024, o Gmail (acima de 5.000 mensagens por dia) e o Yahoo (remetentes em massa, sem um limite publicado) exigem SPF e DKIM, DMARC de pelo menos p=none com alinhamento, cancelamento da subscrição com um clique e taxas de spam abaixo de 0,3%. Desde 5 de maio de 2025, o Outlook.com rejeita correio não conforme de domínios de alto volume com o erro 550 5.7.515. Cada remetente necessita de, pelo menos, SPF ou DKIM.

### Qual é a diferença entre phishing e business email compromise?

O phishing é a categoria ampla: mensagens não solicitadas que personificam uma organização de confiança para roubar credenciais, dinheiro ou dados. O business email compromise é uma fraude direcionada contra empresas que pagam fornecedores ou transferem fundos por transferência bancária, utilizando uma conta de e-mail comprometida ou personificada para redirecionar pagamentos. O relatório IC3 de 2025 do FBI registou 191.561 queixas de phishing/spoofing e 24.768 queixas de BEC, com 3,05 mil milhões de $ em perdas de BEC.

### Um filtro de e-mail irá bloquear mensagens legítimas?

Qualquer filtro pode avaliar incorretamente uma mensagem, pelo que a salvaguarda deve ser a quarentena em vez da eliminação. Procure uma quarentena pessoal com resumos regulares para que os utilizadores possam libertar uma mensagem retida por si próprios, uma quarentena de administração partilhada, listas de remetentes aprovados para contactos conhecidos e histórico de mensagens para rastrear o que aconteceu. O iBlockSpam, por exemplo, oferece cada uma destas funcionalidades e mantém 30 dias de histórico de mensagens.

### Quanto custa o iBlockSpam?

O iBlockSpam é cobrado por domínio com caixas de correio ilimitadas. O Protect custa $12 por domínio por mês, com faturação anual ($144 por ano), ou $15 com faturação mensal. O Protect Plus custa $19 com faturação anual ($228 por ano) ou $24 mensal e inclui monitorização diária de DNS, um relatório mensal para o proprietário e uma sessão de configuração com um especialista. Os preços estão em USD sem impostos. Não existe período de teste gratuito, mas as primeiras subscrições anuais têm uma garantia de reembolso de 30 dias.

Está pronto para saber a situação do seu domínio? Realize o [Email Health Check](https://iblockspam.com/tools/email-health-check) gratuito em [iBlockSpam](https://iblockspam.com/) e compare os planos Protect e Protect Plus. A configuração consiste numa alteração de MX acrescida de passos guiados na plataforma, e as suas caixas de correio permanecem onde estão.