# Como travar e-mails de phishing no Microsoft 365 e no Google Workspace: definições de administrador e quando adicionar um gateway

> O Microsoft 365 e o Google Workspace já filtram o correio eletrónico, mas as proteções fundamentais estão desativadas por predefinição. Este guia lista as definições exatas a ativar, com links para a documentação da Microsoft e da Google. Mostra também quando e como adicionar um filtro de gateway, como o iBlockSpam, à frente, e como bloquear a entrega direta.

- URL canônico: https://www.broadnet.me/pt/blog/stop-spam-phishing-microsoft-365-google-workspace-2026
- Idioma: pt
- Última atualização: 2026-11-08
- Editor: BroadNet (https://www.broadnet.me)

- Publicado em: 2026-11-08
- Autor: BroadNet Editorial Team

Para travar e-mails de phishing no Microsoft 365, ative as **políticas de segurança predefinidas Standard ou Strict**, adicione à proteção contra personificação as pessoas e domínios que os atacantes têm maior probabilidade de falsificar, mantenha a Safe Links ativa e forneça aos utilizadores o botão de Denúncia integrado. No Google Workspace, ative as definições avançadas de phishing e malware da Gmail e publique SPF, DKIM e DMARC. Se ainda passar demasiado conteúdo, coloque um gateway MX como o [iBlockSpam](https://iblockspam.com/?utm_source=broadnet.me&utm_medium=blog&utm_campaign=stop-spam-phishing-microsoft-365-google-workspace-2026) à frente e bloqueie a entrega direta.

> Factos verificados nas respetivas fontes a 8 de novembro de 2026. As definições do Microsoft 365 provêm do Microsoft Learn. As definições do Gmail provêm da Ajuda de Administrador da Google Workspace. As regras de encaminhamento de correio eletrónico provêm dos RFCs do IETF. Cada fonte está ligada no texto. Os factos sobre o iBlockSpam provêm do seu próprio website. Os menus e as licenças mudam, por isso verifique a página ligada antes de alterar um tenant ativo.

| Tarefa | Microsoft 365 | Google Workspace |
|---|---|---|
| Política de base | Política de segurança predefinida Standard ou Strict | Definições de segurança do Gmail com "Aplicar definições recomendadas futuras automaticamente" |
| Remetentes semelhantes | Proteção contra personificação (Plano Defender for Office 365 1 ou 2) | Definições de spoofing e autenticação no Gmail Safety |
| Links maliciosos | Safe Links (Defender for Office 365) | Definições de links e imagens externas no Gmail Safety |
| Anexos maliciosos | Safe Attachments (Defender for Office 365) | Definições de anexos e Security Sandbox (algumas edições) |
| E-mails retidos | Quarentena com políticas de quarentena (15 a 30 dias) | Pasta de spam ou quarentena de administrador para ações selecionadas |
| Gateway à frente | Conetor de entrada do parceiro mais Enhanced Filtering for Connectors | Definição de gateway de entrada com "Detetar automaticamente IP externo" |
| Bloquear bypass | Restringir o conetor ao certificado ou IPs do gateway | "Rejeitar todo o correio que não venha dos IPs do gateway" |

## O que protege as suas caixas de correio antes de alterar qualquer coisa?

Ambas as plataformas já filtram o correio de entrada. A questão é quais as proteções extra que a sua licença inclui e quais estão desativadas.

A Microsoft descreve uma **escada de proteção** de três etapas na sua [visão geral Defender for Office 365](https://learn.microsoft.com/en-us/defender-office-365/mdo-about). As funcionalidades de segurança integradas para todas as caixas de correio na nuvem (frequentemente chamadas de Exchange Online Protection, ou EOP) bloqueiam ataques amplos e conhecidos. O **Defender for Office 365 Plan 1** adiciona proteção contra personificação, limites de phishing, Safe Links e Safe Attachments. A Microsoft lista Microsoft 365 Business Premium e Microsoft 365 E3 como exemplos que incluem o Plan 1. O **Plan 2** (por exemplo, no Microsoft 365 E5) adiciona formação de simulação de ataques e investigação automatizada.

Em Google Workspace, as proteções encontram-se em **Apps > Google Workspace > Gmail**, nas páginas de **Segurança** e **Spam, Phishing e Malware**. Algumas funcionalidades dependem da sua edição.

Para uma visão mais abrangente (por que razão o e-mail continua a ser a principal via de entrada e como funciona o encaminhamento MX), leia o nosso [guia de proteção de e-mail empresarial](https://www.broadnet.me/blog/business-email-spam-phishing-protection-guide-2026).

## Como interromper e-mails de phishing em Microsoft 365?

Comece com a base recomendada pela própria Microsoft e, em seguida, adicione as proteções que não estão ativadas por predefinição. Trabalhe no portal Microsoft Defender em security.microsoft.com.

1. **Ative uma política de segurança predefinida.** Vá a **Email & colaboração > Políticas e regras > Políticas de ameaças > Políticas de segurança predefinidas**. A [página de políticas de segurança predefinidas da Microsoft](https://learn.microsoft.com/en-us/defender-office-365/preset-security-policies) descreve o **Standard** como uma base para a maioria dos utilizadores e o **Strict** como um perfil mais agressivo para alvos de alto valor. A maioria das definições é fixa, e o Strict é sempre aplicado primeiro, seguido do Standard e, depois, de quaisquer políticas personalizadas.
2. **Adicione pessoas e domínios à proteção contra personificação.** As predefinições protegem os seus domínios aceites automaticamente, mas deve indicar os nomes das pessoas. Pode adicionar até 350 utilizadores e 50 domínios personalizados nas predefinições Standard ou Strict. Adicione executivos, pessoal financeiro e fornecedores principais. A [Microsoft observa](https://learn.microsoft.com/en-us/defender-office-365/anti-phishing-policies-about) que um domínio semelhante (look-alike) pode passar por SPF, DKIM e DMARC, razão pela qual este passo é importante.
3. **Verifique o limite de phishing nas políticas personalizadas.** Nas políticas anti-phishing de Defender for Office 365, o limite varia de 1 (Standard, o predefinido) a 4 (Mais agressivo). Valores mais elevados também sinalizam mais e-mails legítimos.
4. **Mantenha a inteligência de spoof ativa e respeite o DMARC.** A inteligência de spoof e a primeira dica de segurança de contacto estão disponíveis para todas as caixas de correio na nuvem. A definição **Respeitar a política de registo DMARC** permite-lhe colocar em quarentena ou rejeitar e-mails que não cumpram a política p=quarantine ou p=reject de um remetente.
5. **Confirme que o Safe Links está ativo.** O [Safe Links](https://learn.microsoft.com/en-us/defender-office-365/safe-links-about) verifica URLs durante o fluxo de e-mail e volta a verificá-las quando um utilizador clica. Se tiver pelo menos uma licença Defender for Office 365, a predefinição de proteção integrada aplica Safe Links a qualquer pessoa não coberta por outra política. Mantenha a opção **Permitir que os utilizadores cliquem para o URL original** desativada.
6. **Ative o botão de Denúncia.** Nas **definições de denúncia do utilizador**, ative o botão de **Denúncia** integrado. De acordo com o [guia de denúncia da Microsoft](https://learn.microsoft.com/en-us/defender-office-365/submissions-outlook-report-messages), os utilizadores podem então denunciar phishing a partir das aplicações Outlook compatíveis, e as denúncias são enviadas para a Microsoft, para uma caixa de correio de denúncias, ou para ambos.
7. **Execute o analisador de configuração.** O [analisador de configuração](https://learn.microsoft.com/en-us/defender-office-365/configuration-analyzer-for-security-policies) compara as suas políticas com as definições Standard e Strict e lista todas as definições mais fracas.

### quarentena Microsoft 365: o que os utilizadores podem e não podem libertar

De acordo com a [visão geral de quarentena da Microsoft](https://learn.microsoft.com/en-us/defender-office-365/quarantine-about), o malware e o phishing de alta confiança são sempre colocados em quarentena, e apenas os administradores os podem libertar. Por defeito, os utilizadores podem gerir as suas próprias deteções de spam, comunicações em massa, phishing e spoofing. As **políticas de quarentena** definem o que os utilizadores podem fazer e se recebem notificações. O spam retido pela política predefinida expira após **15 dias** (ajustável de 1 a 30); as definições predefinidas retêm-no durante **30 dias**. Ative as notificações para que o correio pretendido seja libertado antes de ser eliminado.

## Como interromper o spam e o phishing em Google Workspace?

Em Gmail, os maiores ganhos provêm das definições avançadas de Segurança e da autenticação do seu próprio domínio. Necessita do privilégio de administrador das definições Gmail.

1. **Abra a Segurança Gmail.** Vá a **Apps > Google Workspace > Gmail > Segurança**. A [página de proteção avançada contra phishing e malware](https://knowledge.workspace.google.com/admin/gmail/advanced/advanced-phishing-and-malware-protection) da Google agrupa os controlos em três áreas: anexos, links e imagens externas, e spoofing e autenticação.
2. **Ative cada proteção e escolha uma ação.** A ação predefinida é "Manter o e-mail na caixa de entrada e mostrar aviso". Em alternativa, pode mover o e-mail para spam ou enviá-lo para uma quarentena de administrador, onde os utilizadores não recebem qualquer aviso.
3. **Selecione "Aplicar definições recomendadas futuras automaticamente"** em cada área, para que as novas proteções da Google sejam ativadas para si.
4. **Ative a verificação de mensagens pré-entrega reforçada.** Em **Spam, Phishing e Malware**, esta definição [atrasa brevemente as mensagens suspeitas](https://knowledge.workspace.google.com/admin/security/help-prevent-phishing-with-pre-delivery-message-scanning) para que a Gmail possa realizar verificações extra antes da entrega.
5. **Ative o Security Sandbox se a sua edição o incluir.** O [Security Sandbox](https://knowledge.workspace.google.com/admin/gmail/advanced/set-up-rules-to-detect-harmful-attachments) abre anexos num ambiente virtual. Está desativado por predefinição, pode atrasar a entrega em até 3 minutos e está disponível nas edições Business Standard, Business Plus, Enterprise e Frontline Plus.
6. **Aplique as definições ao nível da organização principal** para que todos os utilizadores estejam protegidos. As alterações podem demorar até 24 horas.

## A implementação de SPF, DKIM e DMARC no seu domínio impede o phishing de entrada?

Impedem que os atacantes enviem mensagens utilizando o seu domínio exato. Não impedem domínios semelhantes ou contas externas comprometidas.

- **SPF** ([RFC 7208](https://www.rfc-editor.org/rfc/rfc7208)) lista os servidores autorizados a enviar em nome do seu domínio. Consulte o [guia de SPF](https://knowledge.workspace.google.com/admin/security/set-up-spf) da Google para obter o valor do Workspace.
- **DKIM** ([RFC 6376](https://www.rfc-editor.org/rfc/rfc6376)) assina cada mensagem. Em Google Workspace, gere a chave em **Gmail > Authenticate email**, publique-a e clique em **Start authentication** (o [guia de DKIM](https://knowledge.workspace.google.com/admin/security/set-up-dkim) da Google recomenda 2048 bits).
- **DMARC** ([RFC 7489](https://www.rfc-editor.org/rfc/rfc7489)) indica aos recetores o que fazer quando ambas as verificações falham. O [guia de DMARC](https://knowledge.workspace.google.com/admin/security/set-up-dmarc) da Google recomenda aguardar 48 horas após SPF ou DKIM, começar com p=none e depois passar para quarantine ou reject.

Um gateway de entrada não altera o seu registo SPF. Adicione um serviço ao SPF apenas se enviar correio de **saída** através dele.

## Quando deve adicionar um filtro de spam de terceiros à frente de Microsoft 365 ou Google Workspace?

Adicione um gateway quando o ajuste do filtro integrado já não resolver o problema, ou quando necessitar de funcionalidades que ele não oferece. É uma segunda camada, não um substituto.

A Microsoft é direta quanto às compensações. O seu guia sobre [integração de serviços de segurança não Microsoft](https://learn.microsoft.com/en-us/defender-office-365/mdo-integrate-security-service) indica que a adição de produtos implica mais custos, maior complexidade e mais falsos positivos. Também afirma que "a proteção total nunca chega aos 100 por cento". Motivos comuns para adicionar um gateway de qualquer forma:

- O spam ou phishing continua a chegar às caixas de entrada mesmo após aplicar as definições Standard ou Strict.
- A sua licença não inclui Defender for Office 365 e os complementos por utilizador custam mais do que o seu orçamento permite.
- Deseja uma única quarentena e um conjunto de regras para vários domínios ou plataformas de e-mail, com uma quarentena pessoal simples para cada utilizador.

A Microsoft suporta totalmente a configuração em que o MX aponta para o gateway e o Enhanced Filtering for Connectors está ativo. Recomenda evitar o encaminhamento de ida e volta (in-and-out routing), onde o e-mail sai de Microsoft 365 para análise e depois regressa.

## Como adicionar um filtro de gateway à frente do Microsoft 365?

Crie um conector de entrada de Parceiro (Partner inbound connector), ative a Filtragem Avançada (Enhanced Filtering), mova o MX e, em seguida, bloqueie o tenant para que apenas o gateway possa efetuar a entrega. A ordem é importante.

1. **Reduza o TTL do MX** para cerca de 300 segundos um dia antes da alteração.
2. **Crie um conector de entrada de Parceiro** no centro de administração do Exchange (**Mail flow > Connectors**), para todos os domínios de remetente (*), exigindo TLS. Deixe as restrições desativadas por agora.
3. **Ative o Enhanced Filtering for Connectors** em security.microsoft.com/skiplisting. Sem ele, [a Microsoft explica](https://learn.microsoft.com/en-us/exchange/mail-flow-best-practices/use-connectors-to-configure-mail-flow/enhanced-filtering-for-connectors), todas as mensagens parecem vir do IP do gateway, pelo que as verificações de spoofing perdem precisão. Introduza os intervalos de IP do gateway ou escolha "Automatically detect and skip the last IP address" para um único salto. Um projeto-piloto com alguns utilizadores deve listar todos os endereços de cada destinatário.
4. **Altere o registo MX** para os hosts do gateway. Não mantenha o MX da Microsoft como backup. A [secção 5.1 da RFC 5321](https://www.rfc-editor.org/rfc/rfc5321#section-5.1) prevê que os remetentes recorram a outros hosts MX listados, permitindo que spammers visem o backup diretamente.
5. **Bloqueie o conector** assim que o antigo TTL tiver passado. O [guia de encaminhamento de nuvem de terceiros](https://learn.microsoft.com/en-us/exchange/mail-flow-best-practices/manage-mail-flow-using-third-party-cloud) da Microsoft recomenda restringir o conector do Parceiro através do certificado TLS do gateway (preferencial) ou de endereços IP. O e-mail enviado diretamente para o seu tenant será então rejeitado.
6. **Remova qualquer regra de bypass de SCL -1.** A Microsoft define o SCL -1 como "uma entrada para filtragem, não uma decisão final" e alerta que contornar os IPs do gateway partilhado pode permitir a passagem de e-mails de phishing e falsificados.
7. **Desative a reescrita de links no gateway** se utilizar Safe Links. A Microsoft alerta que o duplo encapsulamento de links pode impedir que o Safe Links verifique os links.

A configuração de opt-in **RejectDirectSend** da Microsoft ([anúncio](https://techcommunity.microsoft.com/blog/exchange/introducing-more-control-over-direct-send-in-exchange-online/4408790)) também bloqueia mensagens anónimas que utilizem os seus próprios domínios como remetente. Mova primeiro os scanners e aplicações que utilizam Direct Send.

## Como adicionar um filtro de gateway à frente de Google Workspace?

Em Gmail, a configuração principal é **Inbound gateway**. Esta indica ao Gmail quais os IPs a ignorar para que possa avaliar o verdadeiro remetente.

1. **Reduza o TTL do MX** com um dia de antecedência.
2. **Ative o Inbound gateway** em **Apps > Google Workspace > Gmail > Spam, Phishing and Malware** na organização de nível superior. O [guia de inbound gateway](https://knowledge.workspace.google.com/admin/gmail/advanced/set-up-an-inbound-mail-gateway) da Google lista todas as opções.
3. **Adicione os IPs do gateway.** Apenas IPs públicos são aceites. Liste todos os gateways pelos quais o e-mail passa.
4. **Selecione "Detetar automaticamente o IP externo"** para que o Gmail utilize o IP do remetente original para SPF.
5. **Selecione "Exigir TLS para ligações"** e guarde. Mantenha a opção "Desativar avaliação de spam de Gmail" desativada, para que o Gmail permaneça como uma segunda camada.
6. **Aguarde a aplicação da configuração** (até 24 horas) e, em seguida, altere o MX para os hosts do gateway. Não mantenha o MX do Google como redundância.
7. **Selecione "Rejeitar todos os e-mails que não sejam de IPs do gateway"** após a expiração do antigo TTL e quando os e-mails de teste chegarem através do gateway.

Um limite a ter em conta: o Google afirma que "o Gmail não aplica a política de DMARC do remetente para mensagens que chegam através do gateway de entrada". O seu gateway deve tratar das verificações de spoofing para esse e-mail.

Antes de bloquear qualquer configuração, envie uma mensagem de teste de uma conta externa e leia os seus cabeçalhos. O salto imediatamente anterior ao Microsoft 365 ou Gmail deve ser o gateway, e o SPF deve indicar o IP do remetente original. Para reverter, remova primeiro o bloqueio e, em segundo lugar, aponte o MX de volta, caso contrário o tenant rejeitará o e-mail que chegue diretamente.

## Como o iBlockSpam faz isto

[iBlockSpam](https://iblockspam.com/?utm_source=broadnet.me&utm_medium=blog&utm_campaign=stop-spam-phishing-microsoft-365-google-workspace-2026) é uma marca do Grupo BroadNet (consulte [todas as nossas marcas](https://www.broadnet.me/brands)). É um filtro de entrada que funciona ao nível do MX. Deve apontar os registos MX do seu domínio para os seus servidores de filtragem. Cada mensagem é verificada quanto a spam, vírus, malware, phishing e spoofing. O e-mail limpo segue para a plataforma que já utiliza: Microsoft 365, Google Workspace, cPanel/WHM, Exchange ou outro servidor. As caixas de correio não são movidas ([como funciona](https://iblockspam.com/how-it-works?utm_source=broadnet.me&utm_medium=blog&utm_campaign=stop-spam-phishing-microsoft-365-google-workspace-2026)).

Eis o que o website do iBlockSpam afirma sobre o produto:

- **Preços por domínio.** O Protect custa 12 $ por domínio por mês, com faturação anual (144 $ por ano), ou 15 $ mensalmente. O Protect Plus custa 19 $ por domínio por mês, com faturação anual (228 $ por ano), ou 24 $ mensalmente. Os preços na [página de preços](https://iblockspam.com/pricing?utm_source=broadnet.me&utm_medium=blog&utm_campaign=stop-spam-phishing-microsoft-365-google-workspace-2026) são preços beta em USD, sem impostos.
- **Todas as caixas de correio incluídas.** As caixas de correio e os aliases de domínio num domínio não têm cobrança por caixa de correio. Cada domínio inclui 100.000 mensagens de entrada por mês e um tamanho máximo de mensagem de 400 MB.
- **Quarentena pessoal para cada utilizador**, com resumos por e-mail de hora em hora, diariamente, num dia da semana escolhido ou num horário personalizado. Os administradores também têm acesso a uma quarentena de domínio partilhada. Consulte [quarentena e resumos](https://iblockspam.com/features/quarantine-and-digests?utm_source=broadnet.me&utm_medium=blog&utm_campaign=stop-spam-phishing-microsoft-365-google-workspace-2026).
- **Filtros e listas.** Filtros geográficos, de tipo de anexo e de macros do Microsoft Office, regras de domínio personalizadas e listas de permissões e bloqueios com verificação de remetente.
- **Configuração guiada.** Um assistente apresenta o seu DNS atual e os novos valores lado a lado, e regista os passos para reversão. A [página de configuração Microsoft 365](https://iblockspam.com/platforms/microsoft-365?utm_source=broadnet.me&utm_medium=blog&utm_campaign=stop-spam-phishing-microsoft-365-google-workspace-2026) abrange o conector Partner, a Filtragem Avançada e o bloqueio do conector. A [página de configuração Google Workspace](https://iblockspam.com/platforms/google-workspace?utm_source=broadnet.me&utm_medium=blog&utm_campaign=stop-spam-phishing-microsoft-365-google-workspace-2026) abrange a configuração do gateway de entrada.
- **Spooling em caso de interrupção.** Se o seu servidor de correio estiver em baixo, o correio é retido por até 5 dias. O histórico de mensagens é mantido durante 30 dias.
- **Monitorização.** Alertas de desvio para MX, SPF e DMARC (semanalmente no Protect, diariamente no Protect Plus), monitorização de relatórios DMARC e o Lookalike Domain Watch diário. O Protect Plus adiciona um relatório mensal para o proprietário e uma sessão de configuração com um especialista.

O site também é claro quanto aos limites. Não existe período de teste gratuito; em vez disso, a primeira subscrição anual de um domínio tem uma garantia de reembolso de 30 dias. As taxas mensais não são reembolsáveis. O correio é processado nos Estados Unidos. Nenhum filtro deteta tudo, pelo que algum spam poderá passar e algum correio pretendido poderá ser retido. O Lookalike Domain Watch deteta domínios semelhantes, mas não os pode remover. O DMARC monitoriza, mas não bloqueia o correio.

O phishing também chega por mensagem de texto; consulte o nosso [guia de defesa contra smishing](https://www.broadnet.me/blog/smishing-defense-sms-phishing-protection). Para o envio de correio transacional, consulte o [serviço de e-mail](https://www.broadnet.me/products/email) da BroadNet.

**Está pronto para saber a situação do seu domínio?** Execute o [Email Health Check](https://iblockspam.com/tools/email-health-check?utm_source=broadnet.me&utm_medium=blog&utm_campaign=stop-spam-phishing-microsoft-365-google-workspace-2026) gratuito para ler os seus registos MX, SPF, DKIM e DMARC, compare depois os planos na [página de preços iBlockSpam](https://iblockspam.com/pricing?utm_source=broadnet.me&utm_medium=blog&utm_campaign=stop-spam-phishing-microsoft-365-google-workspace-2026) e [crie a sua conta](https://iblockspam.com/signup?utm_source=broadnet.me&utm_medium=blog&utm_campaign=stop-spam-phishing-microsoft-365-google-workspace-2026) para iniciar a configuração guiada para Microsoft 365 ou Google Workspace.

## Perguntas frequentes

### Quais são as políticas de segurança predefinidas Standard e Strict no Microsoft 365?

São os perfis de proteção prontos a utilizar da Microsoft para e-mail. O Standard é uma base para a maioria dos utilizadores. O Strict é mais agressivo e adequa-se a alvos de alto valor, como executivos e pessoal financeiro. A maioria das definições não pode ser editada. Onde o Defender for Office 365 tem licença, estas também cobrem Safe Links, Safe Attachments e a proteção contra personificação. Ative-as no portal Microsoft Defender, em Threat policies.

### Preciso do Defender for Office 365 para travar o phishing no Microsoft 365?

Não para proteção básica. Todas as caixas de correio na cloud recebem anti-spam, anti-malware, inteligência de spoofing e quarentena. A proteção contra personificação, os limiares de phishing, o Safe Links e o Safe Attachments requerem o Defender for Office 365 Plan 1 ou Plan 2. A Microsoft lista o Microsoft 365 Business Premium e o E3 como exemplos que incluem o Plan 1, e o E5 como exemplo que inclui o Plan 2. O Defender for Office 365 também é vendido como um add-on.

### Durante quanto tempo o Microsoft 365 retém o e-mail em quarentena?

Depende do motivo pelo qual a mensagem foi retida. O spam colocado em quarentena pela política anti-spam predefinida é mantido durante 15 dias, e os administradores podem definir de 1 a 30 dias. As políticas predefinidas Standard e Strict mantêm-no durante 30 dias. Após o período de retenção, as mensagens são eliminadas permanentemente e não podem ser recuperadas.

### Quais definições do Gmail deve um administrador Google Workspace ativar contra o phishing?

No console de administração, aceda a Apps, Google Workspace, Gmail e Safety. Ative as proteções de anexos, links e imagens externas, bem como as de spoofing e autenticação, e selecione Apply future recommended settings automatically. Em Spam, Phishing and Malware, ative o enhanced pre-delivery message scanning e o Security Sandbox, se a sua edição o incluir. Aplique as definições ao nível da organização para que todos os utilizadores estejam protegidos.

### Posso adicionar um filtro de spam de terceiros ao Google Workspace?

Sim. Primeiro, adicione os intervalos de IP públicos do serviço de filtragem na definição Inbound gateway, em Spam, Phishing and Malware, e selecione Automatically detect external IP e Require TLS. Depois, aponte os seus registos MX para o serviço. Assim que o correio passar por ele, selecione Reject all mail not from gateway IPs. O Google não aplica a política de DMARC do remetente para o correio via gateway, pelo que o gateway deve verificar o spoofing.

### O que é que deixa de funcionar se eu bloquear Microsoft 365 para aceitar apenas correio de um gateway?

Qualquer elemento que entregue diretamente no seu tenant deixará de funcionar. Isto inclui scanners, impressoras e aplicações de negócio que utilizam Direct Send para o host mail.protection.outlook.com. Mova-os primeiro para submissão SMTP autenticada ou para o seu próprio conetor. Bloqueie o conetor apenas após o TTL do antigo MX ter expirado e após confirmar que o correio de teste chega através do gateway.

### Um filtro de gateway substitui a filtragem de spam de Microsoft 365 ou Gmail?

Não. O gateway atua à frente como uma primeira camada. O Microsoft 365 faz sempre a análise do correio recebido e, com o Enhanced Filtering for Connectors, avalia o remetente original em vez do gateway. O Gmail também continua a analisar, a menos que desative a sua avaliação de spam para o correio do gateway, o que geralmente não é recomendado. Duas camadas captam mais, mas aumentam o custo.