Ligar o Microsoft 365

Módulo 7: Ligar serviços externos · Tempo de leitura: 9 minutos

Objetivo de aprendizagem: Após esta lição, saberá colocar os registos DNS para o Microsoft 365 e verificar se estão corretos.

Conceitos-chave: TXT de verificação (MS=ms...), MX para o Microsoft, include de SPF, CNAME de DKIM (selector1 e selector2), autodiscover, centro de administração

Porque é que o Microsoft 365 precisa de registos

Com o Microsoft 365, o seu e-mail chega ao Microsoft. O seu website pode continuar no seu próprio alojamento. Para essa divisão, o Microsoft precisa de algumas coisas do seu DNS:

1. uma prova de que o domínio é seu (verificação);
2. o local onde o correio chega (MX);
3. autorização para enviar e-mail em nome do seu domínio (SPF);
4. uma assinatura no seu e-mail (DKIM);
5. um registo que permite ao Outlook encontrar automaticamente as definições (autodiscover).

Coloca esses registos na entidade que gere o DNS do seu domínio. Não sabe quem é? Veja os servidores de nomes do seu domínio (lição 2.1). Se alterar noutro local, não acontece nada.

Regra mais importante desta lição: siga sempre o que o centro de administração do Microsoft indicar para o seu domínio. Os exemplos abaixo mostram o aspeto dos registos. Os valores exatos variam consoante o domínio e a subscrição, e o Microsoft por vezes altera o formato.

Passo 1: verificar o domínio

Ao adicionar um domínio no centro de administração do Microsoft 365, recebe um registo TXT com um código:

example.com.   3600   IN   TXT   "MS=ms12345678"

Coloque este registo no domínio raiz (@). Depois, clique em verificar no centro de administração. Se não resultar de imediato, aguarde um quarto de hora e tente novamente: por vezes um resolver ainda tem a resposta antiga em cache (lição 6.1). Este registo TXT pode coexistir com outros registos TXT, incluindo o seu registo SPF (lição 4.2).

Passo 2: o MX para o Microsoft

O registo MX aponta para um servidor de correio associado ao seu domínio. Durante muito tempo, esse foi o nome de domínio com hífenes em vez de pontos, seguido de mail.protection.outlook.com:

example.com.   3600   IN   MX   0 example-com.mail.protection.outlook.com.

As subscrições mais recentes recebem por vezes um endereço que termina em mx.microsoft, por exemplo algo como example-com.x-v1.mx.microsoft. Não é um erro de escrita: .microsoft é um domínio de topo verdadeiro. Qual dos dois recebe é indicado no centro de administração. Copie exatamente, com o ponto final se o seu painel o exigir (lição 2.2).

Há dois erros frequentes aqui:

• Deixar registos MX antigos. Remova os registos MX que apontam para o seu servidor de correio anterior. Se os deixar, parte do seu correio continua a chegar ao local antigo, mesmo com uma prioridade mais alta (lição 4.1).
• Entrega local no seu alojamento. Muitos painéis de alojamento entregam o correio proveniente do seu próprio website (formulário de contacto, loja online) diretamente na caixa de correio no mesmo servidor, se este considerar que o seu correio está alojado aí. No DirectAdmin, essa definição chama-se "Usar este servidor para processar os meus e-mails". Ao apontar o MX para o Microsoft, desative essa entrega local. Caso contrário, os formulários nunca chegam ao Microsoft. Noutros painéis, isto pode chamar-se, por exemplo, "Remote mail exchanger" ou "Desativar correio local".

Passo 3: complementar o SPF, não duplicar

O Microsoft pede que o seu registo SPF contenha:

include:spf.protection.outlook.com

Já tem um registo SPF? Então não crie um segundo, mas sim adicione o include ao registo existente. Dois registos SPF tornam o seu SPF inválido (lição 4.3). Se o seu website enviar correio através do servidor do seu alojamento, mantenha-o também no registo:

example.com.   3600   IN   TXT   "v=spf1 a mx include:spf.hosting.example include:spf.protection.outlook.com ~all"

Atenção ao limite de dez consultas DNS: cada include conta, e os includes do Microsoft também fazem as suas próprias consultas.

Passo 4: DKIM com dois registos CNAME

O Microsoft assina o seu correio com uma chave que fica alojada no Microsoft. Você apenas cria duas referências, como CNAME:

selector1._domainkey.example.com.   3600   IN   CNAME   selector1-example-com._domainkey.example.x-v1.dkim.mail.microsoft.
selector2._domainkey.example.com.   3600   IN   CNAME   selector2-example-com._domainkey.example.x-v1.dkim.mail.microsoft.

Desde maio de 2025, os domínios novos recebem este formato, terminando em dkim.mail.microsoft. A letra antes de -v1 (aqui x) varia consoante a subscrição. Os domínios mais antigos têm muitas vezes ainda o formato que termina em onmicrosoft.com, por exemplo selector1-example-com._domainkey.example.onmicrosoft.com. Ambos funcionam. Também aqui vale a regra: copie os valores a partir do centro de administração (nas definições de DKIM, no portal Defender) e não os invente.

Porquê dois? O Microsoft alterna as chaves de vez em quando (rotação de chaves). Se apenas o selector1 estiver no seu DNS, o DKIM funciona até à primeira alternância e deixa de funcionar de repente. Por isso, crie sempre ambos.

Assim que os registos CNAME estiverem visíveis, ative o DKIM no centro de administração. Um erro comum é criar um registo TXT quando é pedido um CNAME; nesse caso, o Microsoft indica que falta o CNAME.

Atenção ao nome: no seu painel, normalmente só preenche selector1._domainkey. Se escrever o nome completo e o painel acrescentar o domínio automaticamente, obtém selector1._domainkey.example.com.example.com (lição 8.4).

Passo 5: autodiscover

Ao configurar uma conta, o Outlook procura autodiscover.<o seu domínio>. Faça com que esse nome aponte para o Microsoft:

autodiscover.example.com.   3600   IN   CNAME   autodiscover.outlook.com.

Já existe um registo A ou um wildcard que envia autodiscover para o seu servidor web? Um CNAME com o mesmo nome não pode coexistir com outro registo: remova primeiro o registo A para autodiscover. Não precisa de fazer nada em relação a um wildcard (*): um nome individual tem prioridade (lição 3.3).

E o DMARC?

O Microsoft não o pede durante a configuração, mas sem DMARC o correio cai mais facilmente no spam. Se já tiver um registo DMARC, pode mantê-lo. Garanta que o SPF e o DKIM para o Microsoft estão corretamente configurados antes de colocar a política em quarantine ou reject (lição 4.5).

Na prática: o aspeto num painel

No painel de exemplo O meu WebOké, no separador DNS de um domínio, existe um cartão Definições de e-mail com Configuração rápida. Se escolher aí Microsoft 365, vê antecipadamente quais os registos a criar: MX, complemento de SPF e autodiscover, e a entrega local é desativada. O TXT de verificação e os CNAMEs de DKIM são fornecidos pelo próprio Microsoft; adiciona-os separadamente com Adicionar registro. No DirectAdmin, faz o mesmo através de MX Records (modelo Microsoft 365, e a opção de desativar a entrega) e Administração de DNS.

Utiliza outro painel, como cPanel, Plesk, Cloudflare ou o ecrã de DNS do seu registrar? Aí os botões têm nomes diferentes, mas os campos são os mesmos: nome, tipo, valor e TTL. Alguns registrars têm também um botão "Microsoft 365" que cria os registos de uma só vez.

Resumo

• Copie todos os valores a partir do centro de administração do Microsoft 365, não de um exemplo.
• Verificação: TXT MS=ms... em @. MX: o endereço que o Microsoft indica para o seu domínio; remova os registos MX antigos.
• SPF: adicione include:spf.protection.outlook.com ao seu registo existente, não crie um segundo.
• DKIM: dois CNAMEs, selector1 e selector2, ambos necessários devido à rotação de chaves.
• Autodiscover: CNAME para autodiscover.outlook.com, e desative a entrega local no seu alojamento.

Quiz

Exercício

Exercício Z7.1: reconhecer o Microsoft 365. Veja como duas organizações reais utilizam o Microsoft 365: microsoft.com e sidn.nl.

1. Procure o registo MX de sidn.nl e de microsoft.com. Qual dos dois utiliza o formato antigo (mail.protection.outlook.com) e qual utiliza o novo (mx.microsoft)?
2. Procure, no registo SPF de sidn.nl, o include do Microsoft e copie-o.
3. Procure o registo CNAME de selector1._domainkey.sidn.nl. Em que palavra termina o nome de destino (os últimos dois rótulos)?

Introduza as suas respostas no campo de preenchimento. A verificação consulta os registos em tempo real no momento da entrega, por isso, se a organização alterar algo, conta a nova resposta.

Exercício O7.1: configurar você mesmo na sua zona de treino. Ligue a sua zona de treino <code>.dnspractice.eu a um Microsoft 365 simulado. Na zona de treino, utiliza o serviço fictício office-demo.dnspractice.eu; no seu domínio real, copia os valores a partir do centro de administração do Microsoft 365.

1. Verificação: coloque um registo TXT em <code>.dnspractice.eu com o código que a página do exercício lhe fornece (MS=oefen-<code>-<...>).
2. MX: faça com que <code>.dnspractice.eu receba correio em mail.protection.office-demo.dnspractice.eu. com prioridade 0. Remova outros registos MX em <code>.dnspractice.eu.
3. SPF: complete o registo SPF existente em <code>.dnspractice.eu com include:_spf.office-demo.dnspractice.eu, e mantenha mx nele. Só pode existir um registo SPF.
4. DKIM: crie um CNAME selector1._domainkey.<code>.dnspractice.eu para selector1.dkim.office-demo.dnspractice.eu. e um CNAME selector2._domainkey.<code>.dnspractice.eu para selector2.dkim.office-demo.dnspractice.eu.
5. Autodiscover: crie um CNAME autodiscover.<code>.dnspractice.eu para autodiscover.office-demo.dnspractice.eu.

Para saber mais

Estas páginas descrevem os passos nos painéis do WebOké (DirectAdmin e O meu WebOké). Noutros painéis funciona da mesma forma.

• Manual DirectAdmin 5.10: E-mail no Microsoft 365 ou Google Workspace, website na WebOké
• Manual do WebOké 5.6: Configurar rapidamente o e-mail no DNS
• O seu e-mail noutro local: Microsoft 365, Google Workspace ou um servidor de correio próprio
• Não consigo enviar e-mail via PHP: os registos MX apontam para outro lado
• Manual DirectAdmin 5.7: Configurar e complementar o SPF