São oito e meia da manhã e já há um ticket no helpdesk. Um cliente diz que enviou um orçamento, mas o destinatário não o recebeu. O e-mail está na pasta de spam. Vamos ao cPanel, abrimos os filtros e encontramos uma série de códigos como RDNS_NONE, SPF_FAIL e DKIM_INVALID, acompanhados de números que parecem ter sido escolhidos para complicar a vida a quem administra o servidor.
A primeira reacção costuma ser aumentar ou diminuir pontuações até o problema desaparecer. É uma solução rápida, pelo menos até aparecer o próximo ticket.
O Apache SpamAssassin, utilizado para analisar mensagens de correio electrónico, funciona através de um sistema de regras e pontuações. Cada regra procura determinados sinais de spam. No final, a soma dos resultados ajuda a decidir se uma mensagem deve ser considerada suspeita.
Perceber este mecanismo permite reduzir o spam sem transformar a caixa de correio num sistema de segurança que bloqueia tudo, incluindo os clientes.
Como funciona o filtro de spam do cPanel
O cPanel disponibiliza ferramentas para activar e configurar a filtragem de spam. A interface exacta depende da versão instalada e das opções disponibilizadas pelo administrador do servidor através do WHM.
O SpamAssassin analisa características da mensagem, como os cabeçalhos, a autenticação do remetente, o conteúdo e a informação disponível sobre os servidores envolvidos no envio. Aplica regras e calcula uma pontuação final, habitualmente designada por spam score.
Imaginemos uma mensagem que recebe uma pontuação de 6,2. Se o limite estiver configurado para 5,0, a mensagem ultrapassa esse valor e pode ser classificada como spam.
O limite, também conhecido como Spam Threshold Score, define o nível a partir do qual uma mensagem passa a ser considerada suspeita. Quanto mais baixo for, mais sensível será o filtro. Isto significa que poderá detectar mais spam, mas também aumenta a possibilidade de classificar mensagens legítimas de forma incorrecta.
Há uma diferença entre identificar spam e decidir o que fazer com ele. No cPanel, as opções disponíveis podem permitir mover as mensagens suspeitas para uma pasta de spam ou eliminá-las automaticamente. A disponibilidade destas funcionalidades depende da configuração do servidor.
A minha recomendação é simples. Começar por colocar as mensagens suspeitas numa pasta separada e acompanhar os resultados. A eliminação automática pode parecer uma boa ideia até desaparecer um pedido de orçamento que ninguém se lembrou de procurar.
O que são os shortcodes e os scores do SpamAssassin
Quando se fala em shortcodes do SpamAssassin, estamos normalmente a referir-nos aos identificadores das regras que o sistema aplica durante a análise de uma mensagem.
RDNS_NONE, por exemplo, indica que foi detectada a ausência de resolução DNS inversa nas condições previstas por essa regra. Já SPF_FAIL identifica uma falha na verificação SPF.
Cada regra tem uma pontuação associada. As pontuações positivas aumentam a suspeita de spam, enquanto as negativas podem reduzi-la. Algumas regras têm um valor reduzido porque identificam sinais fracos. Outras podem contribuir de forma mais significativa para a classificação.
Não existe, contudo, uma tabela universal de pontuações aplicável a todas as instalações. Os valores dependem da versão do SpamAssassin, das regras activas, da configuração local e das actualizações instaladas.
Para perceber o que aconteceu a uma mensagem concreta, convém consultar os cabeçalhos do e-mail. Dependendo do webmail utilizado, poderá existir uma opção como «Mostrar original», «Ver fonte» ou «Ver cabeçalhos».
Um exemplo hipotético de cabeçalhos seria o seguinte.
X-Spam-Status: Yes, score=6.2 required=5.0
tests=RDNS_NONE:1.0,HTML_MESSAGE:0.0,
SPF_FAIL:3.0,DKIM_INVALID:2.2
X-Spam-Score: 6.2Neste exemplo ilustrativo, a mensagem obteve uma pontuação de 6,2, ultrapassando o limite de 5,0. Os valores atribuídos às regras são fictícios e servem apenas para demonstrar a leitura dos cabeçalhos.
A informação apresentada permite perceber quais as regras que contribuíram para o resultado. É um ponto de partida muito melhor do que alterar configurações às cegas.
Principais shortcodes do SpamAssassin
Algumas regras merecem atenção especial quando estamos a diagnosticar problemas de entrega de correio electrónico.
A regra RDNS_NONE está relacionada com a ausência de resolução DNS inversa do endereço IP do servidor que envia a mensagem. Em muitos ambientes, os servidores de correio legítimos têm um registo PTR correctamente configurado. A sua ausência pode ser um sinal suspeito, mas não prova que a mensagem seja spam.
FREEMAIL_FROM identifica situações em que o remetente utiliza um serviço de correio electrónico gratuito, como Gmail ou Outlook.com, nas condições previstas pela regra. Este comportamento é perfeitamente normal quando uma pessoa envia uma mensagem pessoal. Pode tornar-se mais suspeito quando aparece associado a outros sinais, por exemplo, numa mensagem que afirma ter sido enviada em nome de uma empresa.
A regra HTML_MESSAGE identifica mensagens que contêm conteúdo HTML. É habitual em newsletters, mensagens comerciais e notificações automáticas. Por si só, não constitui uma razão sólida para classificar uma mensagem como spam.
Já MISSING_HEADERS identifica a ausência de determinados cabeçalhos esperados pela regra. O resultado depende do cabeçalho em falta e do contexto da mensagem. Não convém assumir que todos os e-mails com esta indicação são fraudulentos.
As regras relacionadas com DKIM e SPF merecem uma análise mais cuidadosa. DKIM_INVALID indica que a assinatura DKIM foi considerada inválida. Isto pode acontecer por problemas na assinatura, alterações ao conteúdo da mensagem ou erros de configuração. Não significa automaticamente que o remetente seja malicioso.
Por outro lado, DKIM_VALID indica que a assinatura passou as verificações correspondentes. É um sinal favorável, embora não garanta que a mensagem seja legítima. Um remetente malicioso também pode utilizar um domínio correctamente configurado.
A regra SPF_FAIL indica que o endereço IP que enviou a mensagem não está autorizado pelo registo SPF do domínio, segundo a avaliação efectuada. Pode ser um sinal relevante, mas também pode resultar de uma configuração incorrecta ou de um sistema de envio que não foi incluído no registo.
SPF_SOFTFAIL representa uma situação menos conclusiva. O domínio indica que o servidor não deveria estar a enviar a mensagem, mas não utiliza uma política que produza uma falha definitiva. É um sinal a investigar, não uma sentença.
Por fim, RCVD_IN_BL_SPAMCOP_NET está associada à presença do endereço IP de envio numa lista de bloqueio do SpamCop. A relevância depende do contexto, da informação disponível e da configuração das regras. Os endereços IP podem ser afectados por problemas de reputação ou por comportamentos de terceiros, sobretudo em infraestruturas partilhadas.
Tabela de referência das regras
| Regra | Significado | Score sugerido | Recomendação |
|---|---|---|---|
RDNS_NONE | Ausência de resolução DNS inversa nas condições previstas | Manter o valor predefinido | Verificar o PTR do servidor de envio antes de aumentar a pontuação |
FREEMAIL_FROM | Remetente associado a um serviço de e-mail gratuito | Manter o valor predefinido | Não penalizar excessivamente mensagens pessoais ou legítimas |
HTML_MESSAGE | Mensagem com conteúdo HTML | Manter o valor predefinido | Não tratar o HTML como prova de spam |
MISSING_HEADERS | Ausência de determinados cabeçalhos | Manter o valor predefinido | Investigar o cabeçalho em falta e o contexto |
DKIM_INVALID | Assinatura DKIM inválida | Manter o valor predefinido | Verificar a assinatura e a configuração do domínio |
DKIM_VALID | Assinatura DKIM válida | Manter o valor predefinido | Preservar o comportamento definido pelas regras instaladas |
SPF_FAIL | Falha na verificação SPF | Manter o valor predefinido | Confirmar se o servidor de envio está autorizado |
SPF_SOFTFAIL | Resultado SPF de falha não definitiva | Manter o valor predefinido | Investigar antes de penalizar fortemente |
RCVD_IN_BL_SPAMCOP_NET | Endereço IP identificado numa lista do SpamCop | Manter o valor predefinido | Confirmar a reputação e evitar bloqueios cegos |
Os valores da tabela são recomendações de abordagem, não números universais. Sem consultar a configuração efectiva do servidor, seria pouco rigoroso atribuir um score específico a cada regra. O mesmo identificador pode ter uma pontuação diferente consoante a versão, as regras activas e as alterações feitas pelo administrador.
Que pontuação de spam devo utilizar?
Para a maioria das instalações, faz sentido começar pelo limite predefinido e verificar os resultados antes de alterar qualquer coisa. Um limite de 5,0 é uma referência comum, mas não deve ser tratado como uma configuração obrigatória para todos os servidores.
Se o filtro estiver a deixar passar demasiado spam, o primeiro passo é analisar as mensagens que chegaram à caixa de entrada. Consultar os cabeçalhos permite identificar os sinais que o SpamAssassin reconheceu e perceber se as regras estão a produzir resultados coerentes.
Se, pelo contrário, houver demasiados falsos positivos, convém verificar os cabeçalhos das mensagens legítimas que foram classificadas como spam. Pode existir um problema de autenticação, uma regra demasiado penalizadora ou uma combinação de sinais que não corresponde a uma mensagem maliciosa.
Aumentar a pontuação de SPF_FAIL ou DKIM_INVALID pode parecer uma solução evidente, mas é necessário compreender primeiro o que está a acontecer. Uma empresa que utiliza um serviço externo para enviar facturas, por exemplo, pode ter o SPF mal configurado. Penalizar fortemente todas as mensagens afectadas apenas transforma um problema de configuração num problema de entrega.
O mesmo se aplica a RDNS_NONE e às listas de bloqueio. São sinais que podem justificar uma análise mais atenta, mas não devem ser tratados isoladamente como prova definitiva de spam.
Também não recomendo atribuir uma pontuação negativa adicional a DKIM_VALID sem uma razão concreta. A validação da assinatura já é um sinal favorável. Reduzir artificialmente a pontuação de qualquer mensagem que passe no DKIM pode criar uma falsa sensação de segurança.
A regra é simples. Primeiro, corrigir os problemas de autenticação e de configuração. Depois, ajustar as pontuações apenas quando os dados justificarem a alteração.
Como configurar os filtros de spam no cPanel
O procedimento pode variar conforme a versão do cPanel e as permissões disponibilizadas pelo administrador do servidor.
Comece por entrar no cPanel da conta de alojamento e procure a secção «Email». Abra a opção «Spam Filters» ou a funcionalidade equivalente associada ao Apache SpamAssassin.
Active a filtragem de spam, caso ainda esteja desactivada. Se a interface disponibilizar uma opção para mover automaticamente as mensagens suspeitas para a pasta de spam, active-a e acompanhe os resultados durante alguns dias.
O objectivo é perceber como o filtro se comporta antes de autorizar a eliminação automática das mensagens.
Se a interface permitir configurar o limite de spam, mantenha inicialmente o valor predefinido. Em algumas instalações, o administrador pode ter acesso a opções adicionais para gerir pontuações e regras. Noutras, estas alterações exigem acesso ao WHM ou à configuração do servidor.
Não confunda, contudo, a configuração do SpamAssassin com a configuração de todos os filtros de e-mail. As opções disponíveis no cPanel podem incluir ferramentas distintas, com regras e comportamentos próprios.
Consulte também as opções de allowlist e blocklist, quando existirem. A allowlist permite identificar remetentes que devem ser tratados como confiáveis, enquanto a blocklist permite assinalar remetentes ou endereços que pretende bloquear. A forma como estas listas são aplicadas depende da implementação instalada.
Use a allowlist com cuidado. Autorizar um remetente não significa que todas as mensagens recebidas em seu nome sejam legítimas. Um endereço pode ser comprometido ou falsificado, consoante o mecanismo utilizado.
Antes de alterar as pontuações, confirme a autenticação do domínio. No cPanel, procure as ferramentas «Email Deliverability» ou a opção equivalente. Verifique se os registos SPF e DKIM estão correctamente configurados. O DMARC deve ser publicado no DNS e ajustado de acordo com a política definida para o domínio.
Se utiliza serviços externos para enviar newsletters, facturas ou notificações, confirme que esses serviços estão devidamente autorizados e que as mensagens são assinadas correctamente.
Por fim, faça testes. Envie mensagens a partir de uma conta legítima, confirme a recepção e consulte os cabeçalhos. Se alterar uma regra, registe a mudança e compare os resultados com os anteriores.
Capturas de ecrã sugeridas para o artigo
Para acompanhar este guia, vale a pena incluir uma captura da página de activação do SpamAssassin no cPanel, outra da configuração do limite de spam e uma terceira com os campos de allowlist e blocklist.
As imagens devem corresponder à versão real da interface utilizada. O cPanel tem sofrido alterações ao longo do tempo e uma captura de uma versão diferente pode induzir o leitor em erro.
Como reduzir os falsos positivos
O erro mais frequente é baixar demasiado o limite de spam para acabar rapidamente com as mensagens indesejadas. A caixa de correio fica mais limpa, mas também pode deixar de receber mensagens legítimas.
Uma alternativa melhor consiste em analisar os resultados e fazer alterações graduais. Se uma regra estiver a contribuir excessivamente para falsos positivos, investigue primeiro o motivo. Só depois deve ponderar alterar a respectiva pontuação.
Reveja periodicamente a pasta de spam. Se encontrar mensagens legítimas, consulte os cabeçalhos e procure perceber quais as regras que contribuíram para a classificação. Este trabalho pode parecer pouco interessante, mas é precisamente o que permite distinguir um problema isolado de uma tendência.
A autenticação do próprio domínio também merece atenção. Um registo SPF incompleto pode provocar falhas quando a empresa utiliza vários serviços para enviar correio electrónico. Uma assinatura DKIM incorrecta pode comprometer a validação das mensagens. E uma política DMARC demasiado restritiva, aplicada sem testes, pode causar problemas de entrega.
Se gere um servidor com várias contas cPanel, não se esqueça de que as alterações globais podem afectar clientes diferentes. Uma regra que funciona bem para uma empresa pode ser inadequada para outra, sobretudo quando existem aplicações, newsletters ou plataformas externas envolvidas no envio de mensagens.
Erros comuns na configuração do SpamAssassin
Alterar várias pontuações ao mesmo tempo é uma das formas mais rápidas de perder o controlo do que está a acontecer. Se o resultado melhorar ou piorar, será difícil perceber qual das alterações provocou a diferença.
Também é um erro tratar todas as regras como se tivessem o mesmo significado. Uma mensagem em HTML não é necessariamente spam. Uma assinatura DKIM válida não garante que o conteúdo seja legítimo. Uma falha SPF pode revelar uma tentativa de falsificação, mas também pode indicar que um serviço de envio autorizado ficou de fora da configuração.
Outro problema recorrente é ignorar as mensagens que acabam na pasta de spam. O filtro não sabe que determinado cliente está à espera de uma resposta. Limita-se a aplicar as regras e as pontuações que tem disponíveis.
Por último, não altere configurações sem guardar um registo. Documente o valor anterior, o novo valor e o motivo da alteração. Se surgirem problemas, terá uma forma de regressar à configuração anterior em vez de começar tudo de novo.
O falhanço não deixa rasto, a menos que alguém tenha tido o cuidado de registar o que mudou.
Checklist final para configurar o SpamAssassin no cPanel
Antes de dar o trabalho por concluído, confirme que o SpamAssassin está activo e que o limite de spam foi revisto. Verifique se as mensagens suspeitas são encaminhadas para a pasta correcta e evite a eliminação automática até ter confiança nos resultados.
Confirme os registos SPF e DKIM do domínio e verifique se o DMARC está publicado e configurado de acordo com a política pretendida. Se utiliza serviços externos de envio, certifique-se de que estão devidamente autorizados.
Reveja a allowlist e a blocklist, quando disponíveis, sem criar excepções desnecessárias. Analise os cabeçalhos das mensagens classificadas incorrectamente e identifique as regras que mais contribuíram para a pontuação.
Se alterar algum score, faça-o de forma gradual e registe a mudança. Acompanhe os resultados antes de efectuar novas alterações.
O SpamAssassin não precisa de uma configuração exótica para ser útil. Precisa de regras coerentes, de autenticação bem configurada e de alguém que verifique o que está a acontecer.
Para a maioria das empresas, essa combinação vale mais do que uma longa lista de pontuações personalizadas.
Se administra um domínio no cPanel, comece por rever a configuração do spam e validar os registos SPF, DKIM e DMARC. Muitas vezes, a melhor forma de reduzir o spam não é ensinar o filtro a desconfiar de tudo. É garantir que o correio legítimo chega correctamente identificado.