A decisão: manter a caixa, mudar o MX
Mudar de correio eletrónico e mudar de proteção são dois projetos diferentes. O primeiro desloca as caixas, o histórico, as agendas e as contas nos telemóveis. O segundo só mexe no percurso do correio recebido.
Esse percurso resume-se a um registo DNS: o MX, que indica aos servidores remetentes onde entregar o correio do seu domínio. Quando designa o gateway, este recebe, analisa e depois entrega a mensagem ao servidor de caixas. Isto aplica-se a:
- Microsoft 365 (Exchange Online);
- Google Workspace;
- Exchange instalado nas suas instalações ou alojado;
- qualquer outro servidor de correio eletrónico que receba em SMTP;
- Klytic Mail, que é apenas um caso entre outros, não um pré-requisito.
Este guia trata o caso em que se mantém a caixa. Se também mudar de servidor, os guias migrar a partir do Microsoft 365 e migrar a partir do Google Workspace descrevem esse projeto.
Quem altera o quê
| Configuração | Onde | Quem |
|---|
| Registo MX do domínio | Zona DNS, no registrar ou no fornecedor de alojamento DNS | A pessoa que gere o DNS, ou o prestador que recebeu essa delegação |
| Declaração do gateway ao correio eletrónico | Consola de administração do Microsoft 365, do Google Workspace ou do servidor | O administrador do correio eletrónico |
| SPF, DKIM e DMARC | Zona DNS | O gestor do DNS, após inventário dos servidores que enviam pelo domínio |
| Domínios e servidor de entrega | Gateway | O fornecedor do gateway, que prepara a configuração |
O princípio do lado do Microsoft 365
A documentação da Microsoft sobre a filtragem por um serviço de terceiros é clara: o MX do domínio deve designar esse serviço, que entrega depois ao Exchange Online. A Microsoft recomenda um conector de entrada do tipo «parceiro», que pode recusar o correio que chegue sem passar pelo serviço. Recomenda também ativar a filtragem melhorada para conectores, para que a sua própria análise avalie o verdadeiro remetente e não o endereço do gateway. Desaconselha simplesmente contornar a sua filtragem para os endereços do serviço de terceiros.
O princípio do lado do Google Workspace
A Google descreve um «gateway de correio de entrada»: o MX designa o gateway e depois o administrador declara os respetivos endereços IP na consola. O Gmail utiliza-os para encontrar o endereço real do remetente nos cabeçalhos, de que dependem o SPF e a sua avaliação do spam. Também é possível recusar o correio que não venha do gateway. A Google precisa que não aplica a política DMARC do remetente ao correio recebido através de um gateway declarado: esse controlo cabe então ao gateway.
Este guia não reproduz os ecrãs destas consolas, que mudam. Siga a página oficial citada no fim da página no momento da configuração.
Vários servidores atrás de um único gateway
Caso frequente num grupo: a empresa-mãe no Microsoft 365, uma filial no Google Workspace, uma terceira num servidor antigo. Um único gateway pode ficar à frente dos três.
O princípio é um encaminhamento por domínio. O MX de cada domínio aponta para o gateway. Para cada domínio, o gateway conhece o servidor ao qual entregar o correio após a análise. A análise é comum, o destino muda.
Vantagem: uma mesma política de filtragem, ou configurações diferentes consoante o domínio, e a leitura de todas as decisões no mesmo sítio. Ponto a preparar: um domínio cujas caixas estejam repartidas por dois servidores exige saber, endereço a endereço, onde entregar. Este caso estuda-se antes da mudança.
O que muda e o que não muda
Não muda: os endereços, as caixas, o histórico, o programa de correio eletrónico, o webmail, os telemóveis. O filtro integrado do correio eletrónico continua a funcionar. Os direitos e as partilhas internas continuam a ser os da plataforma.
Muda:
- O primeiro servidor que recebe o correio. É ele que vê a ligação de origem e verifica a autenticação do remetente.
- O servidor de caixas deixa de ver o remetente diretamente e passa a ver o gateway. Daí a declaração descrita acima.
- As mensagens têm os cabeçalhos de decisão do gateway: um administrador pode ler neles porque é que uma mensagem foi entregue ou posta de parte.
- Se o gateway também retransmitir o correio enviado, o registo SPF do domínio tem de o autorizar e a assinatura DKIM tem de ser publicada para ele. O significado destes mecanismos é explicado em SPF, DKIM e DMARC.
No dia em que também mudar de servidor de caixas, o gateway pode manter-se: apenas muda o seu servidor de entrega. O guia migrar um correio eletrónico sem interrupção continua a ser a referência para esse dia, incluindo para SPF, DKIM e DMARC.
A implementação, por ordem
- Inventário: domínios, servidor de caixas de cada um, aplicações que enviam correio em nome do domínio.
- Preparação do gateway pelo seu fornecedor: domínios aceites, servidor de entrega, regras iniciais.
- Declaração do gateway no correio eletrónico (conector de entrada ou gateway de entrada), se a plataforma o previr.
- Redução prévia do TTL do MX e, depois, alteração do MX. Durante a duração da cache DNS, uma parte dos remetentes ainda entrega diretamente ao servidor de caixas: é normal.
- Controlo: uma mensagem enviada a partir de um endereço externo deve chegar com os cabeçalhos de decisão do gateway.
- Vigilância da quarentena nos primeiros dias, para libertar os falsos positivos e ajustar as regras.
O regresso à situação anterior é simples: repor o MX antigo. Prepara-se como numa migração, com uma pessoa que tenha autoridade para o decidir.
O que o gateway não faz
Vê o correio que o atravessa, e apenas esse. Não vê as mensagens trocadas entre duas caixas de uma mesma plataforma que não saem dela, nem os ficheiros partilhados num espaço de armazenamento online, nem os inícios de sessão dos utilizadores.
Não substitui, portanto, as configurações internas do Microsoft 365 ou do Google Workspace: direitos, autenticação de dois fatores, alertas de início de sessão, regras de reencaminhamento automático. Uma conta roubada continua a ser, antes de mais, um assunto do correio eletrónico. O guia spam, phishing, malware e conta comprometida esclarece as diferenças.
Por fim, um remetente que conheça o endereço técnico do servidor de caixas pode tentar entregar-lhe diretamente, sem passar pelo MX. É a razão do bloqueio proposto pela Microsoft (conector de parceiro) e pela Google (recusa do correio fora do gateway).
Perguntas frequentes
É preciso avisar os utilizadores?
Os seus endereços não mudam. Avise-os, no entanto, de que poderão receber avisos de quarentena: ver Quarentena, falsos positivos e denúncias.
É preciso desativar o filtro do Microsoft 365 ou da Google?
Não. A Microsoft recomenda manter a sua análise ativa e configurá-la para que veja o verdadeiro remetente, em vez de a contornar.
Quanto tempo demora a mudança?
A alteração do MX produz efeito ao ritmo da cache DNS. A preparação depende do número de domínios e de servidores. Para o Klytic MTA, ver a secção seguinte.
Um gateway colocado à frente altera a entregabilidade dos nossos envios?
Apenas se também retransmitir o correio enviado. Nesse caso, o SPF e o DKIM têm de o ter em conta: ver SPF, DKIM e DMARC.
Porque não mudar simplesmente de correio eletrónico?
É outra decisão, com outros critérios. É tratada em escolher um correio eletrónico profissional europeu.
Onde se posiciona a Klytic
O Klytic MTA coloca-se à frente do correio eletrónico que tem: Microsoft 365, Google Workspace, Exchange, Klytic Mail ou qualquer outro servidor. Não pressupõe uma caixa Klytic.
- Ativação: geralmente 24 a 48 horas. A Klytic prepara a configuração; o cliente altera o registo MX do seu domínio, ou a Klytic fá-lo por si. A declaração do gateway na consola do Microsoft 365 ou do Google Workspace é feita pelo administrador desse correio eletrónico e prepara-se com a Klytic durante a ativação.
- Implementação: cloud Klytic, instância dedicada ou servidores do cliente. Para necessidades específicas, podem ser concebidas outras arquiteturas com a Klytic, por exemplo uma filtragem na cloud e um relay instalado nas suas instalações, ou várias regiões.
- Ofertas: Essential e Advanced. A Essential cobre a autenticação, o antispam, o antivírus, o phishing, os domínios semelhantes, a quarentena, a assinatura DKIM dos envios e a anulação antes do envio. A Advanced acrescenta a fraude financeira, a proteção no clique, a consola DMARC e a exportação dos registos para um SIEM.
- Teste: 30 dias gratuitos, sem mudar de correio eletrónico.
O Klytic MTA não gere os direitos nem as contas do seu correio eletrónico atual, e não promete equivalência com as ferramentas de segurança integradas no Microsoft 365 ou no Google Workspace: acrescenta-se à frente delas.
Esta página descreve um princípio. As consolas da Microsoft e da Google evoluem: a sua documentação oficial faz fé quanto ao procedimento.
Fontes
Consultadas em outubro de 2026.
- Microsoft Learn, «Manage mail flow using a third-party cloud service with Exchange Online»: o MX deve designar o serviço de terceiros; conector de entrada do tipo parceiro; filtragem melhorada para conectores em vez de um contorno da filtragem. learn.microsoft.com
- Ajuda do Google Workspace, «Set up an inbound mail gateway»: MX para o gateway, declaração dos seus endereços IP, recusa possível do correio fora do gateway; a política DMARC do remetente não é aplicada pelo Gmail ao correio recebido através do gateway. knowledge.workspace.google.com
- RFC 5321, SMTP: os anfitriões intermédios são, em geral, designados pelo registo MX do DNS. rfc-editor.org
- Klytic, página Klytic MTA: módulos das ofertas Essential e Advanced, opções, modos de implementação, ativação através do MX. klytic.com
