Gmail 550 5.7.26 'sender is unauthenticated': causas e correção

550 5.7.26 This email has been blocked because the sender is unauthenticated significa que o Gmail recusou a sua mensagem porque ela falhou na autenticação. Não tem a ver com o endereço do destinatário: o mesmo lead vai aceitar o seu e-mail quando o seu domínio de envio passar. O Gmail usa 5.7.26 para três falhas diferentes, e o texto diz qual: nem SPF nem DKIM passaram, o registro SPF do domínio do envelope tem falha rígida, ou a política DMARC do domínio do From manda recusar. Em quase todos os casos, há um serviço de envio que não está configurado para o seu domínio. Ache esse serviço, faça-o assinar DKIM com o seu domínio, e as recusas param.

As três versões

Da página Gmail SMTP errors and codes do Google (atualizada pela última vez em 26 de outubro de 2026, lida em 2 de novembro de 2026):

Texto da mensagem	O que falhou	Causa mais provável
"This email has been blocked because the sender is unauthenticated." (bloqueado porque o remetente não está autenticado)	Nem SPF nem DKIM passaram	Um serviço enviando como o seu domínio sem estar autorizado
"The (E)MAIL FROM domain [domain] has an SPF record with a hard fail policy (-all)..." (o domínio do MAIL FROM tem um registro SPF com política de falha rígida)	O SPF falhou e o registro diz -all	O IP do servidor de envio não está no seu registro SPF
"Unauthenticated email from [domain] is not accepted due to domain's DMARC policy." (e-mail não autenticado não é aceito por causa da política DMARC do domínio)	O DMARC falhou e a política é reject	SPF ou DKIM passaram para outro domínio, então nada ficou alinhado

A versão temporária é 421 4.7.26: "This email has been rate limited because it is unauthenticated." (este e-mail foi limitado por não estar autenticado). O Gmail adia antes de recusar. Se você está vendo 4.7.26, corrija agora, antes que vire 5.7.26.

Códigos relacionados têm números próprios: 5.7.27 quando o SPF falha, 5.7.30 quando o DKIM falha, 5.7.40 quando falta o registro DMARC e 4.7.32 quando o cabeçalho From não está alinhado. A nossa referência de códigos de bounce do Gmail lista todos.

O que o Gmail exige

As diretrizes para remetentes do Google dizem que, desde 1º de fevereiro de 2024, todos os que enviam para contas do Gmail precisam se autenticar com SPF ou DKIM. Os remetentes em massa, que enviam cerca de 5.000 mensagens ou mais por dia para o Gmail, precisam ter SPF, DKIM e DMARC, com o domínio do From alinhado. O FAQ do Google acrescenta que a contagem de 5.000 é por domínio principal, incluindo subdomínios, e que desde novembro de 2025 o Gmail está "ramping up its enforcement on non-compliant traffic" (intensificando a fiscalização do tráfego fora das regras).

Requisito	Todos os remetentes	Remetentes em massa
Passar em SPF ou DKIM	Obrigatório	Os dois obrigatórios
Registro DMARC	Recomendado	Obrigatório, p=none basta
Domínio do From alinhado com SPF ou DKIM	Recomendado	Obrigatório
Registro PTR para os IPs de envio	Obrigatório	Obrigatório
TLS	Obrigatório	Obrigatório

O nosso post sobre os requisitos do Gmail e do Yahoo para envio em massa cobre o resto da lista, incluindo o descadastro com um clique.

Ache o serviço que está falhando

A mensagem recusada saiu de um lugar específico. Descubra qual.

1. Olhe o bounce. Ele normalmente cita o IP que se conectou ao Gmail. Passe esse IP pela consulta de DNS reverso para ver de quem é o servidor.
2. Veja o que mudou. Uma nova plataforma de cold email, uma nova sequência no CRM, um encaminhamento de e-mail, um formulário do site ou uma ferramenta de cobrança enviando como o seu domínio são os suspeitos de sempre.
3. Envie um teste desse serviço para um endereço do Gmail que você controla, abra a mensagem, escolha Mostrar original e leia as linhas de SPF, DKIM e DMARC. O nosso guia de cabeçalhos de e-mail explicados mostra o que cada linha significa, ou cole os cabeçalhos no analisador de cabeçalhos de e-mail.

O que "Mostrar original" diz	O que significa	Correção
SPF: FAIL, DKIM: none	O serviço não está no SPF e não assina	Configure DKIM para o serviço e adicione-o ao SPF
SPF: PASS para outro domínio, DKIM: PASS para outro domínio, DMARC: FAIL	O serviço se autentica como ele mesmo, não como você	Configure no serviço um domínio DKIM personalizado (o seu)
SPF: SOFTFAIL ou FAIL, DKIM: PASS para o seu domínio, DMARC: PASS	Tudo certo, apesar do resultado do SPF	Nada urgente; arrume o SPF depois
DKIM: FAIL (body hash)	Algo alterou a mensagem depois da assinatura	Procure rodapés ou encaminhamentos que mudem a mensagem

Corrija, nesta ordem

1. Faça o serviço assinar DKIM com o seu domínio

O DKIM é a correção mais robusta, porque sobrevive ao encaminhamento e não depende do IP de envio. Toda ferramenta de envio séria permite adicionar o seu domínio e publicar a chave DKIM dele. Para caixas de e-mail, veja a configuração do DKIM no Google Workspace ou a configuração do DKIM no Microsoft 365. Confirme que a chave está no ar com o verificador de DKIM.

2. Adicione o serviço ao SPF, com cuidado

Adicione o include: do serviço ao seu registro SPF se ele envia com o seu domínio no envelope. O SPF tem um limite rígido de 10 consultas DNS, então adicionar includes sem contar pode quebrar o SPF para tudo. Confira o registro com o verificador de SPF e a contagem com o contador de consultas SPF. Se passar do limite, o nosso guia sobre SPF com consultas DNS demais mostra as opções.

3. Publique o DMARC, começando com p=none

Se o domínio não tem registro DMARC, publique v=DMARC1; p=none; rua=mailto:you@yourdomain.com. Isso cumpre o requisito do Gmail para remetentes em massa sem recusar nada, e os relatórios mostram todos os serviços que enviam como o seu domínio. O gerador de DMARC monta o registro e o verificador de DMARC confirma.

4. Confira o alinhamento

O DMARC só passa se o SPF ou o DKIM passarem para o mesmo domínio do endereço do From. Uma ferramenta que assina com o próprio domínio passa no DKIM mas falha no DMARC. O verificador de alinhamento DMARC mostra se os seus estão alinhados.

5. Reenvie uma vez, não em massa

O 5.7.26 é permanente, então as mensagens recusadas não serão reenviadas automaticamente. Quando uma mensagem de teste passar, reenvie para os leads recusados, no ritmo normal.

Particularidades do cold email

• Cada domínio de envio precisa da própria configuração. Se você usa vários domínios secundários, cada um precisa de SPF, DKIM e DMARC, não só o domínio principal.
• O domínio padrão da plataforma não é o seu. Muitas ferramentas de cold email enviam com o próprio domínio de envelope até você configurar um personalizado, o que pode falhar no alinhamento DMARC.
• Não apague os leads. Um 5.7.26 não diz nada sobre o endereço. Se o seu sequenciador suprime automaticamente diante de qualquer 5xx, confira se esses leads não foram removidos.
• Confira depois de qualquer mudança de DNS. Trocar de provedor de DNS ou adicionar um serviço é justamente quando registros se perdem.

Checagens rápidas para configurações comuns

Você envia de	O que costuma resolver o 5.7.26
Caixas do Google Workspace	Ative a assinatura DKIM no Admin console e publique a chave; o SPF deve incluir _spf.google.com
Caixas do Microsoft 365	Ative o DKIM para o domínio personalizado (dois registros CNAME); o SPF deve incluir spf.protection.outlook.com
Uma plataforma de cold email via SMTP	Normalmente herda a autenticação da sua caixa; confira se a plataforma não reescreve o remetente do envelope
Uma plataforma de marketing ou CRM	Adicione o seu domínio na plataforma e publique os registros DKIM dela, além de um return-path personalizado se houver
Um formulário ou app do site	Envie por um provedor transacional configurado para o seu domínio, não pelo e-mail do próprio servidor web
Um encaminhamento para o Gmail	O SPF quebra no encaminhamento; o DKIM costuma sobreviver, então garanta que o e-mail original tenha assinatura DKIM

Onde o SimpleVerifier entra

A verificação não mexe na sua autenticação, e o 5.7.26 não é um problema de lista. Quando o seu domínio passar, a verificação cuida do outro tipo de recusa: o endereço que não existe. O SimpleVerifier faz uma checagem ao vivo da caixa postal de cada endereço e devolve seguro para enviar, enviar com cuidado, checar de novo depois ou não enviar, com o motivo. Catch-alls ficam como arriscados, nunca chutados como válidos.

O verificador de remetente em massa, grátis e sem conta, testa um domínio contra os requisitos do Google. Para listas, as primeiras 100 checagens são grátis com login do Google na página de verificação, e o Pro custa US$ 39 por mês: os primeiros 100.000 e-mails de cada mês rodam em velocidade máxima, e depois mais devagar, sem nunca serem bloqueados. Veja os preços.