SMTP da Brevo: guia de configuração, ajustes e solução de problemas

O SMTP da Brevo tira o e-mail de saída de uma aplicação do agente de e-mail local de um servidor web e o coloca em uma infraestrutura que autentica, registra e relata cada mensagem. A configuração é pequena: um hostname, uma porta, duas credenciais. Errar também é pequeno, e os modos de falha são silenciosos. Este guia cobre os ajustes, o modelo de credenciais, o trabalho de DNS que faz a entrega acontecer e os erros que você vai encontrar se alguma peça estiver mal configurada. Se você ainda está escolhendo um provedor, o guia de serviços de e-mail SMTP, mais amplo, compara o mercado primeiro.

O que é o SMTP da Brevo

A Brevo descreve o SMTP da Brevo como seu serviço de relay SMTP. Sua aplicação, site ou servidor de e-mail entrega uma mensagem ao relay por uma conexão autenticada, e a Brevo assume a responsabilidade por roteamento, retentativas, reputação e relatórios. As estatísticas do e-mail retransmitido aparecem ao lado das estatísticas de campanha, e um hard bounce bloqueia automaticamente aquele contato.

O relay foi feito para mensagens transacionais: redefinições de senha, recibos, confirmações de pedido, notificações de conta. Se a linha entre essas e o e-mail de marketing ainda não está nítida, o que é e-mail transacional explica.

SMTP ou a API REST

Os dois caminhos chegam à mesma plataforma. A divisão prática:

Um limite rígido: a documentação para desenvolvedores da Brevo afirma que o relay SMTP não permite envio em lote e direciona as operações em lote para os endpoints da API.

Criando suas credenciais SMTP

A autenticação SMTP da Brevo usa dois valores que são fáceis de confundir com credenciais que você já tem.

Encontre seu login SMTP

Seu login SMTP não é o e-mail da sua conta Brevo. É um identificador separado, mostrado no campo Login na página Configurações, SMTP e API, no formato [email protected].

Duas regras decorrem disso, ambas da documentação de solução de problemas da Brevo. Não coloque smtp-relay.brevo.com no campo de nome de usuário: esse é o host do relay, não o seu login. E não coloque seu login SMTP no cabeçalho De, porque ele autentica você em vez de identificar um remetente.

Gere uma chave SMTP

A senha é uma chave SMTP, não a senha da sua conta e não uma chave de API.

1. Abra o menu suspenso da conta e selecione Configurações, depois SMTP e API.
2. Na aba SMTP, clique em Gerar uma nova chave SMTP.
3. Nomeie a chave conforme a integração que vai usá-la.
4. Escolha a variante. A padrão é a chave recomendada de 64 caracteres; a curta é uma chave de 15 caracteres, para clientes que não lidam com senhas longas.
5. Defina uma validade entre 7 dias e 1 ano, ou escolha sem expiração.
6. Clique em Gerar e copie a chave completa imediatamente.

A chave completa é exibida uma única vez, e depois a página mostra apenas os últimos dígitos. Se você perdê-la, gere uma substituta e atualize sua configuração.

Ajustes de conexão

Os valores para preencher em qualquer cliente ou biblioteca:

Escolhendo uma porta

A Brevo recomenda a 587 como padrão. A porta 465 foi designada para SMTP sobre SSL e depois descontinuada, mas segue amplamente compatível e é a certa quando você precisa da conexão criptografada antes do primeiro comando. A porta 2525 não é registrada na IETF nem na IANA, mas a maioria dos provedores de internet e de nuvem a permite, o que faz dela a saída de emergência quando a 587 está bloqueada.

O campo de criptografia confunde as pessoas. A Brevo diz para você deixá-lo vazio, a menos que esteja na 465. Isso não significa que a conexão fica sem criptografia: nas portas 587 e 2525 o servidor anuncia STARTTLS e qualquer cliente competente faz o upgrade antes de autenticar. Significa que você não deve selecionar “SSL” ao conectar na 587, porque uma incompatibilidade entre porta e criptografia derruba a autenticação mesmo com credenciais corretas.

Teste a conexão antes de escrever qualquer código

Confirme que o relay responde e que o TLS negocia antes de depurar o código da aplicação.

openssl s_client -starttls smtp -crlf -connect smtp-relay.brevo.com:587

Um handshake bem-sucedido termina com a lista de capacidades 250 do servidor, que deve incluir STARTTLS e uma linha AUTH listando PLAIN e LOGIN. Nenhum banner é um problema de rede, não de credencial.

Autenticando seu domínio de envio

Esta é a etapa que as pessoas pulam, e é ela que decide se alguma coisa chega. Desde 1 de fevereiro de 2024 a autenticação de domínio é obrigatória sob os requisitos de remetente do Gmail e do Yahoo, e a Brevo observa que a Microsoft anunciou padrões semelhantes em 5 de maio de 2025. E-mail não autenticado é filtrado ou rejeitado, independentemente de qual relay o enviou.

Os registros que a Brevo pede

A Brevo pode adicionar esses registros automaticamente se você fizer login no seu provedor de domínio de dentro da Brevo, ou você pode copiar os valores para sua zona de DNS à mão. Qual forma de DKIM você recebe depende da conta: dois registros CNAME usam uma chave de 2048 bits por padrão, e a forma única em TXT usa uma chave de 1024 bits.

Por que não existe registro SPF

O FAQ da Brevo é explícito: registros SPF e MX não são necessários para autenticar um domínio e só são fornecidos ao configurar um IP dedicado. Em infraestrutura compartilhada a Brevo controla o caminho de retorno, então o DKIM mais a verificação de propriedade sustentam a autenticação. Se você está migrando de um provedor que exigia um include de SPF, não invente um; um include desnecessário só arrisca um problema de limite de consultas.

O DMARC continua importando, e a Brevo publica um registro inicial que funciona:

v=DMARC1; p=none; rua=mailto:[email protected]

Comece em p=none para receber relatórios agregados sem arriscar a entrega, depois aperte para quarantine e reject quando toda fonte legítima estiver alinhada. Nosso guia de entregabilidade de e-mail cobre essa progressão.

Verifique o remetente

Todo endereço De precisa ser um remetente verificado ou estar em um domínio autenticado. Um remetente novo é verificado com um código de 6 dígitos enviado para aquele endereço, mas remetentes em um domínio autenticado pulam essa etapa, e é por isso que você autentica primeiro. Domínios de e-mail gratuitos não podem ser autenticados, então um endereço De em gmail.com ou outlook.com será rejeitado ou filtrado.

Passo a passo de integração

WordPress

O WordPress entrega o e-mail de saída para wp_mail, que chama o que o provedor de hospedagem oferecer. Rotear isso pela Brevo exige um plugin.

1. Na barra lateral do admin, vá em Plugins e depois em Adicionar novo plugin.
2. Busque por Brevo, instale “Newsletter, SMTP, Email marketing and Subscribe forms by Brevo” e ative.
3. Vá em Brevo, depois em Home, e informe sua chave de API v3 da Brevo no campo de ativação. Essa etapa usa uma chave de API porque o plugin também sincroniza contatos. Clique em Login.
4. Em E-mails transacionais, selecione Sim.
5. Escolha um remetente existente ou crie um. Todo e-mail do WordPress usa esse nome e endereço de remetente.
6. Informe um endereço e clique em Enviar e-mail para disparar um teste.

Dois erros são comuns. Uma mensagem dizendo que os e-mails transacionais não estão ativados porque sua conta SMTP da Brevo não foi ativada significa que o suporte da Brevo precisa ligar a plataforma. Uma mensagem dizendo que o SMTP não pode ser usado porque wp_mail foi declarado por outro processo significa um plugin SMTP concorrente; desative os outros um de cada vez.

Uma aplicação no servidor

O próprio exemplo em Node.js da Brevo usa nodemailer e os ajustes acima:

const nodemailer = require("nodemailer");

const transporter = nodemailer.createTransport({
  host: "smtp-relay.brevo.com",
  port: 587,
  secure: false, // true para 465, false para outras portas
  auth: {
    user: process.env.BREVO_SMTP_LOGIN, // [email protected]
    pass: process.env.BREVO_SMTP_KEY,
  },
});

async function sendOrderConfirmation() {
  const info = await transporter.sendMail({
    from: '"Acme Support" <[email protected]>',
    to: "[email protected]",
    subject: "Your order is confirmed",
    text: "Order 10482 is confirmed and ships within two business days.",
  });
  console.log("Message sent:", info.messageId);
}

sendOrderConfirmation().catch(console.error);

Note o secure: false na porta 587. Essa flag controla o TLS implícito, não se a conexão é criptografada; o nodemailer ainda emite STARTTLS. Defina true só para a 465.

O equivalente em Python com a biblioteca padrão:

import smtplib, ssl
from email.message import EmailMessage

msg = EmailMessage()
msg["From"] = "Acme Support <[email protected]>"
msg["To"] = "[email protected]"
msg["Subject"] = "Your order is confirmed"
msg.set_content("Order 10482 is confirmed and ships within two business days.")

with smtplib.SMTP("smtp-relay.brevo.com", 587, timeout=20) as server:
    server.starttls(context=ssl.create_default_context())
    server.login(BREVO_SMTP_LOGIN, BREVO_SMTP_KEY)
    server.send_message(msg)

Os dois leem credenciais do ambiente, que é a próxima seção.

Segurança e rotação de chaves

A Brevo trata chaves SMTP como senhas. Vale seguir as regras operacionais ao pé da letra.

• Uma chave por integração. Nomeie cada chave conforme o sistema que a usa, para que um vazamento ou uma desativação revogue exatamente uma coisa.
• Nunca versione uma chave. Variáveis de ambiente, um gerenciador de segredos ou o armazenamento de configuração da sua plataforma. Não no controle de versão, não em um arquivo .env rastreado, não em um print de tela.
• Rotacione sem downtime. Gere a substituta, faça o deploy, confirme o envio e só então exclua a chave antiga. A exclusão é irreversível, e excluir uma chave em uso interrompe o envio transacional imediatamente.
• Desative em vez de excluir para pausar uma integração. As chaves podem ser reativadas depois.
• Conte com a expiração. As chaves podem ter validade de 7 dias a 1 ano, e a Brevo expira chaves inativas após 90 dias.

Para uma fronteira mais dura, a Brevo pode bloquear requisições de endereços IP desconhecidos. A lista autorizada é compartilhada entre chaves de API e chaves SMTP, então tudo que você permitir vale para as duas. Tome cuidado em cargas em contêiner ou na nuvem: o endereço de saída pode ser um gateway NAT em vez do IP da instância que você espera, e errar isso produz uma rejeição 525 5.7.1 Unauthorized IP address.

Times que rodam a Brevo junto com uma loja, um CRM e uma central de atendimento acabam gerenciando várias chaves, remetentes e domínios ao mesmo tempo. A Tajo mantém essa configuração em um lugar só, em vez de quatro painéis.

Limites de envio e throttling

O envio por SMTP consome os créditos de e-mail do seu plano. No plano gratuito isso significa 300 envios de e-mail por dia; o limite é reiniciado diariamente e os envios não usados não acumulam. Quando você o atinge, a Brevo retém até 1.000 e-mails adicionais em uma fila de retentativa e não entrega nada além dessa fila. Os planos pagos removem o teto diário, e o guia de preços da Brevo detalha os níveis.

Quando os créditos acabam de vez, as mensagens enviadas por SMTP são pausadas e enfileiradas em vez de descartadas. O acúmulo fica em Transacional, depois Tempo real, depois Uso e plano, na seção de fila de e-mails.

A Brevo publica limites de taxa rígidos para a API REST, não para o relay. No nível geral, POST /v3/smtp/email permite 1.000 requisições por segundo, e ultrapassar um limite devolve 429 Too Many Requests. O caminho da API também devolve cabeçalhos de limite de taxa para você se orientar, o que o relay não faz.

Monitorando bounces e reclamações

O e-mail retransmitido fica visível em Transacional, nas páginas de Estatísticas e Logs. Os eventos que exigem uma resposta:

• Hard bounce. O endereço é inválido, e a Brevo bloqueia o contato automaticamente.
• Blocked. O destinatário já reclamou, cancelou a inscrição, teve hard bounce ou foi bloqueado manualmente.
• Deferred e soft bounce. O provedor aceitou a conexão, mas atrasou ou recusou a mensagem. Adiamentos recorrentes contra um mesmo provedor sinalizam um problema de reputação, não um problema de código.

Ficar consultando logs não escala. A Brevo permite webhooks transacionais que empurram eventos de entrega, bounce, abertura e reclamação para seu endpoint em tempo real, que é como você mantém seus próprios dados de supressão atualizados.

O número para acompanhar é a taxa de reclamação de spam. Gmail, Yahoo e Microsoft exigem que os remetentes fiquem abaixo de 0,3%, e a Brevo recomenda monitorá-la com o Gmail Postmaster Tools. Recuperar-se de uma ultrapassagem leva muito mais tempo que evitá-la.

Solução de problemas

535 5.7.8 Authentication failed

O nome de usuário ou a senha não puderam ser verificados. Por ordem de probabilidade:

• O endereço de e-mail da conta foi usado no lugar do login SMTP no formato [email protected].
• smtp-relay.brevo.com foi colado no campo de nome de usuário. A Brevo aponta isso como uma das causas mais comuns.
• Uma chave de API foi usada no lugar de uma chave SMTP.
• A chave carrega um espaço ou uma quebra de linha ao final, vindos do copiar e colar.
• O ajuste de criptografia não bate com a porta.
• A chave foi invalidada depois de um alerta de segurança, caso em que você gera uma nova.

525 5.7.1 Unauthorized IP address

O bloqueio por IP está ativo e o endereço que está conectando não está autorizado. Adicione-o e verifique antes seu endereço real de saída, se a aplicação roda atrás de NAT ou em uma plataforma de contêineres.

Nenhuma resposta e nenhum banner

Se a conexão TCP abre mas o servidor nunca envia sua saudação 220, a autenticação não pode começar e a falha está do seu lado da rede. Firewalls corporativos às vezes permitem a conexão e depois descartam o tráfego SMTP em silêncio. AWS, Azure e Google Cloud restringem SMTP de saída por padrão em contas novas. Solicite a liberação da restrição, ou mude para a porta 2525.

450, plataforma não ativada

O erro diz que sua conta SMTP ainda não foi ativada ou que sua plataforma de envio está desabilitada no momento. Em uma conta nova, o envio transacional exige uma etapa de ativação separada junto ao suporte da Brevo. Em uma conta estabelecida, normalmente significa suspensão, seja porque um formulário desprotegido foi atingido por cadastros de bots, seja porque a conta mostrou sinais de comprometimento.

Remetente rejeitado

Verifique três coisas: o domínio está autenticado, o remetente está verificado e o cabeçalho De não é o seu login SMTP.

O e-mail é aceito mas cai no spam

Trabalhe nesta ordem. Confirme que o domínio de envio está autenticado e que o DKIM está assinando. Confirme que o domínio no De é seu e não de um provedor de e-mail gratuito. Verifique sua taxa de reclamação no Postmaster Tools contra o limite de 0,3%. Olhe o conteúdo só depois que essas verificações estiverem limpas, porque quase nunca é a primeira causa.

IPs dedicados

Um IP dedicado só ajuda em volume alto e constante. Ele precisa ser aquecido antes de você enviar algo relevante por ele, e precisa de um subdomínio de envio que apareça como domínio de “enviado por” e de caminho de retorno nos seus cabeçalhos. Esta é a única configuração em que a Brevo fornece registros SPF e MX, junto com registros A, CNAME, DKIM e DMARC para esse subdomínio.

Dois detalhes pegam as pessoas. Um IP dedicado configurado apenas para e-mail de marketing enfileira suas mensagens transacionais em vez de enviá-las, então mude o ajuste ou compre um segundo IP. E separar o roteamento transacional do de marketing exige um pool de pelo menos dois IPs com remetentes distintos, para que o engajamento fraco no e-mail de marketing não derrube recibos e redefinições de senha.

Acertar de primeira

Autentique o domínio, crie uma chave SMTP nomeada, conecte-se a smtp-relay.brevo.com na 587 e envie um teste pelo caminho de código real, não por um botão do painel. Quase todo problema posterior remete a uma de três coisas.

• A credencial errada no campo de nome de usuário ou de senha.
• Um ajuste de porta e de criptografia que discordam entre si.
• Um domínio de envio que nunca foi autenticado.

Acerte esses pontos e o relay desaparece no plano de fundo, que é o que uma infraestrutura transacional deveria fazer.