Nenhuma mensagem sai de um domínio que não foi verificado. Não é burocracia: sem os registros, o destino não tem como distinguir você de alguém escrevendo o seu nome no envelope.

​
Os três registros

DKIM é o que sobrevive ao encaminhamento. Quando alguém encaminha o seu e-mail, o servidor intermediário vira o remetente e o SPF quebra — a assinatura DKIM viaja junto e continua válida.

​
Use um subdomínio

news.suaempresa.com.br, não suaempresa.com.br. Se a sua newsletter e a sua redefinição de senha saem do mesmo domínio, uma campanha ruim derruba a entrega do e-mail que a pessoa está esperando na tela. Separar é o que permite errar em um sem pagar no outro.
Se o domínio já tem SPF — comum com Google Workspace ou Microsoft 365 — não publique um segundo. Dois registros v=spf1 no mesmo nome são um permerror, e o domínio acaba sem SPF nenhum: o e-mail que você já manda hoje começa a falhar. Acrescente include:_spf.kourio.app ao registro que existe.

​
Verificação

A conferência roda sozinha de tempos em tempos. POST /v1/domains/{id}/verify existe para não esperar por ela depois de publicar. DNS leva de minutos a horas para propagar — se falhar logo depois de publicar, espere antes de mexer de novo.