E-mail que agentes confiam.

A maioria do «e-mail para agentes» para no envio. O trabalho interessante começa quando a resposta volta: o cliente responde, o fornecedor manda a nota, outro agente faz uma pergunta. A Oveyon fecha o ciclo na mesma conta — o MX do seu domínio aponta para cá, uma caixa decide quais endereços existem, e cada mensagem chega ao seu endpoint como evento assinado, com os cabeçalhos de resposta intactos e com o veredito.

Como inReplyTo e messageIdHeader viajam com o evento, e como você pode definir os seus próprios In-Reply-To e References no POST /v1/send, o agente sustenta uma conversa de verdade: a thread continua thread na caixa de quem recebe, e do seu lado há um id estável por entrega para deduplicar retentativas.

Aponte o MX do seu domínio para a Oveyon e crie caixas: endereços nomeados (agente@, notas@) ou um catch-all. Ligue canais a cada uma. Para um agente, o canal é um webhook, em um de três modos: summary (só metadados), full (texto e HTML) ou full+attachments (arquivos inline, com teto de tamanho e URL para o que passar dele).

Uma URL de webhook nunca é gravada às cegas. A Oveyon primeiro faz um POST com um desafio url_verification — com os mesmos três cabeçalhos de assinatura das entregas de verdade — e só guarda a URL se o seu endpoint devolver o desafio com 2xx. Depois, toda entrega leva x-oveyon-event, x-oveyon-timestamp e x-oveyon-signature. O timestamp entra no material assinado: um POST capturado não pode ser reenviado com carimbo novo.

Verificar

sha256=HMAC-SHA256(segredo, timestamp + "." + corpoBruto); recuse se |agora − timestamp| > 300 s

Deduplicar

por eventId — retentativa e reentrega repetem o mesmo valor

Ler depois

GET /v1/inbound, /v1/inbound/{uid}, /content, /raw, /attachments/{n}

Sinais

agentSafety (veredito, score, sinais, cobertura), authentication.spf/dkim/dmarc, spamScore (0–100), policy, inReplyTo, messageIdHeader

# o que o seu endpoint recebe
POST https://agente.seudominio.com.br/hook
x-oveyon-event: inbound.received
x-oveyon-timestamp: 1756041600
x-oveyon-signature: sha256=9c4f2b7e…
content-type: application/json

{
  "event": "inbound.received",
  "eventId": "6e5a1b90-3c77-4f02-b1ad-8e4409c2d611",
  "schemaVersion": 1,
  "message": {
    "id": "b71e0c34-5a2f-4d18-9c60-77ab31e2d905",
    "receivedAt": "2026-08-05T09:14:02.317Z",
    "from": "cliente@exemplo.com",
    "fromName": "Dana",
    "subject": "Re: seu orçamento",
    "messageIdHeader": "<a1b2@exemplo.com>",
    "inReplyTo": "<z9@seudominio.com.br>",
    "authentication": { "spf": "pass", "dkim": "pass", "dmarc": "pass" },
    "spamScore": 2,
    "agentSafety": { "verdict": "clean", "score": 0, "signals": [] },
    "attachmentCount": 1,
    "url": "https://api.oveyon.com/v1/inbound/b71e0c34-…"
  },
  "recipient": { "id": "4d2f77a1-…", "to": "agente@seudominio.com.br" }
}

O que a Oveyon é

Infraestrutura de e-mail transacional (API + SMTP na saída, MX + webhook na entrada) para desenvolvedores e agentes de IA, com veredito de segurança em toda mensagem recebida. No Brasil, o serviço oveyon.com.br é contratado com a Mahalo Ventures Ltda (Porto Alegre); oveyon.com é o serviço em inglês, contratado com a empresa afiliada nos Estados Unidos.

Procedimento

oveyon.com.br/llms.txt — o que um agente faz, em ordem, para ter e-mail funcionando; toda página também tem gêmea em Markdown (/agentes.md, /precos.md)

URL base da API

https://api.oveyon.com/v1 — JSON, Authorization: Bearer <chave>

Enviar

POST /v1/send → 202 {id, status:"accepted"}; ensaio com X-Oveyon-Sandbox: 1; deduplicação com Idempotency-Key; aprovação humana com "hold": true

Aprovar

GET /v1/holds; POST /v1/messages/{uuid}/approve ou /reject (escopo approve:holds)

Receber

MX → caixa (exata ou catch-all) → canal (webhook em summary/full/full+attachments, encaminhamento, Telegram, Slack; Discord anunciado, ainda não disponível); evento inbound.received; leitura posterior com GET /v1/inbound/{uid}

Segurança da entrada

agentSafety em toda mensagem recebida: verdict (clean/suspicious/dangerous), score 0–100, signals, coverage; null = não calculado. Caixa que segura manda inbound.quarantined no lugar da entrega; soltar com POST /v1/inbound/{uid}/release (escopo write:inbound)

Segurança do webhook

desafio url_verification antes de gravar a URL; x-oveyon-signature = sha256=HMAC-SHA256(segredo, timestamp + "." + corpoBruto); recusar acima de 300 s; deduplicar por eventId

Freios

Políticas de recepção por caixa com simulador; supressões (reclamação permanente); políticas de envio com simulador; verificação de descartável; 429 + Retry-After; teto de aquecimento; trilha de auditoria que não expira

Servidor MCP

https://mcp.oveyon.com/v1 (Streamable HTTP, POST), com a chave de API em Authorization: Bearer; uma ferramenta por rota da API, listadas conforme os escopos da chave, mais whoami; o procedimento no resource oveyon://guide; configuração por cliente em /mcp.md

Planos (R$/mês)

Free 1.000 e-mails, 1 domínio, sem cartão, não expira · Starter 50 mil — R$ 39 · Plus 100 mil — R$ 179 · Growth 250 mil — R$ 519 · Business 500 mil — R$ 929 · Scale 1 milhão — R$ 1.549 · Enterprise sob medida

Documentação

api.oveyon.com · oveyon.com.br/llms.txt