Verificador de SPF e DMARC

RSS

Test a domain's email authentication: SPF, DKIM and DMARC records are checked for syntax, lookup limits and policy strength, with plain-English fixes.

Autenticação de e-mail de github.com

SPFVálido, com avisos
DKIM5 chaves encontradas
DMARCp=quarantine

SPF (Sender Policy Framework)

10/10 consultas DNS
v=spf1 ip4:192.30.252.0/22 include:spf.protection.outlook.com include:_netblocks.google.com include:_netblocks2.google.com include:mail.zendesk.com include:_spf.salesforce.com include:servers.mcsv.net include:mktomail.com include:sendgrid.net ip4:62.253.227.114 ip4:166.78.69.169 ip4:166.78.69.170 ip4:166.78.71.131 ~all
  • O registro usa 10 das 10 consultas DNS permitidas. Você está perto do limite.
  • O registro tem mais de 255 caracteres, então precisa ser dividido em várias strings no DNS.

DKIM (DomainKeys Identified Mail)

Seletor google

v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAj6T5sl/RwdSqGoYWaWaFbS2UAeyPrEmd0gogocmRfS441qwR8/0KB81Hw89P0l4YiFRrXYk7NVIGfyCRHAYYZUzCkGeOysI2EjgzLFhd/NEsbRzOEc/kWkK/RO6JFq/5lOn6M9AZw/ap9tds4JG9ApgNNdSpPxp9DmvpsOSgNMVflRxQFrk3kdS4RNAPKu/OPoA7dlR/A/pECryjRoYgENtDXzdnK70HgCekems6UDzxDj61cjyoKoXtEMF/QsaHEQ1Gjfv014rDJBsubk/kT5VqHkWHa/ia68Z5r228Ety/wFfQNjXTx/J7KGZ9GkZlKED659eiJcLnWcKDS…

Seletor selector1 (via CNAME selector1-github-com._domainkey.microsoft.onmicrosoft.com)

v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQCxZC/z2cK+2s1f/ktzSDSeFzkfIHrjwtGFsfKMAYvKaXjPVNzKykpbXBkX5nB7dVUTFttda7aROr2iSrIseQ27Ui+4rUZVzgFanE8RaXhYM9n5wPKNv8GtLJk7JgcsYZ7ErgID4uW2sEYyV/dnRYw6rDzOaeRKkKELTUfJI5ebLQIDAQAB;

Seletor k1 (via CNAME dkim.mcsv.net)

k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQDbNrX2cY/GUKIFx2G/1I00ftdAj713WP9AQ1xir85i89sA2guU0ta4UX1Xzm06XIU6iBP41VwmPwBGRNofhBVR+e6WHUoNyIR4Bn84LVcfZE20rmDeXQblIupNWBqLXM1Q+VieI/eZu/7k9/vOkLSaQQdml4Cv8lb3PcnluMVIhQIDAQAB;

Seletor s1 (via CNAME s1.domainkey.u51742174.wl175.sendgrid.net)

k=rsa; t=s; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAyn3fMCVpb7ryIRKOGXhXVGYmsWUitNlSckqGHOwNFZgFadplOrD+Qzf1XQkP7MH/VB/97DsAAJGtEXW1Uq71Hjnfr/DuBN/YfjF/gU70qEFb7q1sdIiNtjFL2TkOpoW+X/bhhPNheW/fYwyFb6ZHFM6LTgXyuimWRHTOUP3VjZzhNVda79nt+2WZYbS4l8HdMgWpTNHjpVw5PtXESA9KBg/evSRk5fIaXIX5eRXW3baoV9yVzD8O29/IL/DiSk+yNvaO0EHL5c4yGuZJhGzvpiznb2IDVdemJK4Dqzdy5FTN/SGYZhAEr7MguG3Z314hMS2scgMsOMgB64uj/6+6U…

Seletor s2 (via CNAME s2.domainkey.u51742174.wl175.sendgrid.net)

k=rsa; t=s; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAnNt2/H6bKs99C6DAaokPp62KN9mKaD20D1PBakkObejkJvzM6Un/fKHPeI2/qXdvFFBPQE3mxMNoe+hwBVDgMgCuZEn8J6gZYI4amITure9/ny6+GaNVRoH2m6xAtWwKINkKxMayGiehkWlRVb7D23F0U8y+VDHKQFz1bnXA5jDpcDiMXy8i2lV5vEys+qt+1WGhDKCAwamT8c3xkZz8aXMJaXYCiN2HMgHDU81+mVCk4+u6mY+a98APVfFhsQ0KCq/mVZXaXTV06QrG9M5PtBHUFW7VtwXKp+AFrAut0KW1NnwaA5IGA5sc+n9dma7bSqdfGS+ixdSmJ69NwmYSH…

DMARC

v=DMARC1; p=quarantine; sp=reject; pct=100; rua=mailto:dmarc@github.com; ruf=mailto:dmarc@github.com; fo=1
Política (p)
quarantine
Política de subdomínio (sp)
reject
Relatórios agregados (rua)
mailto:dmarc@github.com
Porcentagem (pct)
100%
Alinhamento
DKIM: R, SPF: R (R = relaxado, S = estrito)
  • O DMARC está aplicado com p=quarantine e relatórios ativados.

Ver os registros MX de github.com (e-mail gerenciado por Microsoft 365).

Por que SPF, DKIM e DMARC importam

O e-mail foi projetado sem verificação do remetente, então qualquer pessoa pode colocar o seu domínio na linha "De". Três padrões baseados em DNS resolvem isso. Desde fevereiro de 2024, o Google e o Yahoo os exigem de quem envia em massa, e a ausência desses registros é hoje um motivo comum para e-mails legítimos caírem no spam.

  • O SPF lista os servidores autorizados a enviar e-mails em nome do seu domínio, em um registro TXT que começa com v=spf1.
  • O DKIM adiciona uma assinatura criptográfica a cada mensagem; os servidores de recebimento a verificam com uma chave pública publicada em selector._domainkey.seudominio.
  • O DMARC (em _dmarc.seudominio) diz aos servidores de recebimento o que fazer quando o SPF e o DKIM não se alinham com o domínio do campo De (From) (none, quarantine ou reject) e para onde enviar os relatórios.

O que este verificador testa

  • Se o SPF existe, se há apenas um registro, se ele termina em ~all ou -all (nunca +all) e se o número total de consultas DNS, incluindo os mecanismos include: aninhados, permanece dentro do limite de 10 da RFC 7208.
  • Chaves DKIM no seletor que você informar ou em uma dúzia de seletores comuns usados pelo Google Workspace, pelo Microsoft 365 e por serviços de envio populares.
  • Se o DMARC existe, tem uma política válida, se aplica a 100% dos e-mails e envia relatórios agregados para que você veja quem está enviando em seu nome.

Exemplos de registros

example.com.         TXT  "v=spf1 include:_spf.example.net ip4:192.0.2.0/24 -all"
_dmarc.example.com.  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com; adkim=s"
s1._domainkey.example.com. TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqh…"

Implantação recomendada

  1. Publique o SPF cobrindo todos os serviços que enviam em seu nome, terminando com ~all.
  2. Ative a assinatura DKIM em cada provedor.
  3. Publique o DMARC com p=none e um endereço rua e analise os relatórios por duas a quatro semanas.
  4. Passe para p=quarantine e depois para p=reject quando todos os e-mails legítimos estiverem passando.

Passo a passo completo: SPF, DKIM e DMARC explicados.

Perguntas frequentes

Devo usar ~all ou -all?

Com o DMARC configurado, qualquer um funciona; o DMARC decide o resultado. O ~all é o ponto de partida mais seguro; o -all é mais rígido, quando você tem certeza de que todos os remetentes estão listados.

O que significa "muitas consultas DNS"?

Cada include, a, mx, exists e redirect custa uma consulta, inclusive os que estão dentro de registros incluídos. Acima de 10, o SPF falha para todos. Remova serviços não usados ou substitua os includes por faixas ip4/ip6.

Domínios estacionados precisam desses registros?

Sim. Proteja os domínios que nunca enviam e-mail com v=spf1 -all e v=DMARC1; p=reject.

Atualizado

Copiado para a área de transferência