Verificador de SPF e DMARC

Por que SPF, DKIM e DMARC importam

O e-mail foi projetado sem verificação do remetente, então qualquer pessoa pode colocar o seu domínio na linha "De". Três padrões baseados em DNS resolvem isso. Desde fevereiro de 2024, o Google e o Yahoo os exigem de quem envia em massa, e a ausência desses registros é hoje um motivo comum para e-mails legítimos caírem no spam.

• O SPF lista os servidores autorizados a enviar e-mails em nome do seu domínio, em um registro TXT que começa com v=spf1.
• O DKIM adiciona uma assinatura criptográfica a cada mensagem; os servidores de recebimento a verificam com uma chave pública publicada em selector._domainkey.seudominio.
• O DMARC (em _dmarc.seudominio) diz aos servidores de recebimento o que fazer quando o SPF e o DKIM não se alinham com o domínio do campo De (From) (none, quarantine ou reject) e para onde enviar os relatórios.

O que este verificador testa

• Se o SPF existe, se há apenas um registro, se ele termina em ~all ou -all (nunca +all) e se o número total de consultas DNS, incluindo os mecanismos include: aninhados, permanece dentro do limite de 10 da RFC 7208.
• Chaves DKIM no seletor que você informar ou em uma dúzia de seletores comuns usados pelo Google Workspace, pelo Microsoft 365 e por serviços de envio populares.
• Se o DMARC existe, tem uma política válida, se aplica a 100% dos e-mails e envia relatórios agregados para que você veja quem está enviando em seu nome.

Exemplos de registros

example.com.         TXT  "v=spf1 include:_spf.example.net ip4:192.0.2.0/24 -all"
_dmarc.example.com.  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com; adkim=s"
s1._domainkey.example.com. TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqh…"

Implantação recomendada

1. Publique o SPF cobrindo todos os serviços que enviam em seu nome, terminando com ~all.
2. Ative a assinatura DKIM em cada provedor.
3. Publique o DMARC com p=none e um endereço rua e analise os relatórios por duas a quatro semanas.
4. Passe para p=quarantine e depois para p=reject quando todos os e-mails legítimos estiverem passando.

Passo a passo completo: SPF, DKIM e DMARC explicados.

Perguntas frequentes

Devo usar ~all ou -all?

Com o DMARC configurado, qualquer um funciona; o DMARC decide o resultado. O ~all é o ponto de partida mais seguro; o -all é mais rígido, quando você tem certeza de que todos os remetentes estão listados.

O que significa "muitas consultas DNS"?

Cada include, a, mx, exists e redirect custa uma consulta, inclusive os que estão dentro de registros incluídos. Acima de 10, o SPF falha para todos. Remova serviços não usados ou substitua os includes por faixas ip4/ip6.

Domínios estacionados precisam desses registros?

Sim. Proteja os domínios que nunca enviam e-mail com v=spf1 -all e v=DMARC1; p=reject.

Atualizado 2026-10-17