netlupaVerificar SPF, DKIM e DMARC
Digite seu domínio para revisar os três registros que decidem se seus e-mails chegam à caixa de entrada ou caem no spam.
Como verificar a autenticação do seu e-mail
Digite o domínio de onde você envia e-mails (a parte depois do @).
Se souber seu seletor DKIM, digite; se não, deixe vazio que testamos os dos provedores mais comuns.
Revise os três blocos: cada aviso explica o que está errado e como corrigir no DNS do seu domínio.
SPF, DKIM e DMARC em dois minutos
O e-mail não confere sozinho quem o envia: qualquer pessoa pode colocar o que quiser no remetente. Para evitar falsificação (phishing) e spam, os servidores de e-mail consultam três registros TXT do domínio:
- SPF: a lista de servidores autorizados a enviar e-mail do domínio.
- DKIM: uma assinatura criptográfica em cada mensagem, conferida com uma chave pública publicada no DNS.
- DMARC: a política que une os dois. Diz o que fazer quando um e-mail não passa nem no SPF nem no DKIM alinhados com o remetente (deixar passar, mandar para o spam ou rejeitar) e para onde enviar os relatórios.
Sem os três, seus e-mails têm muito mais chance de cair na caixa de spam, e qualquer pessoa pode enviar e-mails falsos em seu nome.
Por que agora são obrigatórios
Desde 2024, o Gmail e o Yahoo exigem SPF, DKIM e DMARC de quem envia mais de 5.000 e-mails por dia para os usuários deles, e a Microsoft aplica as mesmas regras no Outlook.com desde 2025. Para remetentes pequenos não são obrigatórios no sentido estrito, mas sem eles a reputação do domínio cai e os filtros ficam muito mais duros.
Além disso, o DMARC com política “quarantine” ou “reject” é requisito para mostrar seu logotipo ao lado dos e-mails (BIMI) e é cada vez mais cobrado em auditorias de segurança e seguros cibernéticos.
Erros mais comuns
- Dois registros SPF: ao adicionar um provedor novo, cria-se outro registro em vez de adicionar um include ao existente. Com dois, o SPF falha por completo.
- Mais de 10 consultas DNS: cada include, a, mx ou exists conta, inclusive os que estão dentro dos include. Com muitos provedores, o limite é ultrapassado sem ninguém perceber.
- “+all” no final: autoriza todo mundo e anula o SPF.
- DMARC em “p=none” para sempre: é o modo de observação, útil no começo, mas não protege.
- DKIM não ativado no provedor: muitos (Google Workspace, Microsoft 365) exigem ativar manualmente e publicar a chave.
- Chaves DKIM de 1024 bits: ainda funcionam, mas vale trocar por 2048.
Como chegar ao DMARC “reject” sem perder e-mails
A ordem segura é esta:
- Publique o SPF com todos os seus serviços de envio (seu e-mail, o site, o CRM, a ferramenta de newsletter) terminado em “~all”.
- Ative o DKIM em cada serviço que envia em seu nome.
- Publique o DMARC com “p=none” e um endereço rua para receber relatórios.
- Durante algumas semanas, revise os relatórios e adicione ao SPF ou ao DKIM os serviços legítimos que falharem.
- Passe para “p=quarantine” (pode começar com pct=25 e ir subindo) e, quando tudo estiver limpo, para “p=reject”.
Volte a esta ferramenta depois de cada mudança para conferir se os registros continuam válidos.
Cada registro em detalhe
Perguntas frequentes
Qual é o meu seletor DKIM?
Abra um e-mail que você enviou, veja o código-fonte ou os cabeçalhos originais e procure DKIM-Signature: o valor de “s=” é o seletor e o de “d=” é o domínio. O Google Workspace costuma usar “google” e o Microsoft 365 “selector1” e “selector2”.
É melhor “~all” ou “-all”?
Com DMARC funcionando, a diferença prática é pequena, porque quem decide é a política DMARC. “-all” é mais rigoroso; “~all” é mais tolerante com encaminhamentos e serviços esquecidos. Sem DMARC, “-all” protege mais.
Mudei o DNS e a ferramenta não vê a mudança. Por quê?
Os registros DNS ficam em cache pelo tempo do TTL (muitas vezes uma hora). Espere esse tempo e confira de novo. Confira também se o registro está no nome certo (por exemplo, _dmarc.seudominio.com.br para o DMARC).
Preciso de SPF e DMARC em um domínio que não envia e-mail?
Sim, e é muito recomendável: publique “v=spf1 -all” e “v=DMARC1; p=reject;” para que ninguém use esse domínio para enviar e-mails falsos.
Vocês guardam os domínios que eu verifico?
Não. Consultamos o DNS público na hora, com nosso próprio resolvedor, e não guardamos nem o domínio nem o resultado.