Verificador de SPF e DMARC: registros do seu domínio

Como usar

Digite o seu domínio em Domínio, como example.com.
Se souber, informe o Seletor DKIM (opcional) de uma mensagem assinada, como google ou selector1. Deixe em branco se não souber.
Pressione Verificar domínio. Em Registro SPF, a contagem de Consultas DNS (limite 10) deve ficar em 10 ou menos.
Leia Política DMARC. none apenas monitora; quarantine e reject agem sobre as mensagens que falham.

O que o SPF verifica

O SPF (RFC 7208) lista os servidores que podem enviar e-mail por um domínio, em um registro TXT. O destinatário pega o domínio do remetente, lê o registro SPF dele e confere o servidor que enviou a mensagem com cada termo, da esquerda para a direita. O primeiro termo que bate decide o resultado, pelo seu qualificador: + aprova (o padrão, quando nenhum é escrito), - reprova, ~ é uma falha suave e ? é neutro.

include, a, mx, ptr, exists e redirect custam cada um uma consulta DNS, e as consultas de um registro incluído também contam. Os destinatários param em 10 e tratam o resultado como erro, então uma estrutura grande de e-mail pode quebrar o SPF sem que ninguém perceba.
ip4 e ip6 não custam consulta. Um provedor que publica as faixas de endereços pode ser escrito neles.
Dois registros SPF no mesmo nome são um erro (RFC 7208, seção 4.5), e ptr é desaconselhado (seção 5.5).

O que o DMARC faz

O DMARC (RFC 7489) diz aos destinatários o que fazer com as mensagens que falham nas verificações do seu domínio, e para onde enviar os relatórios. É um registro TXT em _dmarc seguido do seu domínio, formado por tags separadas por ponto e vírgula: p é a política, sp a política para os subdomínios, pct a parte das mensagens que falham à qual a política se aplica, rua o endereço dos relatórios agregados, e adkim e aspf o alinhamento, r para relaxado e s para estrito.

Esta página lê o registro em _dmarc seguido do domínio que você digita. Destinatários que não encontram um registro ali também olham o domínio organizacional, que esta página não calcula.

Chaves DKIM

O DKIM assina cada mensagem com uma chave publicada no DNS sob um seletor, em seletor seguido de ._domainkey e do seu domínio (RFC 6376, seção 3.6.1). A página lê o tipo da chave e o tamanho de uma chave RSA a partir da chave pública. Uma chave vazia significa que ela foi revogada. Chaves Ed25519 (RFC 8463) têm tamanho fixo de 256 bits.

O que este verificador não faz

Não envia e-mails nem testa uma mensagem real, então não diz se o seu e-mail passa.
Não expande macros como %{d}, então um registro que as usa pode ter uma contagem de consultas diferente da de um destinatário.
Não calcula o domínio organizacional do DMARC e não verifica as consultas que voltam vazias.

Exemplo: os registros SPF e DMARC de um domínio

O registro SPF v=spf1 +mx a:colo.example.com/28 -all permite que os servidores de e-mail do domínio e os endereços de colo.example.com dentro da rede /28 enviem as mensagens dele. Todos os outros remetentes são reprovados (-all). O registro custa duas consultas DNS, mx e a.

O registro DMARC v=DMARC1; p=reject; rua=mailto:[email protected] pede aos destinatários que recusem as mensagens que falham nas verificações e que enviem os relatórios agregados para [email protected].

Verificação	Resultado
Consultas DNS no SPF	2
Política (p)	reject
Relatórios (rua)	[email protected]

Perguntas frequentes

Um registro SPF basta para impedir e-mails falsificados?

Não. O SPF verifica o servidor que enviou a mensagem, não o nome que o leitor vê na linha De. Use-o junto com DKIM e com uma política DMARC acima de p=none.

Por que o meu registro SPF falha com muitas consultas?

Cada include, a, mx, ptr, exists e redirect custa uma consulta DNS, e os registros para os quais eles apontam também contam. Quando o total passa de 10, os destinatários tratam o SPF como erro. Remova os includes que você não usa mais, ou use as faixas ip4 e ip6 que o seu provedor publica, que não custam consulta.

Qual política DMARC devo usar?

Comece com p=none e um endereço em rua, leia os relatórios por algumas semanas e confira se o seu e-mail legítimo está passando. Depois passe para quarantine e, quando os relatórios estiverem limpos, para reject.

O que é um seletor DKIM?

É o nome antes de ._domainkey em um registro DKIM. Cada serviço de envio usa o seu próprio seletor, e uma mensagem assinada o informa na tag s= do cabeçalho DKIM-Signature. Abra os cabeçalhos de uma mensagem que você enviou para encontrá-lo.

O que significa o tamanho da chave?

Para uma chave RSA, é o comprimento do módulo em bits, a forma usual de escrever tamanhos de chave: 1024 ou 2048. Se um registro foi cortado ou estragado ao ser copiado, a chave não pode ser lida, e a página informa isso.

Este verificador envia o meu domínio para alguém?

Só os nomes verificados são enviados ao resolvedor de DNS que você escolher, como perguntas de DNS. Nada é guardado por nós, e o restante da página fica no seu navegador.

Fontes

Números e texto verificados pela última vez em terça-feira, 10 de novembro de 2026.