Verificador de SPF, DKIM e DMARC
Verifique a autenticação de e-mail de um domínio de uma só vez. Veja o registro SPF e quantas consultas DNS ele usa, encontre as chaves DKIM e leia a política DMARC, cada um com um veredito claro e o que corrigir. Grátis e sem cadastro.
Verificar um domínio
Digite o domínio do endereço From: dos seus e-mails. Os registros são lidos ao vivo do DNS público.
Digite um domínio e clique em Verificar.
Nada verificado ainda.
As consultas vão direto do seu navegador para o Google Public DNS via HTTPS. Nada é enviado aos nossos servidores, registrado ou salvo.
Três registros DNS decidem se seus e-mails são confiáveis. O SPF lista os servidores autorizados a enviar pelo seu domínio, o DKIM publica a chave que verifica a assinatura de cada mensagem e o DMARC diz aos destinatários o que fazer quando os dois falham e para onde mandar relatórios. Uma falha em qualquer um deles é o motivo comum de e-mails irem para o spam ou de um domínio ser falsificado. Esta ferramenta lê os três e explica cada resultado.
Principais vantagens
Casos de uso comuns
Como usar
- 1.Digite o domínio. Use o domínio do seu endereço From:, como
exemplo.com. Um e-mail ou uma URL também funcionam: o domínio é extraído. - 2.Informe um seletor DKIM se souber. Deixe vazio para testar os comuns. Seu seletor real é o valor
s=do cabeçalho DKIM-Signature de uma mensagem enviada. - 3.Clique em Verificar domínio. SPF, DKIM e DMARC são consultados em paralelo. Cada um recebe um veredito e uma lista de achados claros e práticos.
- 4.Corrija e verifique de novo. Altere o registro no seu provedor de DNS e verifique novamente. Mudanças podem levar até o TTL do registro para aparecer.
O que cada registro faz
Eles funcionam juntos. SPF e DKIM provam que uma mensagem é autêntica; o DMARC os liga ao domínio visível do From: e define a política.
ip4:, include: e similares, e termina em ~all ou -all. Deve existir exatamente um.include, a, mx, exists e redirect custa uma consulta DNS, contando includes aninhados. Mais de 10 é erro permanente.p= vazio significa que a chave foi revogada._dmarc. mais o domínio. A tag p= é a política: none, quarantine ou reject.Principais recursos
- Verifica SPF, DKIM e DMARC juntos e dá um veredito para cada um
- Segue includes e redirects do SPF para contar consultas frente ao limite de 10
- Aponta +all, ?all, ausência de all, ptr e registros SPF duplicados
- Testa 17 seletores DKIM comuns, ou os que você digitar, e estima o tamanho da chave
- Lê a política DMARC, a de subdomínios, pct e os endereços de relatório
- Aceita um domínio, um endereço de e-mail ou uma URL
- As consultas usam o Google Public DNS via HTTPS, direto do seu navegador
Passar aqui não garante a caixa de entrada
Esses registros provam quem enviou uma mensagem. Os destinatários também pesam a reputação do remetente, o conteúdo, as reclamações e o volume, então um domínio com SPF, DKIM e DMARC perfeitos ainda pode cair no spam, e uma correção pode levar alguns dias para aparecer.
Implante o DMARC em etapas: comece com p=none e um endereço rua, leia os relatórios até todos os remetentes reais passarem, depois vá para quarantine e por fim reject. Nosso guia para ler um relatório DMARC mostra o que observar, e a ferramenta de consulta DNS mostra qualquer outro tipo de registro.
Perguntas frequentes
Qual a diferença entre SPF, DKIM e DMARC?⌄
O SPF lista os servidores autorizados a enviar por um domínio. O DKIM adiciona a cada mensagem uma assinatura criptográfica, verificada com uma chave publicada no DNS. O DMARC exige que SPF ou DKIM passe para o domínio visível do From:, diz o que fazer se não passar e pede relatórios. Você precisa dos três.
Por que não foi encontrada nenhuma chave DKIM?⌄
As chaves DKIM ficam em seletor._domainkey.seudominio, e o seletor é escolhido pelo serviço que assina seus e-mails, então não pode ser descoberto pelo DNS. A ferramenta testa seletores comuns. Se o seu for outro, procure s= no cabeçalho DKIM-Signature de uma mensagem enviada e digite-o no campo de seletor.
O que significa "consultas DNS demais" no SPF?⌄
O SPF permite no máximo 10 consultas DNS durante a avaliação, contando cada include, a, mx, exists e redirect, inclusive dentro dos registros incluídos. Acima de 10 o resultado é erro permanente e o SPF falha para todas as mensagens. Remova serviços que você não usa mais ou troque includes pelos intervalos ip4 e ip6 correspondentes.
Devo usar ~all ou -all?⌄
Os dois servem quando o DMARC está ativo, porque é o DMARC que decide. ~all (softfail) é a opção mais segura enquanto você descobre todos os serviços que enviam por você. -all (fail) é mais rígido. Nunca use +all, que autoriza a internet inteira.
p=none basta para o DMARC?⌄
É o ponto de partida, não de chegada. p=none só monitora: e-mails que falham continuam sendo entregues, então a falsificação não é barrada. Quando os relatórios mostrarem todos os remetentes legítimos passando, vá para p=quarantine e depois p=reject. Google e Yahoo exigem pelo menos um registro DMARC de quem envia em massa.