Email DNS Checker: SPF, DKIM e DMARC
Este verificador gratuito de DNS de email consulta os registros MX de um domínio, registro SPF, política DMARC e chaves DKIM e classifica cada um: o SPF está presente exatamente uma vez e dentro do limite de dez lookups, a DMARC impõe uma política e coleta relatórios, um seletor DKIM publica uma chave. Cada falha vem com o registro a adicionar. Use quando emails caem em spam ou são devolvidos.
Email DNS Checker
Domain and Server
Sobre esta ferramenta
Desde 2024, Gmail, Yahoo e Microsoft exigem que remetentes autentiquem emails com SPF e DKIM e publiquem uma política DMARC, e emails que falham são enviados para spam ou rejeitados. A maioria das pequenas empresas descobre isso quando cotações e faturas param de chegar. Os registros vivem no DNS, onde um erro de digitação, um segundo registro SPF ou um include esquecido quebra tudo silenciosamente.
O verificador consulta o DNS do domínio diretamente. Lista os registros MX e identifica o provedor de email quando possível. Encontra o registro TXT começando com v=spf1, verifica que há exatamente um, analisa seus mecanismos, conta os que custam um lookup de DNS contra o limite de dez e lê o qualificador all. Busca _dmarc.domain e lê a política, política de subdomínio, percentual, endereços de relatório e configurações de alinhamento. Para DKIM, procura o seletor que você fornece ou tenta uma lista de seletores comuns e confirma que uma chave pública está publicada.
DNS só pode mostrar o que está publicado, não se seu servidor de email realmente assina com a chave ou se os endereços no seu SPF são realmente os que enviam. Seletores DKIM são privados para cada remetente, então um domínio pode estar perfeitamente configurado com um seletor que a ferramenta não adivinhou: insira-o nas configurações do seu provedor de email. Uma política DMARC de none passa no requisito básico mas não protege ninguém; o verificador avisa sobre isso.
Perguntas frequentes
O que SPF, DKIM e DMARC fazem cada um?
SPF lista os servidores permitidos para enviar emails do seu domínio. DKIM adiciona uma assinatura criptográfica a cada mensagem para que receptores possam verificar que não foi alterada e veio de você. DMARC diz aos receptores o que fazer quando ambos falham (nada, quarentena ou rejeitar) e para onde enviar relatórios. Você precisa dos três.
Por que mais de um registro SPF é um problema?
O padrão SPF diz que um domínio deve ter exatamente um registro começando com v=spf1; receptores tratam dois como um erro permanente e falham na verificação. Geralmente acontece quando um segundo serviço adiciona seu próprio registro em vez de ser mesclado no primeiro. Combine cada include em um único registro terminando com ~all ou -all.
Qual é o limite de 10 lookups do SPF?
Receptores param de avaliar SPF após dez lookups de DNS causados por include, a, mx, ptr, exists e redirect, e retornam um erro permanente. Cada include pode puxar mais lookups do seu próprio. Remova serviços que não usa mais, substitua includes por entradas ip4 quando possível ou use um serviço de flattening de SPF.
Qual política DMARC devo usar?
Comece com p=none e um endereço rua= para coletar relatórios por algumas semanas, corrija qualquer remetente legítimo que falhe, depois mude para p=quarantine e finalmente p=reject. p=none satisfaz o requisito do Gmail e Yahoo mas não impede ninguém de falsificar seu domínio; reject é o objetivo.
Como encontro meu seletor DKIM?
Está nas instruções de configuração de DNS do seu provedor de email: Google Workspace usa google, Microsoft 365 usa selector1 e selector2, Zoho e outros deixam você escolher. Você também pode abrir os headers de uma mensagem enviada e ler o valor s= na linha DKIM-Signature. Insira-o no campo seletor para verificar essa chave exata.