Verificador de SPF, DKIM e DMARC
Cheque em segundos se o seu domínio tem os registros de autenticação configurados corretamente. SPF, DKIM e DMARC são o que separa o seu e-mail da caixa de entrada da caixa de spam — e o que impede que golpistas falsifiquem mensagens em nome da sua empresa.
O que cada registro faz
SPF — quem pode enviar
O SPF (Sender Policy Framework) é um registro TXT que lista os servidores autorizados a enviar e-mail em nome do seu domínio. Quando o provedor do destinatário recebe a mensagem, ele confere se o servidor de origem está nessa lista. Um SPF bem configurado termina em -all (rígido) ou ~all (brando) — terminar em +all ou ?all deixa a porta aberta para falsificação.
DKIM — a assinatura digital
O DKIM (DomainKeys Identified Mail) assina cada mensagem com uma chave criptográfica privada. A chave pública correspondente fica publicada no DNS, em seletor._domainkey.seudominio. O destinatário usa essa chave para confirmar que a mensagem não foi alterada no caminho e que realmente saiu do seu domínio. É por isso que a verificação de DKIM precisa do seletor — cada provedor de e-mail usa um nome diferente.
DMARC — a regra de decisão
O DMARC (Domain-based Message Authentication, Reporting and Conformance) amarra SPF e DKIM e diz ao provedor o que fazer quando uma mensagem falha nas duas verificações: ignorar (p=none), mandar para o spam (p=quarantine) ou recusar (p=reject). Também gera relatórios que mostram quem está tentando enviar e-mail em nome do seu domínio. Sem DMARC, você fica cego para abuso.
Os 6 erros mais comuns — e como corrigir cada um
A maior parte dos domínios que reprovam na verificação não está sem autenticação: está com autenticação quebrada por um detalhe. Estes são os casos que aparecem com mais frequência em migrações e em contratações de serviço de disparo.
1. Dois registros SPF no mesmo domínio
A RFC 7208 admite um único registro TXT começando com v=spf1. Com dois, a avaliação devolve permerror e vale como falha, ainda que ambos estejam corretos isoladamente. Correção: mesclar tudo em um registro só, usando include: para cada serviço.
2. Estourar o limite de 10 consultas de DNS
Cada include, a, mx, ptr e redirect consome consulta, e includes aninhados contam os filhos também. Passou de 10, é permerror. Correção: remover serviços que não enviam mais, achatar includes desnecessários e evitar ptr, que a própria RFC desaconselha.
3. Terminar o SPF em +all
+all autoriza qualquer servidor do mundo a enviar em nome do domínio — é ter SPF publicado e nenhuma proteção. Correção: usar -all quando o inventário de remetentes estiver completo, ou ~all durante a fase de observação.
4. DMARC parado em p=none para sempre
p=none só observa: um domínio nessa política continua sendo falsificado à vontade. A política é degrau, não destino. Correção: publicar rua= para receber os relatórios agregados, ler o que aparece por algumas semanas e evoluir para quarantine e depois reject.
5. Alinhamento quebrado com serviço de disparo
O DMARC não olha só se SPF ou DKIM passaram: ele exige alinhamento com o domínio que o destinatário vê no campo From. Plataformas de disparo costumam usar um Return-Path próprio, o que passa no SPF e reprova no alinhamento. Correção: configurar o domínio de envio personalizado da plataforma e assinar em DKIM com o seu domínio — DKIM alinhado sustenta o DMARC sozinho.
6. Seletor de DKIM órfão após migração
Quem troca de provedor costuma publicar o seletor novo e esquecer o antigo no DNS — ou o contrário, apagar o antigo antes do corte e ficar sem assinatura válida por algumas horas. Correção: manter os dois seletores publicados durante a janela de migração e remover o antigo só depois que os relatórios DMARC pararem de citá-lo.
Vale lembrar por que isso deixou de ser opcional: desde fevereiro de 2024, Google e Microsoft passaram a exigir SPF, DKIM e DMARC de quem envia volume alto para Gmail e Outlook — sem os três, a mensagem nem chega a ser avaliada pelo filtro de conteúdo. O passo a passo completo de configuração está no guia de melhores práticas de segurança de e-mail.
Quer indicar esta ferramenta?
Se você escreve sobre e-mail, segurança ou TI, fique à vontade para indicar este verificador aos seus leitores. Copie o link abaixo:
<a href="https://meile.com.br/ferramentas/verificador-spf-dkim-dmarc/" target="_blank" rel="noopener">
Verifique o SPF, DKIM e DMARC do seu domínio (ferramenta gratuita)
</a>Para revendedores: deliverability é serviço gerenciado recorrente
Configurar e manter SPF, DKIM e DMARC para cada cliente é exatamente o tipo de trabalho que separa um revendedor profissional de um que só repassa caixa de e-mail. Quem opera uma carteira de domínios com autenticação correta entrega na caixa de entrada, bloqueia falsificação e tem relatórios para mostrar — e cobra por isso todo mês.
Revender e-mail é um modelo de receita recorrente e previsível: você contrata a operação como serviço gerenciado e revende com a sua marca e o seu preço, mês a mês — diferente de revender Google Workspace ou Microsoft 365, onde o ganho é uma comissão fixa sobre o preço do fabricante (o próprio Google reduziu a margem de parceiro de 20% para 12% em abril de 2024). E ainda com datacenter no Brasil e conformidade LGPD como diferencial. Conheça o programa de revenda white label da Meile.
Quero ser parceiro