Informe um domínio para verificar de uma vez seus registros SPF, DKIM e DMARC, com correções em linguagem simples para o que estiver errado.
Isto verifica os registros como estão publicados no DNS agora. Não testa se uma mensagem específica passou. Para isso, abra os cabeçalhos da mensagem e leia a linha Authentication-Results. Alterações recentes podem demorar a aparecer por causa do cache de DNS.
O SPF indica quais servidores podem enviar em nome de um domínio. O DKIM adiciona uma assinatura criptográfica a cada mensagem para que o destinatário verifique que ela não foi alterada e realmente veio de quem detém a chave de assinatura. O DMARC amarra os dois: informa aos destinatários que o domínio do endereço From visível deve ser o mesmo domínio validado pelo SPF ou pelo DKIM e o que fazer quando não for.
Uma mensagem passa no DMARC se o SPF ou o DKIM passar e estiver alinhado ao domínio From. Configurar os dois é a escolha mais robusta, porque o encaminhamento quebra o SPF e alguns serviços reassinam ou modificam mensagens de formas que afetam o DKIM.
Tudo vem do DNS público, então você pode executar a verificação em qualquer domínio.
As chaves DKIM são publicadas sob um nome que você escolhe, chamado de seletor. O DNS não consegue listá-las, então a verificação só encontra uma chave se souber o seletor. A fonte confiável é uma mensagem real: abra os cabeçalhos, encontre a linha DKIM-Signature e leia o valor s= (e d= para o domínio de assinatura). Seu serviço de envio também mostra o seletor quando você configura o domínio.
Se a nossa verificação não encontrar nenhum dos nomes comuns, isso não significa que o DKIM esteja ausente. Significa que o seletor é outro. Informe-o e execute a verificação de novo.
Um registro DMARC com p=none e sem endereço rua não monitora nada. Se for corrigir apenas uma coisa, adicione um endereço de relatório.
| Política | Efeito sobre e-mails que falham | Estágio típico |
|---|---|---|
| p=none | Entregue normalmente. Os relatórios são enviados ao seu endereço rua. | Comece aqui e acompanhe os relatórios. |
| p=quarantine | Os destinatários devem tratá-lo como suspeito, geralmente enviando para a pasta de spam. | Enquanto você termina de corrigir os remetentes. Aumente o pct em etapas. |
| p=reject | Os destinatários devem recusá-lo. | O estágio final, quando todo remetente legítimo passa. |
A verificação lê o tamanho da chave na chave pública publicada. Chaves RSA de 2048 bits são a recomendação comum hoje; chaves de 1024 bits ainda funcionam com a maioria dos destinatários, mas são mais fracas, e chaves menores são consideradas inseguras. Publicar uma chave de 2048 bits faz o registro TXT ficar maior que 255 caracteres, então ele precisa ser armazenado em mais de uma string; a maioria dos painéis de DNS faz isso por você.
O Google e o Yahoo passaram a exigir autenticação de remetentes em massa em 2024: espera-se que quem envia grandes volumes tenha SPF, DKIM e um registro DMARC, mantenha baixas as taxas de reclamação de spam e ofereça cancelamento de inscrição fácil. A Microsoft anunciou requisitos comparáveis para o Outlook.com. Os limites exatos e a aplicação são definidos por cada provedor e mudaram com o tempo, então consulte as diretrizes atuais de remetentes deles em vez de confiar em um número citado aqui.
Corrija o SPF primeiro (um registro, com menos de dez consultas), depois publique a chave DKIM fornecida pelo seu serviço de envio e então adicione o DMARC com p=none. Nosso guia para corrigir falhas de SPF, DKIM e DMARC explica cada mensagem de erro. Lembre-se de que as alterações de DNS levam tempo para se propagar, então teste de novo depois que o time-to-live do registro antigo tiver passado.
Encontra o registro, conta as consultas DNS em relação ao limite de 10 e sinaliza registros duplicados, sintaxe incorreta e configurações arriscadas.
Consulta a chave pública do seu seletor, lê o tamanho dela e sinaliza chaves revogadas, ilegíveis ou curtas e o modo de teste.
Lê a política, os endereços de relatório e a porcentagem, e sinaliza tags inválidas, vários registros e política ausente.
Cada problema vem com uma correção em linguagem simples, e os guias abaixo cobrem a configuração completa.
Ele lê os registros DNS públicos do seu domínio: o registro SPF, o registro DMARC em _dmarc.seudominio e a chave pública DKIM em seletor._domainkey.seudominio. Ele informa se cada um existe, é válido e apresenta problemas comuns.
Um seletor é o nome que o seu serviço de envio escolheu para a sua chave DKIM, de modo que um domínio pode ter várias chaves. Você o encontra no valor s= do cabeçalho DKIM-Signature de qualquer mensagem que enviou, ou nas configurações de domínio do seu serviço de envio. Informe-o para verificar exatamente aquela chave.
Sem um seletor, só podemos testar uma lista curta de nomes comuns, e cada serviço escolhe o seu. Um "não encontrado" nesses nomes não prova que o DKIM está ausente. Informe o seu seletor para ter uma resposta definitiva.
p=none é o modo de monitoramento. Os destinatários não tomam nenhuma ação sobre e-mails que falham no DMARC, mas enviam relatórios para o endereço em rua. É o ponto de partida recomendado; quando os relatórios mostrarem que todo remetente legítimo passa, você pode avançar para quarantine e depois para reject.
Não. Esses registros mostram que o seu domínio está configurado para se autenticar. A entrada na caixa de entrada também depende da reputação do remetente, da qualidade da lista, das taxas de reclamação e do conteúdo. Para ver se uma mensagem passou, leia o cabeçalho Authentication-Results dela.
As consultas são executadas em nossos servidores e os resultados ficam retidos por cerca de cinco minutos para que verificações repetidas não repitam as consultas DNS. As verificações não são vinculadas a uma conta, e a ferramenta tem limite de taxa para proteger os servidores DNS que ela consulta.
Siga o guia passo a passo para publicar SPF, DKIM e DMARC no seu domínio de envio.
Crie uma conta, adicione seu domínio e envie seu primeiro e-mail.