Verificar SPF, DKIM e DMARC
Introduza um nome de domínio. Lemos os seus três registos de autenticação de email, seguimos a cadeia SPF até ao fim, e dizemos-lhe o que impede os seus emails de chegar.
Os três registos, e o que cada um prova
| Registo | O que diz | O erro mais comum |
|---|---|---|
| SPF | que servidores podem enviar em nome do domínio | mais de dez consultas DNS, de tanto acrescentar serviços de envio |
| DKIM | uma assinatura que prova que o email não foi alterado | um serviço de envio acrescentado sem publicar a sua chave |
| DMARC | o que fazer a um email que falha os dois, e a quem reportar | p=none posto há anos e nunca apertado |
Porque se tornou obrigatório
Desde fevereiro de 2024, o Gmail e o Yahoo exigem SPF ou DKIM, e DMARC, a qualquer remetente que envie em volume; a Microsoft seguiu-os em 2025. Sem eles, os seus emails são recusados ou vão para o spam, incluindo faturas e confirmações de encomenda.
O limite de dez consultas
Cada include:, a, mx ou redirect= do seu SPF exige uma consulta DNS, e cada include chama muitas vezes outros. Acima de dez, a norma diz que o SPF dá erro: para todos os seus envios, sem que nada se parta à vista. É a falha mais frequente, e a mais invisível. Esta ferramenta segue a cadeia até ao fim e conta.
DMARC, por ordem
Comece em p=none com um endereço rua para receber os relatórios, corrija os serviços de envio que falham, passe a p=quarantine e depois a p=reject. Ficar em p=none é observar sem nunca proteger.
O que esta ferramenta não faz
- Não envia nenhum email: lê o DNS. Para ver o resultado real de um envio, veja o cabeçalho Authentication-Results de um email recebido.
- Não consegue provar que falta DKIM: só encontrá-lo com os seletores comuns.
- Não verifica BIMI nem MTA-STS, que vêm depois de uma configuração DMARC rigorosa.
Perguntas frequentes
Os meus emails vão para o spam apesar de o SPF ser válido. Porquê?
Porque o SPF sozinho já não chega: o Gmail e o Yahoo exigem também DKIM e DMARC, e o alinhamento entre o domínio do remetente e o que assina. Um serviço de envio (newsletter, faturação) que assina com o próprio domínio falha muitas vezes o alinhamento.
Qual é a diferença entre ~all e -all?
~all marca como suspeitos os emails vindos de outro lado, -all pede que sejam rejeitados. ~all é a configuração habitual: depois decide o DMARC. -all é mais rigoroso, e estraga os reencaminhamentos de email.
Devo passar o DMARC a reject de imediato?
Não. Passe primeiro por p=none com relatórios (rua) durante algumas semanas, corrija os serviços de envio que falham, depois quarantine, depois reject. Passar a reject cedo demais faz desaparecer emails legítimos.
As outras ferramentas
Verificar um certificado SSL
Data de expiração do certificado, emissor e nomes realmente cobertos.
Verificar os cabeçalhos de segurança
HSTS, CSP, X-Frame-Options e os restantes: uma nota em 100, com a grelha e os cabeçalhos em bruto.
A minha página pode ser indexada?
Noindex, robots.txt, canonical, código HTTP: o que impede o Google e o Bing de indexar uma página, motor a motor.
O seu site e o seu domínio, vigiados
A Expansel verifica o seu site e o seu certificado a intervalos regulares e avisa-o antes de o domínio expirar: as três falhas que também cortam o email.