Sender Policy Framework
Um registro TXT no seu domínio com a lista de servidores autorizados a enviar por ele, ex.: v=spf1 include:_spf.google.com ~all. Cada domínio só pode ter um SPF, e a avaliação pode usar no máximo 10 consultas DNS.
Ferramenta grátis · sem cadastro
Verificador de SPF, DKIM e DMARC grátis
O Gmail e o Yahoo (desde fevereiro de 2024) e o Microsoft Outlook (desde maio de 2025) exigem que quem envia em volume autentique o domínio com SPF, DKIM e DMARC. Digite o seu domínio para verificar os três — além de MX, BIMI, MTA-STS e TLS-RPT — e receba uma nota, o veredito para envio em massa e a lista de correções por prioridade.
Relatório de autenticação de
Nota: / 100
Verificado em
Resultado dos últimos 10 minutos. Acabou de alterar o DNS? Verifique de novo daqui a alguns minutos.
O que corrigir, por prioridade
O domínio é só metade da entregabilidade — limpe a sua lista
Criar conta grátis — 200 créditos Autenticação perfeita não evita bounces. Enviar para endereços inválidos, descartáveis ou abandonados prejudica a sua reputação de remetente tanto quanto não ter DMARC. Valide a lista antes da próxima campanha.
→ Verifique um endereço com o validador de e-mail grátis → Barre e-mails ruins já no cadastro com a validação em tempo real
Como funciona este verificador de SPF, DKIM e DMARC
- 1
Consultas DNS ao vivo
Consultamos o DNS do seu domínio em tempo real. Cole um domínio, um e-mail ou uma URL — nós extraímos o domínio.
- 2
SPF lido e contado
Lemos o registro SPF, seguimos cada include e redirect, contamos as consultas DNS contra o limite de 10 da RFC 7208 e conferimos o qualificador “all” final.
- 3
DKIM e DMARC
Testamos mais de 30 seletores DKIM comuns e até 5 informados por você, medimos o tamanho da chave e lemos a política DMARC, o pct e o endereço de relatórios.
- 4
Nota e correções
Você recebe uma nota de 0 a 100 com conceito de A a F, o veredito para envio em massa no Gmail/Yahoo/Outlook e a lista do que corrigir por prioridade, em linguagem clara.
SPF, DKIM, DMARC, BIMI e MTA-STS sem complicação
Alguns poucos registros DNS decidem se os provedores confiam nas mensagens que dizem vir do seu domínio.
DomainKeys Identified Mail
A sua plataforma de envio assina cada mensagem com uma chave privada; a chave pública fica em seletor._domainkey.seudominio. Uma assinatura válida prova que a mensagem não foi alterada e que o seu domínio responde por ela. Use chaves de 2048 bits.
Domain-based Message Authentication, Reporting & Conformance
Um registro TXT em _dmarc.seudominio que diz ao destinatário o que fazer com mensagens que falham no SPF e no DKIM alinhados — p=none (monitorar), p=quarantine (spam) ou p=reject (recusar) — e para onde mandar relatórios (rua).
Extras opcionais
O BIMI mostra o logo da sua marca ao lado das mensagens quando o DMARC está aplicado (os grandes provedores também pedem um certificado de marca). MTA-STS e TLS-RPT fazem o e-mail enviado ao seu domínio trafegar criptografado e avisam quando isso não acontece.
→ Leia o guia completo de SPF, DKIM e DMARC, com plano de implantação passo a passo
Regras de envio em massa do Gmail, Yahoo e Outlook
Desde fevereiro de 2024 o Gmail e o Yahoo — e desde maio de 2025 o Microsoft Outlook.com — aplicam regras mais rígidas a quem envia cerca de 5.000 mensagens por dia ou mais para os seus usuários. O que não cumpre vai para o spam ou é recusado.
SPF e DKIM
Os dois precisam estar configurados no domínio de envio. Remetentes menores precisam de pelo menos um, mas ter os dois é o padrão seguro.
DMARC, no mínimo p=none
Um registro DMARC válido é obrigatório. p=none é aceito, mas só quarantine ou reject impedem de fato a falsificação do seu domínio.
Alinhamento
O domínio do remetente visível (From) precisa coincidir com o domínio que passa no SPF ou no DKIM. Isso é verificado nas mensagens reais, não no DNS.
Descadastro com um clique
Gmail e Yahoo exigem que mensagens de marketing tenham o cabeçalho List-Unsubscribe de um clique (RFC 8058) e que o descadastro seja processado em até dois dias.
Taxa de spam abaixo de 0,3%
Mantenha as denúncias de spam abaixo de 0,3% no Google Postmaster Tools — de preferência abaixo de 0,1%. Endereços antigos, inválidos e abandonados aumentam bounces e reclamações.
PTR e TLS válidos
Os IPs de envio precisam de DNS direto e reverso coerentes, e as mensagens devem ser entregues por conexão TLS.
Este verificador confere tudo o que é visível no DNS. Alinhamento, cabeçalhos de descadastro e taxa de spam dependem de como você envia — e da qualidade da sua lista.
Perguntas frequentes
Este verificador de SPF, DKIM e DMARC é mesmo grátis?
Sim. São 30 verificações por dia sem precisar de conta. A ferramenta só lê registros DNS públicos — nenhum e-mail é enviado do seu domínio nem para ele.
Qual é uma boa política DMARC?
Comece com p=none e um endereço rua para receber relatórios por algumas semanas. Quando todos os remetentes legítimos passarem no SPF ou DKIM alinhado, vá para p=quarantine e depois p=reject, aplicado a 100% das mensagens. p=none atende ao mínimo do Gmail, Yahoo e Outlook, mas não protege o seu domínio contra falsificação.
Por que o SPF tem limite de 10 consultas DNS?
A RFC 7208 limita a 10 por verificação os mecanismos que geram consultas DNS (include, a, mx, ptr, exists e redirect), para proteger quem recebe. Acima disso o resultado é “permerror” e muitos provedores tratam o SPF como falho. Remova serviços que você não usa mais, troque includes por faixas ip4/ip6 quando forem estáveis ou mova alguns remetentes para subdomínios.
O que é um seletor DKIM e como descubro o meu?
O seletor é o nome sob o qual a chave pública DKIM é publicada (seletor._domainkey.seudominio), o que permite ter várias chaves no mesmo domínio. Abra uma mensagem que você enviou, veja o cabeçalho original e procure DKIM-Signature: o valor de s= é o seletor e d= é o domínio que assinou.
A chave DKIM deve ter 1024 ou 2048 bits?
Use 2048 bits. Chaves de 1024 bits ainda são aceitas pelos grandes provedores, mas são consideradas fracas, e chaves com menos de 1024 bits são recusadas. Se o seu provedor de DNS não aceita o valor longo numa só string, divida-o em várias strings entre aspas no mesmo registro TXT.
Preciso de BIMI?
Não. O BIMI é opcional e não melhora a entregabilidade sozinho. Ele exibe o seu logo nas caixas de entrada compatíveis quando o DMARC está em quarantine ou reject; Gmail e Apple Mail também exigem um Verified Mark Certificate (o Gmail aceita ainda um Common Mark Certificate).
Por que o verificador não encontra a minha chave DKIM?
Só dá para achar uma chave DKIM sabendo o seletor — o DNS não permite listar as chaves. Testamos mais de 30 seletores comuns; se a sua plataforma usa um personalizado, informe no campo opcional. Confirme também que a plataforma assina com o seu domínio (d=seudominio), e não com o dela.
Quanto tempo as alterações de DNS levam para aparecer?
Normalmente minutos, mas pode levar até o TTL do registro (muitas vezes uma hora, às vezes até 48 horas). Nossos resultados ficam em cache por 10 minutos, então espere um pouco antes de verificar de novo.
Domínio autenticado + lista limpa = caixa de entrada
Uma conta grátis dá 200 créditos (10 para e-mails de provedor gratuito) para validar listas em lote, pela API REST ou em tempo real nos seus formulários.
Criar conta grátis — 200 créditosSem cartão de crédito. Créditos não expiram.