O que SPF, DKIM e DMARC comprovam, como funcionam juntos e um gerador que cria registros SPF e DMARC válidos e conta as consultas DNS do SPF.
O SPF lista os servidores autorizados a enviar e-mails pelo seu domínio. O DKIM adiciona uma assinatura que prova que a mensagem não foi alterada e informa o domínio que assinou. O DMARC verifica se um dos dois passa para o domínio da linha De e depois diz aos destinatários se devem entregar, colocar em quarentena ou rejeitar os e-mails que falham.
O que cada registro é e onde ele fica
Se você envia faturas, confirmações de agendamento ou newsletters pelo seu próprio domínio, essas três entradas de DNS decidem se elas chegam à caixa de entrada ou à pasta de spam. Cada uma é um registro TXT, uma entrada de texto livre que o seu provedor de DNS permite adicionar. Os geradores abaixo escrevem as linhas de SPF e DMARC por você e verificam a sintaxe de acordo com os padrões publicados. O DKIM é diferente: o seu provedor de e-mail gera a chave, então você copia o valor dele em vez de escrever um.
Em outubro de 2026, o Gmail pede SPF ou DKIM a todos os remetentes, e quem envia 5,000 ou mais mensagens por dia para contas do Gmail precisa de SPF, DKIM e DMARC. O Yahoo pede aos remetentes em massa SPF, DKIM e uma política DMARC de pelo menos p=none. Configurar os três é a resposta simples para qualquer domínio comercial.
O símbolo antes de all é um qualificador. Um sinal de menos significa fail, um til significa softfail, um ponto de interrogação significa neutral e um sinal de mais significa pass. A maioria dos domínios termina com -all ou ~all; +all aprovaria todos os servidores da internet e nunca deve ser usado.
O padrão SPF diz que os verificadores devem parar depois de 10 termos que exigem uma consulta DNS: include, a, mx, ptr, exists e redirect. Includes dentro de includes também contam. Passar disso gera um erro permanente (permerror), e o SPF deixa de contar como aprovado.
O DMARC só considera uma aprovação se o domínio verificado pelo SPF ou pelo DKIM corresponder ao domínio exibido na linha De. O alinhamento flexível, o padrão, aceita um subdomínio da mesma organização; o alinhamento estrito exige uma correspondência exata.
Na área de administração do seu provedor de e-mail, normalmente em autenticação ou configurações de domínio. Ele fornece um nome de seletor e uma chave pública. Você publica a chave nesse seletor sob _domainkey, e o provedor assina os e-mails enviados com a chave privada correspondente.
Pode bloquear, se um serviço que envia como o seu domínio estiver fora do SPF e não assinar com DKIM. É por isso que os relatórios do p=none vêm primeiro: eles listam todos os servidores que enviam como você, para que você possa corrigi-los antes de endurecer a política.
As tags são separadas por ponto e vírgula. v precisa vir primeiro e p é obrigatório; todo o resto é opcional.
Tags do DMARC segundo a RFC 7489
Um include e um endereço IP consomem juntos uma única consulta DNS, e todo o resto é reprovado.
O seletor s1 em example.com é consultado em s1._domainkey.example.com. A chave em si vem do seu provedor.
Nada é bloqueado ainda; os destinatários enviam resumos diários de quem enviou e-mails como o seu domínio.
Gerador de registro SPF
Marque os serviços que enviam como o seu domínio e adicione outros servidores. O resultado vai em um registro TXT em @.
Serviços que enviam os seus e-mails
Endereços ou faixas IPv4 extras, separados por espaços
Outros domínios de include dos seus provedores, separados por espaços
E-mails de servidores não listados
Gerador de registro DMARC
Publique o resultado como um registro TXT chamado _dmarc. Comece com none e depois endureça.
Política (p)
Enviar relatórios agregados para (e-mail)
Porcentagem dos e-mails reprovados aos quais a política se aplica (pct)
Alinhamento DKIM (adkim)
Alinhamento SPF (aspf)
Nome do registro
Valor do registro
Rejeitar (-all)
Marcar como suspeito (~all)
Sem opinião (?all)
Consultas DNS neste registro: {n} de 10. Includes dentro dos registros dos seus provedores somam mais.
Mais de 10 consultas: os destinatários vão retornar um erro permanente.
Endereço ou faixa IPv4 inválido: {v}
Nome de domínio inválido: {v}
Nada está listado, então este registro não aprova nenhum servidor.
none: apenas relatar
quarantine: mandar para o spam
reject: recusar a entrega
Flexível (r)
Estrito (s)
O endereço para relatórios não parece um endereço de e-mail.
pct precisa ser um número inteiro de 0 a 100.
A sintaxe parece válida.
Comece grátis · Sem cartão de crédito