O que a verificação confere#
Digite o domínio (ou cole o endereço do site, ou um e-mail) e a ferramenta lê o DNS ao vivo:
- MX: se o domínio recebe e-mail e por qual provedor (Google Workspace, Microsoft 365, Zoho, Locaweb e outros).
- SPF: se existe um único registro
v=spf1, como ele termina (~all,-allou o perigoso+all) e quantas consultas de DNS ele gasta. O limite é 10: acima disso, o SPF falha para todo mundo, e quase ninguém percebe. - DKIM: procuramos a chave nos seletores mais comuns (
google,selector1,selector2,k1,s1,defaulte outros). Se você envia por um serviço com seletor próprio, informe o seletor no campo opcional. - DMARC: se existe, qual política usa (
none,quarantineoureject) e se manda os relatórios para algum endereço (rua). - MTA-STS, TLS-RPT e BIMI: extras opcionais, que melhoram segurança e a logo na caixa de entrada.
O resultado vem com uma nota de 0 a 100. SPF, DKIM e DMARC pesam mais, porque são eles que o Gmail, o Yahoo e a Microsoft exigem.
Como ler cada item#
| Cor | O que quer dizer |
|---|---|
| Verde | está certo |
| Amarelo | funciona, mas tem um risco ou falta um passo |
| Vermelho | está errado ou faltando, e atrapalha a entrega |
| Cinza | opcional, vale fazer depois do resto |
Cada item que precisa de correção vem com a explicação em português e, quando dá, com o registro pronto para copiar e colar no painel de DNS.
Os erros mais comuns (e como corrigir)#
- Dois registros SPF. Cada serviço novo manda "adicione este SPF", e o domínio acaba com dois. A regra só aceita um. Junte tudo num único
v=spf1com todos osincludee termine com~all. - SPF com mais de 10 consultas. Cada
includeconta, e osincludede dentro também. Tire os serviços que você não usa mais. - Sem DMARC. Desde 2024 o Gmail e o Yahoo exigem DMARC de quem envia em volume, e a Microsoft desde 2025. Comece com
v=DMARC1; p=none; rua=mailto:dmarc@seudominio.com.br, leia os relatórios e suba paraquarantineerejectquando tudo estiver alinhado. O passo a passo está em DMARC de p=none até p=reject. - DKIM não ativado. O DKIM é a assinatura do e-mail. Cada serviço que envia pelo seu domínio precisa da própria chave publicada no DNS; ative no painel do serviço.
- SPF terminando em
+all. Isso autoriza qualquer servidor do mundo a enviar em seu nome. Troque por~all.
Onde fica cada registro no Registro.br, na Cloudflare, na Hostinger, na HostGator e na Locaweb: veja SPF na Hostinger, HostGator e Locaweb e Domínio de e-mail não verifica.
Pela API e pelo MCP#
A mesma verificação está na API, sem chave:
curl "https://api.couryo.com/v1/tools/check-domain?domain=seudominio.com.br"Sem chave, são 20 verificações de domínio por dia para cada IP; com qualquer chave do Couryo, 300 por dia. Os campos estão na documentação das ferramentas. No MCP público, sem login (https://mcp.couryo.com/tools), a ferramenta é check_domain_dns.
Perguntas frequentes#
Por que o meu DKIM aparece como não encontrado?#
Porque o DKIM fica num nome que depende do seletor (seletor._domainkey.seudominio.com.br), e cada serviço usa o seu. Procuramos os mais comuns. Se o seu não está entre eles, abra um e-mail enviado, procure o cabeçalho DKIM-Signature e informe o valor de s= no campo de seletor.
Mudei o DNS e o resultado não mudou. E agora?#
O DNS leva de alguns minutos a algumas horas para atualizar, e o resultado fica guardado por 10 minutos aqui. Espere um pouco e confira de novo.
Preciso de SPF se uso um serviço de envio?#
Depende de como o serviço envia. No Couryo, o SPF que conta é o do endereço de devolução (um subdomínio que nós mantemos), então o domínio principal não precisa mudar. Em outros serviços, o SPF do domínio principal precisa do include deles.
Que nota é boa?#
Acima de 75 (conceito B) o básico está certo. A nota máxima pede DMARC em quarantine ou reject e os extras (MTA-STS, TLS-RPT e BIMI).
O domínio não envia e-mail nenhum. Preciso fazer algo?#
Sim: publique v=spf1 -all e um DMARC p=reject. Assim ninguém consegue usar o domínio para golpes em seu nome.