# Verificador de SPF, DKIM e DMARC

> Confira grátis o SPF, o DKIM, o DMARC e o MX do seu domínio, com nota de 0 a 100, o que corrigir em português e o registro pronto para copiar.

Fonte: https://couryo.com/ferramentas/verificar-dominio · Atualizado em 2026-10-21

## O que a verificação confere

Digite o domínio (ou cole o endereço do site, ou um e-mail) e a ferramenta lê o DNS ao vivo:

- **MX:** se o domínio recebe e-mail e por qual provedor (Google Workspace, Microsoft 365, Zoho, Locaweb e outros).
- **SPF:** se existe um único registro `v=spf1`, como ele termina (`~all`, `-all` ou o perigoso `+all`) e **quantas consultas de DNS ele gasta**. O limite é 10: acima disso, o SPF falha para todo mundo, e quase ninguém percebe.
- **DKIM:** procuramos a chave nos seletores mais comuns (`google`, `selector1`, `selector2`, `k1`, `s1`, `default` e outros). Se você envia por um serviço com seletor próprio, informe o seletor no campo opcional.
- **DMARC:** se existe, qual política usa (`none`, `quarantine` ou `reject`) e se manda os relatórios para algum endereço (`rua`).
- **MTA-STS, TLS-RPT e BIMI:** extras opcionais, que melhoram segurança e a logo na caixa de entrada.

O resultado vem com uma nota de 0 a 100. SPF, DKIM e DMARC pesam mais, porque são eles que o Gmail, o Yahoo e a Microsoft exigem.

## Como ler cada item

| Cor | O que quer dizer |
|---|---|
| Verde | está certo |
| Amarelo | funciona, mas tem um risco ou falta um passo |
| Vermelho | está errado ou faltando, e atrapalha a entrega |
| Cinza | opcional, vale fazer depois do resto |

Cada item que precisa de correção vem com a explicação em português e, quando dá, com o registro pronto para copiar e colar no painel de DNS.

## Os erros mais comuns (e como corrigir)

1. **Dois registros SPF.** Cada serviço novo manda "adicione este SPF", e o domínio acaba com dois. A regra só aceita um. Junte tudo num único `v=spf1` com todos os `include` e termine com `~all`.
2. **SPF com mais de 10 consultas.** Cada `include` conta, e os `include` de dentro também. Tire os serviços que você não usa mais.
3. **Sem DMARC.** Desde 2024 o Gmail e o Yahoo exigem DMARC de quem envia em volume, e a Microsoft desde 2025. Comece com `v=DMARC1; p=none; rua=mailto:dmarc@seudominio.com.br`, leia os relatórios e suba para `quarantine` e `reject` quando tudo estiver alinhado. O passo a passo está em [DMARC de p=none até p=reject](https://couryo.com/blog/dmarc-p-none-ate-p-reject).
4. **DKIM não ativado.** O DKIM é a assinatura do e-mail. Cada serviço que envia pelo seu domínio precisa da própria chave publicada no DNS; ative no painel do serviço.
5. **SPF terminando em `+all`.** Isso autoriza qualquer servidor do mundo a enviar em seu nome. Troque por `~all`.

Onde fica cada registro no Registro.br, na Cloudflare, na Hostinger, na HostGator e na Locaweb: veja [SPF na Hostinger, HostGator e Locaweb](https://couryo.com/blog/registro-spf-hostinger-hostgator-locaweb) e [Domínio de e-mail não verifica](https://couryo.com/blog/dominio-de-email-nao-verifica).

## Pela API e pelo MCP

A mesma verificação está na API, sem chave:

```bash
curl "https://api.couryo.com/v1/tools/check-domain?domain=seudominio.com.br"
```

Sem chave, são 20 verificações de domínio por dia para cada IP; com qualquer chave do Couryo, 300 por dia. Os campos estão na [documentação das ferramentas](https://couryo.com/docs/tools.md). No MCP público, sem login (`https://mcp.couryo.com/tools`), a ferramenta é `check_domain_dns`.

## Perguntas frequentes

### Por que o meu DKIM aparece como não encontrado?

Porque o DKIM fica num nome que depende do seletor (`seletor._domainkey.seudominio.com.br`), e cada serviço usa o seu. Procuramos os mais comuns. Se o seu não está entre eles, abra um e-mail enviado, procure o cabeçalho `DKIM-Signature` e informe o valor de `s=` no campo de seletor.

### Mudei o DNS e o resultado não mudou. E agora?

O DNS leva de alguns minutos a algumas horas para atualizar, e o resultado fica guardado por 10 minutos aqui. Espere um pouco e confira de novo.

### Preciso de SPF se uso um serviço de envio?

Depende de como o serviço envia. No Couryo, o SPF que conta é o do endereço de devolução (um subdomínio que nós mantemos), então o domínio principal não precisa mudar. Em outros serviços, o SPF do domínio principal precisa do `include` deles.

### Que nota é boa?

Acima de 75 (conceito B) o básico está certo. A nota máxima pede DMARC em `quarantine` ou `reject` e os extras (MTA-STS, TLS-RPT e BIMI).

### O domínio não envia e-mail nenhum. Preciso fazer algo?

Sim: publique `v=spf1 -all` e um DMARC `p=reject`. Assim ninguém consegue usar o domínio para golpes em seu nome.