O meu domínio de e-mail está protegido?

Atualizado em 29 de outubro de 2026

Sem SPF, DKIM nem DMARC, qualquer pessoa pode enviar e-mails que parecem vir do seu domínio. Introduza um domínio ou um endereço: a ferramenta lê a configuração pública e diz-lhe exatamente o que corrigir.

O que a ferramenta verifica

Quando chega um e-mail, o serviço de e-mail do destinatário consulta o DNS do domínio do remetente para saber se é autêntico. A ferramenta lê exatamente os mesmos registos públicos:

Registo	Onde está	Para que serve
MX	`exemplo.pt`	Indica os servidores que recebem o correio do domínio
SPF	TXT de `exemplo.pt`	Lista os servidores autorizados a enviar em nome do domínio
DKIM	TXT de `seletor._domainkey.exemplo.pt`	Publica a chave que verifica a assinatura das mensagens
DMARC	TXT de `_dmarc.exemplo.pt`	Diz o que fazer com uma mensagem que falha e para onde enviar os relatórios
MTA-STS	TXT de `_mta-sts.exemplo.pt`	Impõe a cifragem das mensagens recebidas (opcional)
BIMI	TXT de `default._bimi.exemplo.pt`	Mostra o logótipo da marca em alguns serviços de e-mail (opcional)

Como ler o resultado

A nota em 100 resume a proteção. O SPF e sobretudo o DMARC são os que mais pesam, porque são eles que impedem a usurpação. O MTA-STS e o BIMI são bónus. O DKIM só conta se for encontrada uma chave ou se indicar um seletor.

SPF em «-all» ou «~all»: correto. «-all» pede que os servidores não listados sejam rejeitados, «~all» que sejam marcados como suspeitos. Com o DMARC ativo, ambos protegem bem.
SPF em «?all», «+all» ou sem regra final: o SPF existe mas não protege. «+all» é mesmo perigoso, já que autoriza toda a gente.
Vários SPF: erro frequente depois de acrescentar um serviço novo. É preciso juntá-los num só.
DMARC «p=none»: modo de observação. Recebe relatórios, mas os e-mails usurpados passam. É uma etapa, não um destino.
DMARC «quarantine» ou «reject»: as usurpações vão para o spam ou são recusadas. É esse o objetivo.
Relatórios «rua»: sem eles, é impossível saber quem envia em nome do seu domínio.

Porque é que o DKIM precisa de um seletor

Cada fornecedor publica a sua chave DKIM sob um nome à sua escolha, o seletor: google no Google Workspace, selector1 e selector2 no Microsoft 365, outros noutros serviços. O DNS não permite listar esses nomes. A ferramenta testa os mais comuns; se não encontrar nada, isso não prova que o DKIM esteja ausente.

Para saber qual é o seu seletor, abra um e-mail enviado a partir do seu domínio, mostre os cabeçalhos e procure a linha DKIM-Signature: o valor depois de s= é o seletor, e o que vem depois de d= é o domínio que assina. O analisador de cabeçalhos do Boxo ajuda-o a lê-los.

Porque é que isto é importante

O protocolo de e-mail permite escrever qualquer endereço no campo «De». Sem autenticação, um burlão pode enviar faturas falsas ou falsas mensagens de palavra-passe que parecem vir da sua empresa. Os seus clientes são as vítimas, e a sua reputação também.

A entrega é a outra questão. Desde 2024, o Gmail e o Yahoo exigem aos remetentes em massa que autentiquem as suas mensagens com SPF, DKIM e DMARC. Mesmo num domínio pequeno, um SPF ausente ou avariado faz muitas vezes com que as mensagens legítimas vão parar ao spam.

O que fazer, por ordem

Liste tudo o que envia e-mails pelo seu domínio: caixa de correio, site, ferramenta de newsletter, programa de faturação, CRM.
Publique um único SPF que os autorize a todos, terminado em ~all. Os registos propostos pela ferramenta são um ponto de partida a adaptar.
Ative o DKIM em cada um desses serviços: eles dão-lhe o registo a acrescentar.
**Publique o DMARC em p=none** com um endereço rua e leia os relatórios durante algumas semanas.
**Suba para p=quarantine e depois para p=reject** quando todos os seus envios legítimos passarem.

Um domínio que nunca envia e-mails, como um nome reservado para proteger uma marca, também deve ser bloqueado: v=spf1 -all e v=DMARC1; p=reject;. Caso contrário, continua a ser um alvo ideal para a usurpação, precisamente porque ninguém o vigia.

As alterações de DNS demoram entre alguns minutos e algumas horas a ficar visíveis. Depois, volte a lançar a análise para confirmar.

Obter um endereço descartável

Perguntas frequentes

A ferramenta envia um e-mail ou contacta o servidor do domínio?

Não. Só lê registos DNS públicos, os mesmos que qualquer serviço de e-mail consulta ao receber uma mensagem. Nenhuma mensagem é enviada.

No SPF, devo escolher «-all» ou «~all»?

Ambos servem desde que o DMARC esteja ativo. «~all» é mais tolerante durante a configuração, caso tenha esquecido algum serviço de envio. Quando todos os seus remetentes estiverem listados, «-all» é mais estrito.

Porque é que a ferramenta não encontra a minha chave DKIM?

Está publicada sob um seletor escolhido pelo seu fornecedor, que o DNS não permite listar. Indique-o no campo previsto: aparece depois de «s=» no cabeçalho DKIM-Signature de um e-mail enviado a partir do seu domínio.

Passar o DMARC a «reject» pode bloquear os meus próprios e-mails?

Sim, se algum dos seus serviços de envio não estiver autorizado pelo SPF ou assinado com DKIM. É por isso que deve começar por «p=none» e ler os relatórios antes de endurecer a política.