Verificador de Entregabilidade de E-mail

Verificador de Entregabilidade de E-mails

Verifique sua configuração de remetente antes que você sofra devoluções

MX/A SPF DKIM DMARC DNSBL

Domínio de envio *

IP de saída

O IP do servidor que envia seus e-mails, usado para verificar listas negras DNSBL. Deixe vazio para pular. Encontre-o nos cabeçalhos de e-mail (Received: from) ou pergunte ao seu provedor SMTP.

Seletor DKIM

O prefixo para busca da chave pública DKIM, usado para verificar assinaturas de e-mail. Deixe vazio para detectar automaticamente seletores comuns (google, default, s1, k1…). Encontre o seu em qualquer cabeçalho de e-mail enviado: DKIM-Signature: s=...

Verificação de configuração do remetente

A entregabilidade de e-mail determina se suas mensagens chegam à caixa de entrada ou são rejeitadas e descartadas no spam. Ela depende de um conjunto de registros DNS — o MX comprova que seu domínio existe e possui servidores de e-mail, o SPF declara quem pode enviar em seu nome, o DKIM usa assinaturas criptográficas para provar que o e-mail não foi adulterado e o DMARC une tudo a uma política de aplicação. Se seu IP de saída estiver em uma lista negra DNSBL, mesmo uma autenticação perfeita não salvará você.

Uma configuração incorreta não dá aviso prévio — você só percebe devoluções, taxas baixas de caixa de entrada e e-mails de registro que desaparecem no spam. Um SPF ausente permite que qualquer pessoa falsifique seu domínio; um DMARC p=none estagnado permite que e-mails falsificados passem; um IP de saída listado na negra danifica todas as mensagens. Pior ainda, esses problemas geralmente são descobertos só depois que você já perdeu usuários.

Esta ferramenta executa as mesmas verificações que os destinatários realizam — antes de você enviar. Insira seu domínio de envio (e, opcionalmente, seu IP de saída e seletor DKIM) para confirmar que os quatro registros DNS-chave estão publicados corretamente e que seu IP é limpo. Cada resultado se relaciona diretamente a um código de devolução real, indicando exatamente o que está errado e como corrigir.

Verificação preliminar antes de enviar, não após devoluções — verifique você mesmo antes que os destinatários o façam

Cinco verificações em uma execução: resolução de DNS, SPF, DKIM, DMARC, lista negra de IP

Sem rastreamento: consultas DNS puras, nenhum e-mail enviado, nenhum domínio ou IP armazenado

Mapeamento direto para códigos de devolução: cada resultado da verificação se relaciona a um erro real de devolução, para que você saiba o que corrigir

Quando usar

Antes do primeiro envio de um domínio novo — confirme que MX, SPF, DKIM e DMARC estão todos publicados

Quando o e-mail devolve (bounce) — combine o código de bounce para identificar problemas de DNS, autenticação ou IP

Após alterações no DNS — verifique se a atualização foi propagada e não gerou novos problemas

Após trocar de servidor de e-mail ou provedor SMTP — verifique se o novo IP está limpo

Referência de erros de bounce

Erros comuns de devolução e a verificação que os identifica:

Erro de devolução	Causa raiz	Esta ferramenta verifica	Direção para correção
554 5.1.8 Domínio não encontrado	Domínio de envio sem registros DNS	Resolução DNS do domínio	Adicionar registros MX/A/AAAA
550 DNSBL (ex.: r1401)	IP de saída em lista negra em tempo real	Lista negra de IP	Solicitar retirada da lista ou alterar IP
550 5.7.26 Autenticação falhou	SPF/DKIM/DMARC ausentes ou com falha	SPF + DKIM + DMARC	Publique e aprimore os registros de autenticação

Modelos de registros DNS

Modelos para os quatro registros DNS principais. Substitua yourdomain.com e inclua provedores conforme necessário.

MX (no yourdomain.com MX):

yourdomain.com. IN MX 10 mail.yourdomain.com.

SPF (no yourdomain.com TXT):

v=spf1 include:_spf.google.com include:mail.zoho.com -all

DMARC (no _dmarc.yourdomain.com TXT):

v=DMARC1; p=reject; rua=mailto:[email protected]; adkim=s; aspf=s

DKIM (no <selector>._domainkey.yourdomain.com TXT):

v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC...

Inicie o DMARC com p=none para coletar relatórios, depois avance para quarentena e, por fim, rejeição.

Conhecimento sobre DNS e autenticação de e-mail

Os registros DNS que esta ferramenta verifica e por que são importantes para a entrega de e-mail:

Resolução de DNS do domínio (MX / A / AAAA)

O MX informa aos destinatários quais servidores de e-mail gerenciam seu domínio. Os registros A/AAAA mapeiam seu domínio para um endereço IPv4/IPv6. Se um domínio remetente não tiver registros DNS, os destinatários rejeitarão com 554 5.1.8 Domain not found — o domínio simplesmente não existe no DNS.

SPF (Sender Policy Framework)

Um registro TXT no seu domínio que lista os IPs/servidores autorizados a enviar e-mails em seu nome. Os destinatários verificam o IP de envio em relação a essa lista. Sem o SPF, qualquer pessoa pode falsificar seu domínio.

Valores comuns e riscos

-all: Rejeição rígida: remetentes não autorizados são bloqueados. Melhor prática, máxima segurança.
~all: Falha suave: marcado como suspeito, mas não rejeitado. OK para transição, reduz a confiança do domínio a longo prazo.
?all: Neutro: sem afirmação. Equivale a nenhum SPF. Alto risco de spoofing.
+all: Permitir todos: qualquer IP pode enviar mensagens em seu nome. Extremamente perigoso, nunca use.

DKIM (DomainKeys Identified Mail)

Uma assinatura criptográfica adicionada aos e-mails de saída. A chave pública é publicada como um registro TXT em <selector>._domainkey.yourdomain.com. Os destinatários verificam a assinatura com base nessa chave. Diferente do SPF, você precisa conhecer o seletor para consultar a chave.

Valores comuns e riscos

v=DKIM1: Identificador de versão, obrigatório. Sem ele, o registro não é reconhecido como DKIM.
k=rsa: Tipo de chave, RSA é o mais comum. Assume como rsa se estiver ausente.
p=...: Chave pública RSA, obrigatória. Um p= vazio ou ausente revoga o seletor.
t=s: Modo estrito: a assinatura deve corresponder exatamente ao domínio. Previne o uso indevido de assinatura de subdomínios.

DMARC (Autenticação de Mensagem Baseada em Domínio)

Um registro TXT de política em _dmarc.seudominio.com que une SPF e DKIM. Informa aos destinatários o que fazer quando ambos falharem. Também especifica para onde enviar relatórios agregados.

Valores comuns e riscos

p=none: Apenas monitoramento: sem ação, só coleta relatórios. Ponto de partida seguro, mas com proteção zero — e-mails spoofados ainda chegam à caixa de entrada.
p=quarantine: Quarentena: falhas na autenticação vão para a pasta de spam. Proteção moderada, ideal para a fase de validação.
p=reject: Rejeitar: falhas na autenticação são bloqueadas imediatamente. Proteção mais forte, o objetivo final. Pular esse nível permite que e-mails spoofados passem.
rua=: Destino de relatórios agregados. Para monitorar falhas de entrega, sem aplicação de medidas, mas ajuda na solução de problemas.
adkim=s / aspf=s: Alinhamento estrito: exige que o domínio do DKIM/SPF corresponda exatamente ao cabeçalho From. Previne o spoofing de subdomínios.

DNSBL (Lista de Bloqueio Baseada em DNS)

Listas negras de IP em tempo real consultadas via DNS. Os destinatários verificam seu IP de saída em listas como Spamhaus, Barracuda, SpamCop. Se listado, o e-mail é rejeitado (550 DNSBL).

Valores comuns e riscos

zen.spamhaus.org: Maior lista negra pública, maior abrangência. Maior impacto — quase todos os destinatários a consultam.
b.barracudacentral.org: Lista negra de nível empresarial, usada por muitos dispositivos de segurança. Impacto moderado.
bl.spamcop.net: Baseada em relatórios de usuários. Pode ter falsos positivos, mas impacto moderado.
dnsbl.sorbs.net: Lista negra menor, impacto limitado, mas ainda é consultada.

Perguntas frequentes

Por que meu SPF passou, mas os e-mails ainda retornam erro?

O SPF sozinho não é suficiente. O Gmail e outros provedores também verificam o DKIM e o DMARC. Se o DKIM estiver ausente ou o DMARC falhar na alinhamento, o e-mail ainda será rejeitado. Execute as três verificações.

Como encontro meu seletor DKIM?

Verifique a documentação do seu provedor de e-mail. Selet常用s: google (Google Workspace), selector1/selector2 (Microsoft 365), default, s1, k1. Seus cabeçalhos de e-mail (DKIM-Signature: s=...) também o revelam.

Meu IP está em uma lista negra. O que fazer agora?

Acesse a página de retirada de lista do provedor da lista negra (por exemplo, spamhaus.org/lookup), solicite a retirada e certifique-se de que seu IP não está enviando spam. Se seu host atribuir IPs compartilhados, entre em contato para trocar de IP.

Meu domínio resolve, mas não tem registros MX. Isso é ruim?

Não necessariamente. Um domínio só de envio (usando um provedor SMTP terceirizado) pode não ter MX, mas ainda ter registros A. Desde que o SPF/DMARC aponte para o provedor correto, o e-mail pode ser entregue.

Essa ferramenta envia algum e-mail?

Não. Esta ferramenta só consulta registros DNS (TXT, MX, A, AAAA) e verifica o IP de saída nos bancos de dados públicos de DNSBL. Nada é enviado. Seu domínio e IP não são armazenados.

Com que frequência devo executar essa verificação?

Execute-a antes dos primeiros envios de um novo domínio, após qualquer alteração no DNS, ao trocar de provedor de e-mail ou antes de uma campanha de grande porte. Para manutenção rotineira, uma vez por mês é suficiente.

Posso verificar um domínio que não possuo?

Sim. Os registros DNS são públicos, e consultar qualquer domínio não é um problema de privacidade. Mas a ferramenta foi projetada para diagnosticar sua própria configuração de envio.

SPF e DKIM passam, mas o e-mail ainda vai para a caixa de spam — por quê?

Além da autenticação, a entrega na caixa de entrada depende da reputação do IP (DNSBL), picos súbitos de volume, conteúdo marcado como spam e filtros do lado do destinatário. Verifique se seu IP está em lista negra e construa a reputação de envio gradualmente.