Gerador · e-mail
Reduza a falsificação de e-mails enviados em nome da sua empresa
Marque os serviços que enviam e-mail pelo seu domínio e receba os registros SPF e DMARC prontos, as instruções de DKIM de cada um e o plano para chegar ao bloqueio sem derrubar e-mail legítimo. Depois, verifique o que está publicado.
Roda 100% no navegador
Verificação: só o nome do domínio sai
Última revisão: 04/10/2026
Domínio
Quem envia e-mail pelo domínio
O que vem antes de .onmicrosoft.com.
SPF
DMARC
100%
Comece em 25% e suba; o resto segue como none.
O link guarda o domínio e as escolhas na URL, para mandar a quem administra o DNS.
Registros para publicar no DNS
SPF
—Nome: · Tipo: TXT
DMARC
Nome: · Tipo: TXT
DKIM
Plano de implantação
Verificar o que está publicado
Consulta o SPF (contando as consultas de cada include), o DMARC, os seletores DKIM dos provedores marcados e o MX do domínio. Só o nome do domínio sai do navegador. Para a visão completa (reverso dos MX, DNSSEC, CAA, propagação), use a análise de DNS do domínio.
Ou pelo terminal
v=spf1Identifica o registro SPF. Só pode haver um por domínio.include:Autoriza os servidores listados no SPF de outro domínio (o do provedor). Cada include custa uma consulta DNS.ip4: / ip6:Autoriza um IP ou faixa diretamente, sem consulta DNS. É a forma mais barata para servidor próprio.mxAutoriza os servidores MX do domínio. Custa uma consulta; só use se o MX de fato envia.-all / ~allO que fazer com quem não está na lista: -all rejeita, ~all marca como suspeito. ?all e +all não protegem nada.v=DMARC1; p=Política para mensagens que falham em SPF e DKIM alinhados: none observa, quarantine manda para spam, reject rejeita.pct=Percentual das mensagens em que a política se aplica; o resto é tratado como none. Serve para subir aos poucos.rua= / ruf=Para onde vão os relatórios: rua são agregados diários (XML), ruf são amostras de falha, que poucos provedores enviam.adkim= / aspf=Alinhamento relaxado (r) aceita subdomínios; estrito (s) exige o domínio idêntico ao From.sp=Política para subdomínios. Sem sp, herdam a do domínio.DKIM: seletor._domainkeyOnde fica a chave pública de cada provedor. O seletor identifica a chave; cada provedor usa os seus.| Sintoma | Causa provável | O que fazer |
|---|---|---|
| spf=permerror | Mais de 10 consultas DNS no SPF, ou sintaxe inválida. | Troque includes por ip4 quando possível; o verificador conta o total. |
| spf=none com registro publicado | Dois registros SPF no domínio, ou TXT com erro de digitação. | Deixe um só; confira aspas e espaços. |
| dmarc=fail em e-mail legítimo | Serviço de disparo usa o domínio próprio no envelope e na assinatura: SPF e DKIM passam, mas não alinham. | Configure domínio de envio personalizado no serviço e o DKIM dele. |
| Relatórios DMARC não chegam | Caixa rua inexistente, cheia ou rejeitando XML; ou MX do domínio ausente. | Crie a caixa, libere anexos e confira o MX. |
| dkim=fail em mensagens encaminhadas | Encaminhamento alterou o corpo ou o assunto. | Normal; o DMARC aceita se SPF ou DKIM passar. Não afrouxe a política por isso. |
| Subdomínio usado em golpe | Política do domínio não cobre subdomínios que não existem. | Publique sp=reject. |
| Sistema interno parou de enviar | ERP, catraca ou multifuncional envia direto e não estava no SPF. | Inclua o IP (ip4:) ou faça o sistema enviar pelo provedor. |
Preciso dos três?
SPF diz de onde o e-mail pode sair; DKIM prova que ele não foi alterado; DMARC é quem usa os dois para decidir e quem avisa você. Só os três juntos impedem o uso do domínio em golpes.
SPF diz de onde o e-mail pode sair; DKIM prova que ele não foi alterado; DMARC é quem usa os dois para decidir e quem avisa você. Só os três juntos impedem o uso do domínio em golpes.
Vou parar de receber e-mail?
Não. Os registros valem para quem envia em nome do seu domínio. O risco é parar de enviar, por isso o plano começa em observação.
Não. Os registros valem para quem envia em nome do seu domínio. O risco é parar de enviar, por isso o plano começa em observação.
Quem lê os relatórios?
Chegam como XML diários. Um leitor de relatórios DMARC transforma em tabela: quais servidores enviam pelo domínio e quais falham. É aí que aparecem o ERP e a multifuncional que ninguém lembrava.
Chegam como XML diários. Um leitor de relatórios DMARC transforma em tabela: quais servidores enviam pelo domínio e quais falham. É aí que aparecem o ERP e a multifuncional que ninguém lembrava.
Quanto tempo leva?
Publicar leva minutos; chegar a reject com segurança leva de quatro a oito semanas, por causa dos relatórios.
Publicar leva minutos; chegar a reject com segurança leva de quatro a oito semanas, por causa dos relatórios.
Onde publico?
No painel de DNS do domínio (registro.br, Cloudflare, Hostinger, o provedor do site). Os registros são TXT; o DKIM do Microsoft 365 é CNAME.
No painel de DNS do domínio (registro.br, Cloudflare, Hostinger, o provedor do site). Os registros são TXT; o DKIM do Microsoft 365 é CNAME.
Golpe do boleto começa por aqui. Sem DMARC, qualquer servidor envia "financeiro@" da sua empresa para clientes e fornecedores, e o prejuízo é deles e seu.
Lista completa antes de -all. Todo sistema que envia e-mail (ERP, catraca, câmera, multifuncional, site) precisa estar no SPF ou passar pelo provedor; os relatórios DMARC revelam os esquecidos.
Subdomínios também. sp=reject fecha o uso de nomes como pagamentos.empresa.com.br que nunca existiram.
Recebeu um golpe em nome da empresa? Analise o cabeçalho na ferramenta ao lado e publique os registros hoje com p=none; o bloqueio vem nas semanas seguintes.
Publicar os registros é só uma parte. A Allcom pode revisar quem envia em nome da empresa, organizar a implantação e acompanhar o resultado sem interromper o fluxo legítimo de e-mail.
Descobrir tudo o que envia e-mail pela empresa, ler os relatórios por semanas e chegar ao reject sem derrubar o faturamento é trabalho de acompanhamento. A Allcom faz isso com os clientes, com monitoramento e atuação imediata.