Verificação de DNS do email
Tudo o que o DNS diz sobre onde um domínio recebe email e quem pode enviar em seu nome. Lido apenas no DNS público; nenhum servidor de correio é contactado.
As chaves DKIM são publicadas sob um seletor escolhido por quem envia; aparece como s= no cabeçalho DKIM-Signature de uma mensagem.
Exemplos:dns.ptanacom.ptexample.com
Observações
Nada a assinalar nos registos publicados.
Servidores de correio (MX)
| Prioridade | Servidor | Endereços |
|---|---|---|
| 5 | mail.anacom.pt | 194.65.125.125 |
Política de envio (SPF)
- Regra final
- -all — rejeitar tudo o resto (fail)
- Consultas DNS
- 1 de um máximo de 10
- Termos
- ip4:194.65.125.125ip4:194.65.125.126include:spf.protection.outlook.com-all
- Registo
v=spf1 ip4:194.65.125.125 ip4:194.65.125.126 include:spf.protection.outlook.com -all
Política DMARC
- Política
- reject — recusar a mensagem
- Subdomínios
- reject — recusar a mensagem
- Aplicada a
- 100 % do email que falha
- Alinhamento
- DKIM flexível, SPF flexível
- Relatórios agregados para
- mailto:[email protected]
- Registo
v=DMARC1; p=reject; rua=mailto:[email protected]
Segurança no transporte
- MTA-STS
- não publicado
- Relatórios TLS
- não publicado
Consultado através do nosso resolvedor em 31 de out. de 2026, 18:43. As respostas ficam em cache durante um minuto.
Se o email de um domínio chega ao destino, e se o email que diz vir dele é aceite, é decidido quase inteiramente por meia dúzia de registos DNS. Esta ferramenta lê-os todos de uma vez.
Os registos MX indicam os servidores que recebem o email do domínio, por ordem de preferência (os números mais baixos primeiro). Cada servidor MX tem de ter um registo A ou AAAA; a ferramenta resolve os primeiros cinco. Um único MX 0 . é um MX nulo (RFC 7505): o domínio declara que não aceita email nenhum.
O SPF (RFC 7208) é um registo TXT que começa por v=spf1 e lista os servidores autorizados a enviar em nome do domínio: intervalos de endereços (ip4:, ip6:), as listas de outros domínios (include:) e uma regra final para tudo o resto, normalmente -all (fail) ou ~all (softfail). Um domínio só pode publicar um registo SPF, e avaliá-lo pode exigir no máximo dez consultas DNS, contando cada include, a, mx, ptr, exists e redirect — incluindo os que estão dentro dos registos incluídos. Acima de dez, quem recebe devolve um erro permanente, e é assim que listas longas de serviços de envio na nuvem estragam o SPF sem ninguém dar por isso.
O DMARC (RFC 7489), em _dmarc.<domínio>, diz a quem recebe o que fazer ao email que falha o alinhamento de SPF e de DKIM — nada (p=none), pasta de spam (quarantine) ou recusar (reject) — e para onde enviar os relatórios agregados (rua=). O caminho habitual é começar com p=none e ler os relatórios antes de apertar a política.
O MTA-STS (RFC 8461) e os relatórios TLS (RFC 8460) pedem aos servidores que enviam que exijam TLS e comuniquem falhas. O registo DNS só anuncia que existe uma política; a política em si é um ficheiro em mta-sts.<domínio> que esta ferramenta não descarrega.
As chaves DKIM ficam em <seletor>._domainkey.<domínio>. O seletor é escolhido por quem assina o email, por isso não pode ser descoberto pelo DNS: procure o s= no cabeçalho DKIM-Signature de uma mensagem recebida e introduza-o acima.
Tudo aqui vem do DNS público, através do nosso resolvedor. Não é feita nenhuma ligação aos servidores de correio do domínio.
Perguntas frequentes
Porque é que a ferramenta não encontra a minha chave DKIM?
As chaves DKIM procuram-se pelo seletor, e os seletores não podem ser listados a partir do DNS. Copie o valor s= do cabeçalho DKIM-Signature de uma mensagem enviada pelo domínio e introduza-o como seletor.
É melhor ~all ou -all?
O -all pede a quem recebe que rejeite o email de servidores não listados; o ~all marca-o como suspeito. Quando o DMARC está a ser aplicado, quem recebe age de qualquer forma segundo a política DMARC, por isso muitos domínios mantêm o ~all para não perder email reencaminhado.
Um bom resultado garante que o meu email é entregue?
Não. Estes registos são necessários, mas não suficientes: a entrega depende também da reputação do servidor que envia, do DNS inverso, do conteúdo e dos filtros de quem recebe.
Posso verificar um domínio .pt?
Sim. Os registos são DNS normal e funcionam da mesma forma em .pt, .com.pt ou qualquer outro domínio.