Como verifico meus registros MX, SPF, DKIM e DMARC?

Como verifico um registro MX?

Execute dig MX com o seu domínio e +short, e compare as prioridades e os nomes de host com os valores que o seu provedor forneceu. A resposta imprime uma linha por registro: a prioridade, um espaço e o host. Para o Proton Mail você espera 10 mail.protonmail.ch. e 20 mailsec.protonmail.ch.; para o Fastmail 10 in1-smtp.messagingengine.com. e 20 in2-smtp.messagingengine.com.; para o Mailbox.org quatro hosts mxext.

Dois problemas aparecem aqui. Um registro do provedor anterior ainda na lista torna a entrega imprevisível, então apague-o. E uma resposta vazia significa sem MX: os remetentes recorrem então ao registro de endereço do domínio, como a RFC 5321 descreve. O que cada linha significa é explicado em o que é um registro MX.

Como verifico um registro SPF?

Peça os registros TXT na raiz do domínio e confirme que exatamente uma linha começa com v=spf1. A raiz também guarda outros registros TXT, como a prova de propriedade do seu provedor de e-mail, então leia a lista inteira. Duas linhas começando com v=spf1 são um erro: a RFC 7208 devolve um erro permanente quando um domínio tem mais de um registro SPF.

Depois conte as consultas. Cada include, a, mx, ptr e exists, além do modificador redirect, conta para o limite de 10, e um include também conta o que está aninhado dentro dele. Um registro acima do limite falha para todos os remetentes. A criação do registro é detalhada em como criar um registro SPF.

Como verifico o DKIM quando não conheço o seletor?

Use o seletor do seu provedor: você não consegue listar seletores pelo DNS, então pegue-os na tela de DKIM do provedor. O DNS não permite listar os nomes sob _domainkey. Os seletores são protonmail, protonmail2 e protonmail3 no Proton Mail, fm1, fm2 e fm3 no Fastmail, e MBO0001 a MBO0004 no Mailbox.org.

O nome da consulta é seletor._domainkey.seudominio. Um provedor que usa registros CNAME, como estes três, responde com um CNAME para o próprio host. Um provedor que publica a chave diretamente responde com um registro TXT que contém v=DKIM1 e p= seguido da chave pública. Um p= vazio significa que a chave foi revogada. O teste mais forte é uma mensagem real, porque um registro que existe ainda pode não estar em uso: envie um e-mail para outro provedor e leia dkim=pass nos cabeçalhos completos.

Como verifico um registro DMARC?

Peça o registro TXT em _dmarc.seudominio e confirme uma linha que comece com v=DMARC1 e tenha uma política p=. Se p estiver ausente, os receptores tratam a política como none. Se a linha não tiver rua, nenhum relatório agregado é produzido e a etapa de monitoramento da implantação do DMARC não diz nada. Registros escritos no estilo mais antigo ainda podem trazer uma tag pct, que a RFC 9989 removeu.

Um subdomínio sem registro próprio fica sob a política do domínio pai por meio da busca na árvore do DNS, com no máximo oito consultas. Uma consulta a um nome que não tem registro não devolve nada, o que equivale a não ter DMARC.

Por que minha consulta ainda mostra o valor antigo?

Um cache guarda a resposta antiga até o TTL acabar, e um registro ausente também pode ser guardado em cache. O tempo que uma mudança leva para se espalhar é cerca do TTL antigo do registro no momento em que você o alterou. As orientações dos fornecedores situam uma mudança comum de MX entre uma e quatro horas, e até 24 a 48 horas no pior caso. A RFC 2308 acrescenta que respostas negativas são guardadas em cache com o TTL do registro SOA da zona, então um registro que você acabou de criar pode parecer ausente em alguns resolvedores.

Para pular os caches, consulte o servidor de nomes autoritativo: encontre-o com dig NS e repita a consulta com @ e o nome dele, como no bloco de código acima. Se o servidor autoritativo mostra o novo valor e o seu resolvedor não, aguarde. Se nenhum mostra, o registro não foi salvo ou o nome do host está errado, na maioria das vezes porque o editor de DNS acrescentou o domínio uma segunda vez.

Se o e-mail ainda não chega depois que os registros parecem certos, vá para por que o e-mail não chega a um domínio personalizado.

Quais ferramentas online podem verificar registros de e-mail?

Qualquer consulta DNS online ou verificador de autenticação de e-mail que consulte o DNS público dá a mesma resposta que o dig, com uma exibição mais amigável. Use um que mostre o texto bruto do registro, para que você possa compará-lo caractere por caractere com o valor do seu provedor. Não cole dados privados nele: o nome do domínio é tudo de que ele precisa.

Segundo a contagem de Postelva de 12 de novembro de 2026, uma configuração completa do Proton Mail exige 8 registros (1 TXT de verificação, 2 MX, 1 SPF, 3 DKIM, 1 DMARC) e 6 consultas, porque os dois registros MX compartilham uma consulta e os registros de verificação e de SPF compartilham a consulta TXT da raiz. Salve os seis comandos uma vez e execute-os de novo após cada mudança. Os mesmos registros são comparados em SPF vs DKIM vs DMARC.

Uma regra citável: após cada mudança de DNS, consulte os quatro tipos de registro e envie uma mensagem de teste; um registro só está correto quando a consulta e a mensagem concordam.