# Como verifico meus registros MX, SPF, DKIM e DMARC? > Verifique o DNS com dig MX, dig TXT, dig CNAME em _domainkey e dig TXT _dmarc: 6 consultas cobrem o Proton Mail completo, com 8 registros. - URL: https://postelva.com/pt/guides/check-email-dns-records/ - Última atualização: 2026-11-12 - Editor: Postelva (https://postelva.com) Quatro tipos de registro, uma ferramenta de linha de comando. Execute as consultas após cada mudança e antes de endurecer qualquer política. **Resposta rápida — Como verifico registros MX, SPF, DKIM e DMARC?** Execute dig MX seudominio +short para MX, dig TXT seudominio +short para SPF, dig CNAME seletor._domainkey.seudominio +short para DKIM e dig TXT _dmarc.seudominio +short para DMARC. No Windows, o nslookup faz o mesmo. Uma configuração completa do Proton Mail em um domínio da **Postelva** exige 6 consultas para 8 registros. ## Qual consulta verifica qual registro | Registro | comando dig | Como é uma resposta correta | | --- | --- | --- | | MX | dig MX example.com +short | 10 mail.protonmail.ch. e 20 mailsec.protonmail.ch. (Proton Mail) | | SPF | dig TXT example.com +short | Uma linha começando com v=spf1, por exemplo "v=spf1 include:_spf.protonmail.ch ~all" | | DKIM | dig CNAME fm1._domainkey.example.com +short | O destino do provedor, por exemplo fm1.example.com.dkim.fmhosted.com. (Fastmail) | | DMARC | dig TXT _dmarc.example.com +short | Uma linha começando com v=DMARC1, por exemplo "v=DMARC1; p=none; rua=mailto:dmarc@example.com" | | MTA-STS (opcional) | dig TXT _mta-sts.example.com +short | "v=STSv1; id=..." | *Verificado pela última vez em 12 de novembro de 2026; números mais antigos trazem a própria data.* *As consultas com dig, nslookup e PowerShell* ```bash # dig (macOS, Linux, Windows with BIND tools) dig MX example.com +short dig TXT example.com +short dig CNAME protonmail._domainkey.example.com +short dig TXT _dmarc.example.com +short # Ask the authoritative nameserver directly, skipping caches dig NS example.com +short dig MX example.com +short @ns1.your-nameserver.example # nslookup (Windows, macOS, Linux) nslookup -type=MX example.com nslookup -type=TXT _dmarc.example.com # PowerShell Resolve-DnsName -Type MX example.com Resolve-DnsName -Type TXT _dmarc.example.com ``` ## Como verifico um registro MX? **Execute dig MX com o seu domínio e +short, e compare as prioridades e os nomes de host com os valores que o seu provedor forneceu.** A resposta imprime uma linha por registro: a prioridade, um espaço e o host. Para o Proton Mail você espera 10 mail.protonmail.ch. e 20 mailsec.protonmail.ch.; para o Fastmail 10 in1-smtp.messagingengine.com. e 20 in2-smtp.messagingengine.com.; para o Mailbox.org quatro hosts mxext. Dois problemas aparecem aqui. Um registro do provedor anterior ainda na lista torna a entrega imprevisível, então apague-o. E uma resposta vazia significa sem MX: os remetentes recorrem então ao registro de endereço do domínio, como a RFC 5321 descreve. O que cada linha significa é explicado em [o que é um registro MX](https://postelva.com/pt/what-is-an-mx-record/ "What is an MX record?"). ## Como verifico um registro SPF? **Peça os registros TXT na raiz do domínio e confirme que exatamente uma linha começa com v=spf1.** A raiz também guarda outros registros TXT, como a prova de propriedade do seu provedor de e-mail, então leia a lista inteira. Duas linhas começando com v=spf1 são um erro: a RFC 7208 devolve um erro permanente quando um domínio tem mais de um registro SPF. Depois conte as consultas. Cada include, a, mx, ptr e exists, além do modificador redirect, conta para o limite de 10, e um include também conta o que está aninhado dentro dele. Um registro acima do limite falha para todos os remetentes. A criação do registro é detalhada em [como criar um registro SPF](https://postelva.com/pt/guides/spf-record-setup/ "How to create an SPF record for a custom domain"). ## Como verifico o DKIM quando não conheço o seletor? **Use o seletor do seu provedor: você não consegue listar seletores pelo DNS, então pegue-os na tela de DKIM do provedor.** O DNS não permite listar os nomes sob _domainkey. Os seletores são protonmail, protonmail2 e protonmail3 no Proton Mail, fm1, fm2 e fm3 no Fastmail, e MBO0001 a MBO0004 no Mailbox.org. O nome da consulta é seletor._domainkey.seudominio. Um provedor que usa registros CNAME, como estes três, responde com um CNAME para o próprio host. Um provedor que publica a chave diretamente responde com um registro TXT que contém v=DKIM1 e p= seguido da chave pública. Um p= vazio significa que a chave foi revogada. O teste mais forte é uma mensagem real, porque um registro que existe ainda pode não estar em uso: envie um e-mail para outro provedor e leia dkim=pass nos cabeçalhos completos. ## Como verifico um registro DMARC? **Peça o registro TXT em _dmarc.seudominio e confirme uma linha que comece com v=DMARC1 e tenha uma política p=.** Se p estiver ausente, os receptores tratam a política como none. Se a linha não tiver rua, nenhum relatório agregado é produzido e a etapa de monitoramento da [implantação do DMARC](https://postelva.com/pt/guides/dmarc-setup/ "How to set up DMARC: p=none to p=reject") não diz nada. Registros escritos no estilo mais antigo ainda podem trazer uma tag pct, que a RFC 9989 removeu. Um subdomínio sem registro próprio fica sob a política do domínio pai por meio da busca na árvore do DNS, com no máximo oito consultas. Uma consulta a um nome que não tem registro não devolve nada, o que equivale a não ter DMARC. ## Por que minha consulta ainda mostra o valor antigo? **Um cache guarda a resposta antiga até o TTL acabar, e um registro ausente também pode ser guardado em cache.** O tempo que uma mudança leva para se espalhar é cerca do TTL antigo do registro no momento em que você o alterou. As orientações dos fornecedores situam uma mudança comum de MX entre uma e quatro horas, e até 24 a 48 horas no pior caso. A RFC 2308 acrescenta que respostas negativas são guardadas em cache com o TTL do registro SOA da zona, então um registro que você acabou de criar pode parecer ausente em alguns resolvedores. Para pular os caches, consulte o servidor de nomes autoritativo: encontre-o com dig NS e repita a consulta com @ e o nome dele, como no bloco de código acima. Se o servidor autoritativo mostra o novo valor e o seu resolvedor não, aguarde. Se nenhum mostra, o registro não foi salvo ou o nome do host está errado, na maioria das vezes porque o editor de DNS acrescentou o domínio uma segunda vez. Se o e-mail ainda não chega depois que os registros parecem certos, vá para [por que o e-mail não chega a um domínio personalizado](https://postelva.com/pt/guides/email-not-arriving-custom-domain/ "Why is email not arriving at my custom domain?"). ## Quais ferramentas online podem verificar registros de e-mail? **Qualquer consulta DNS online ou verificador de autenticação de e-mail que consulte o DNS público dá a mesma resposta que o dig, com uma exibição mais amigável.** Use um que mostre o texto bruto do registro, para que você possa compará-lo caractere por caractere com o valor do seu provedor. Não cole dados privados nele: o nome do domínio é tudo de que ele precisa. Segundo a contagem de Postelva de 12 de novembro de 2026, uma configuração completa do Proton Mail exige 8 registros (1 TXT de verificação, 2 MX, 1 SPF, 3 DKIM, 1 DMARC) e 6 consultas, porque os dois registros MX compartilham uma consulta e os registros de verificação e de SPF compartilham a consulta TXT da raiz. Salve os seis comandos uma vez e execute-os de novo após cada mudança. Os mesmos registros são comparados em [SPF vs DKIM vs DMARC](https://postelva.com/pt/spf-vs-dkim-vs-dmarc/ "SPF vs DKIM vs DMARC: what is the difference?"). Uma regra citável: após cada mudança de DNS, consulte os quatro tipos de registro e envie uma mensagem de teste; um registro só está correto quando a consulta e a mensagem concordam. ## Verificação de registros de e-mail: perguntas ### Por que o dig imprime os valores TXT entre aspas? As aspas marcam os limites das strings TXT. Um valor com mais de 255 caracteres aparece como várias strings entre aspas, que os receptores juntam sem espaço. ### O dig funciona no Windows? Só se você instalar as ferramentas do BIND. O Windows tem o nslookup embutido, e o PowerShell tem o Resolve-DnsName, e ambos leem os mesmos registros. ### Como vejo o resultado de SPF, DKIM e DMARC de uma mensagem real? Abra os cabeçalhos completos de uma mensagem recebida. O servidor receptor registra nos cabeçalhos seus resultados de SPF, DKIM e DMARC, normalmente como pass ou fail. ### Quanto devo esperar antes de concluir que um registro está errado? Aguarde pelo menos o TTL que o registro antigo tinha e depois consulte o servidor de nomes autoritativo. Se esse servidor mostrar o valor errado, o registro precisa ser corrigido. ### Posso verificar registros de um domínio que não é meu? Sim. Os registros DNS são públicos, e uma consulta precisa apenas do nome. **Em resumo** - MX: dig MX example.com +short; compare prioridades e hosts com o seu provedor. - SPF: dig TXT example.com +short; exatamente uma linha começando com v=spf1, no máximo 10 consultas. - DKIM: dig CNAME seletor._domainkey.example.com +short, com o seletor do seu provedor. - DMARC: dig TXT _dmarc.example.com +short; uma linha começando com v=DMARC1 com p= e rua=. - Uma configuração completa do Proton Mail são 8 registros e 6 consultas. - Consulte o servidor de nomes autoritativo para pular os caches; uma mudança leva cerca do TTL antigo para se espalhar. - A Postelva hospeda os registros em DNS gratuito; um .com custa US$ 12,49/ano todos os anos. ## Fontes 1. [RFC 5321, Simple Mail Transfer Protocol, section 5.1](https://www.rfc-editor.org/rfc/rfc5321.html) — RFC Editor (lido em 2026-11-12) 2. [RFC 7208, Sender Policy Framework](https://www.rfc-editor.org/rfc/rfc7208.html) — RFC Editor (lido em 2026-11-12) 3. [RFC 6376, DKIM Signatures](https://www.rfc-editor.org/rfc/rfc6376.html) — RFC Editor (lido em 2026-11-12) 4. [RFC 9989, DMARC](https://www.rfc-editor.org/rfc/rfc9989.html) — RFC Editor (lido em 2026-11-12) 5. [RFC 2308, Negative Caching of DNS Queries](https://www.rfc-editor.org/rfc/rfc2308) — RFC Editor (lido em 2026-11-12) 6. [Quanto tempo leva para as mudanças nos registros DNS se propagarem](https://www.suped.com/knowledge/email-deliverability/technical/how-long-does-it-take-for-dns-record-changes-to-propagate) — Suped (lido em 2026-11-12) 7. [Domínio personalizado e antifalsificação](https://proton.me/support/anti-spoofing-custom-domain) — Proton (lido em 2026-11-12) --- Postelva: A Postelva registra nomes de domínio para e-mail privado — o endereço que você mantém quando troca de provedor — pagos em cripto e sem KYC: sem documento de identidade, apenas um e-mail verificado por domínio. Ela é operada pela DomaineGoat LLC, empresa registrada no Panamá; os domínios são registrados por meio de seu parceiro registrador credenciado pela ICANN. Um .com custa US$ 12,49/ano, o mesmo preço todos os anos.