Como auditar todos os domínios da sua empresa (DMARC, CNAMEs e redirecionamentos)

Passe todo domínio da sua empresa por três verificações: DMARC, CNAMEs e redirecionamentos. Domínios reserva, domínios com erro de digitação, sites de campanhas antigas e marcas adquiridas são onde se escondem falsificação, registros órfãos e redirecionamentos quebrados, porque ninguém olha para eles. O verificador de DMARC em massa, a consulta de CNAME em massa e o verificador de redirecionamentos em massa aceitam a lista inteira de uma vez.

Comece pelo DMARC de todos os domínios →

Rode as três verificações

1. Monte a lista. A lista de domínios da sua conta no registrar é a fonte da verdade; adicione os domínios mantidos em outros registrars ou por outras equipes.
2. DMARC. Cole os domínios no verificador de DMARC em massa e clique em Check DMARC (verificar DMARC). Filtre por No DMARC e Monitoring only.
3. CNAMEs. Exporte os nomes de host de cada zona, cole-os na consulta de CNAME em massa e clique em Look up CNAMEs (consultar CNAMEs). Filtre por Dangling e Doesn't exist.
4. Redirecionamentos. Cole cada domínio como http://domain no verificador de redirecionamentos em massa e clique em Check redirects (verificar redirecionamentos). Filtre por Broken, Loop e cadeias longas.

Cada ferramenta aceita até 100 linhas por rodada, ou 500 depois de um login gratuito com o Google, e baixa um CSV.

Faça à mão

Um único loop para DMARC, MX, SPF e para onde o site vai:

printf "fb.com\ninstagr.am\nwikipedia.com\n" > portfolio.txt

while read -r d; do
  p=$(dig +short txt "_dmarc.$d" | tr -d '"' | grep '^v=DMARC1' | sed -n 's/.*[; ]p=\([a-z]*\).*/\1/p')
  mx=$(dig +short mx "$d" | sort -n | head -1)
  spf=$(dig +short txt "$d" | grep -o 'v=spf1[^"]*' | head -1 | cut -c1-20)
  web=$(curl -s -o /dev/null -m 10 -L -w '%{num_redirects} hops,%{http_code},%{url_effective}' "http://$d")
  echo "$d | dmarc=${p:-NONE} | mx=${mx:-none} | spf=${spf:-none} | $web"
done < portfolio.txt
# fb.com | dmarc=reject | mx=10 mxa-00082601.gslb.pphosted.com. | spf=v=spf1 redirect=_spf | 2 hops,200,https://www.facebook.com/
# instagr.am | dmarc=reject | mx=1 ASPMX.L.GOOGLE.COM. | spf=v=spf1 include:spf.m | 2 hops,200,https://www.instagram.com/
# wikipedia.com | dmarc=NONE | mx=none | spf=v=spf1 -all | 2 hops,200,https://www.wikipedia.org/

Rodamos isso em 9 de novembro de 2026 com três domínios públicos curtos ou alternativos. O cut mantém a coluna de SPF curta; remova-o para ver o registro completo. Para a parte de CNAME, use o loop de encontrar CNAMEs órfãos.

A terceira linha é o domínio reserva típico: sem MX e com um registro SPF que não autoriza nenhum remetente, mas sem registro DMARC, então nada pede aos receptores que rejeitem os e-mails que o falsificam.

Como cada domínio reserva deve ficar

• Não envia e-mail: um registro SPF v=spf1 -all e um registro DMARC com p=reject. Sem e-mail legítimo para quebrar, não há motivo para começar em none. Veja os exemplos de registro DMARC para o registro de um domínio estacionado.
• Não recebe e-mail: um MX nulo. A RFC 7505 o define como um único registro MX com preferência 0 e destino ., o que diz aos remetentes que o domínio não aceita e-mail. Veja registros MX nulos.
• Subdomínios inventados: a RFC 9989, o padrão DMARC desde maio de 2026, adiciona np= para subdomínios que não existem. Sem ela, sp= ou p= se aplica a eles.
• Site: um ou dois saltos permanentes para uma página ativa. Um domínio reserva que responde com uma página de estacionamento do registrar ou com um erro parece abandonado; veja o que é um domínio estacionado.
• Nenhum CNAME órfão. Remova os registros de serviços que você não usa mais. A página do MDN sobre sequestro de subdomínio recomenda manter "an inventory of all of your organization's domains and their hosting providers" (um inventário de todos os domínios da sua organização e dos provedores de hospedagem deles) para que nada fique órfão. A lista de domínios que você acabou de montar é esse inventário.

Próximo passo: verifique os domínios de onde você realmente envia

Domínios reserva precisam ser trancados; domínios de envio precisam de listas limpas. Envie a lista para a qual você envia em /verify para checar cada caixa postal sem enviar nada. As primeiras 100 checagens são grátis com login do Google, sem cartão.

Pro, US$ 39 por mês: verificação de e-mails ilimitada.* Nunca medida, nunca cortada. Veja os preços.

*Uso justo: as primeiras 100.000 verificações do mês em velocidade máxima, depois mais devagar, nunca cortado.

Leia também: verificar o DMARC de todos os domínios dos seus clientes, monitorar os seus domínios de envio.