Como verificar o DMARC de todos os domínios dos seus clientes de uma vez

Cole todos os domínios dos seus clientes no verificador de DMARC em massa e filtre por política. Cada linha mostra se o domínio tem um registro DMARC, a política (none, quarantine ou reject), a política de subdomínios, para onde vão os relatórios agregados e as configurações de alinhamento. Você vê de relance quais clientes não têm DMARC, quais só monitoram e quais já aplicam a política.

Verificar o DMARC de uma lista de domínios →

Verifique em massa

1. Abra o verificador de DMARC em massa.
2. Cole os domínios, um por linha: até 100 por rodada, ou 500 depois de um login gratuito com o Google. Endereços de e-mail e URLs também funcionam; o domínio é extraído de cada um.
3. Clique em Check DMARC (verificar DMARC).
4. Leia cada linha: Reject, Quarantine, Monitoring only, Partly enforced, Broken ou No DMARC, com as tags por trás.
5. Filtre por política, por exemplo todos os domínios em Monitoring only, e baixe o CSV para o relatório do cliente.

Faça à mão

printf "google.com\ngithub.com\ndebian.org\nshopify.com\nneverssl.com\ntest.com\n" > clients.txt

while read -r d; do
  rec=$(dig +short txt "_dmarc.$d" | tr -d '"' | grep '^v=DMARC1')
  p=$(echo "$rec" | sed -n 's/.*[; ]p=\([a-z]*\).*/\1/p')
  echo "$d,${p:-NO DMARC}"
done < clients.txt
# google.com,reject
# github.com,quarantine
# debian.org,none
# shopify.com,reject
# neverssl.com,NO DMARC
# test.com,NO DMARC

Rodamos isso em 9 de novembro de 2026. Duas linhas merecem um olhar mais atento:

• shopify.com: dig +short txt _dmarc.shopify.com mostra primeiro dmarcreject.shopify.com., porque o nome _dmarc é um CNAME. O registro para o qual ele aponta diz p=reject. Muitas empresas gerenciam o DMARC de forma centralizada desse jeito.
• test.com: existe um registro TXT em _dmarc.test.com, mas ele não começa com v=DMARC1, então os receptores o descartam. É por isso que o loop mantém só as linhas que começam com v=DMARC1.

O padrão do sed procura p= depois de um ponto e vírgula ou de um espaço, para não confundir sp=reject com a política principal. O loop não faz o que os receptores fazem com um subdomínio sem registro próprio: a RFC 9989, seção 4.10 manda que eles subam a árvore do DNS até o registro do pai. O verificador em massa faz essa subida e marca a linha como herdada.

Separe os resultados em três pilhas

• Sem DMARC. Nenhum registro, um registro que não começa com v=DMARC1, ou dois registros no mesmo nome. A RFC 9989 manda os receptores descartarem todos quando mais de um é retornado. Esses clientes vêm primeiro. As diretrizes para remetentes do Google exigem que remetentes em massa publiquem DMARC.
• p=none. Só relatórios. A mesma página do Google diz que a política pode ser definida como none, então isso atende ao mínimo, mas e-mails falsificados continuam sendo entregues. Confira se rua= está definida, senão ninguém está lendo os relatórios.
• Quarantine ou reject. Política aplicada. Confira também sp=: um cliente pode estar em reject no domínio principal enquanto os subdomínios ficam em none.

O que mudou em maio de 2026

A RFC 9989 substituiu a RFC 7489 como padrão DMARC. Três mudanças importam quando você lê os registros dos clientes:

• pct= acabou. O apêndice A.6 explica que valores diferentes de 0 e 100 não eram aplicados de forma consistente. Registros com pct= ainda funcionam com receptores que a leem, mas não planeje uma implantação em torno dela.
• t=y é a nova flag de teste. Ela pede aos receptores que apliquem um nível abaixo da política declarada, então p=reject; t=y é tratado como quarantine.
• np= cobre subdomínios que não existem. Ela define uma política para nomes inventados como invoice.client.com, que os spammers criam.

Para levar um cliente de none até a política aplicada, veja DMARC de none para reject. Para ler os relatórios que chegam, veja como ler relatórios agregados de DMARC.

Próximo passo: verifique as listas que você envia para os clientes

O DMARC protege o domínio de um cliente contra falsificação. Ele não impede os bounces de endereços mortos nas listas que você envia para ele, que prejudicam a mesma reputação. Envie cada lista em /verify para checar cada caixa postal sem enviar nada. As primeiras 100 checagens são grátis com login do Google, sem cartão.

Pro, US$ 39 por mês: verificação de e-mails ilimitada.* Nunca medida, nunca cortada. Veja os preços.

*Uso justo: as primeiras 100.000 verificações do mês em velocidade máxima, depois mais devagar, nunca cortado.

Leia também: verificar o registro DMARC de um domínio, como agências reportam a verificação de listas aos clientes.