Como verificar o registro DMARC de um domínio (e ler a política)

O registro DMARC de um domínio é um único registro TXT em _dmarc. na frente do domínio, e a tag p= dele é a política. Digite o domínio no verificador de DMARC: ele lê o registro bruto, explica cada tag (p, sp, pct, rua, adkim, aspf) e diz com clareza se a política bloqueia e-mails falsificados ou só gera relatórios sobre eles.

Verifique o registro DMARC de um domínio →

Verifique o DMARC com a ferramenta

1. Abra o verificador de DMARC.
2. Digite o domínio, como example.com. Não adicione _dmarc você mesmo; a ferramenta procura no lugar certo.
3. Leia primeiro a linha da política: none, quarantine ou reject.
4. Leia as tags abaixo dela, principalmente sp= (a política dos subdomínios) e rua= (para onde vão os relatórios agregados).

Verifique à mão

dig +short txt _dmarc.google.com
# "v=DMARC1; p=reject; rua=mailto:[email protected]"

dig +short txt _dmarc.github.com
# "v=DMARC1; p=quarantine; sp=reject; pct=100; rua=mailto:[email protected]; ruf=mailto:[email protected]; fo=1"

nslookup -type=txt _dmarc.google.com
# _dmarc.google.com	text = "v=DMARC1; p=reject; rua=mailto:[email protected]"

Rodamos esses comandos em 8 de novembro de 2026. O registro do GitHub mostra a diferença entre p= e sp=: o e-mail de github.com reprovado no DMARC vai para quarentena, e o dos subdomínios dele é rejeitado.

dig +short txt _dmarc.docs.github.com não retornou nada, o que é normal. A RFC 7489, seção 6.6.3 manda os destinatários recorrerem ao registro do domínio organizacional quando o domínio exato não tem um. A mesma seção diz que, se o conjunto tiver mais de um registro DMARC, ou nenhum, o processamento DMARC não é aplicado.

Como ler o resultado

• p=none: só relatórios. O e-mail reprovado é entregue. As diretrizes para remetentes do Google exigem que remetentes em massa publiquem DMARC e dizem que a política pode ser none, então muitos domínios param aqui.
• p=quarantine: o e-mail reprovado é tratado como suspeito, normalmente vai para a pasta de spam.
• p=reject: o e-mail reprovado é recusado.
• pct=: a parcela do e-mail reprovado à qual a política se aplica. Abaixo de 100 significa uma implantação parcial.
• rua=: para onde vão os relatórios agregados diários. Sem ela você não recebe relatórios.
• Nada encontrado: nenhum DMARC, ou o registro foi publicado com o nome errado. Confira se o host é _dmarc, e não _dmarc.example.com.example.com.

Para registros funcionais para copiar, veja os exemplos de registro DMARC. Para passar de none para uma política aplicada, veja DMARC de none para reject.

Próximo passo: verifique os endereços para os quais você envia

O DMARC protege o seu domínio; ele não impede os bounces de endereços mortos da sua lista, que prejudicam a mesma reputação de envio. Envie a lista em /verify para checar cada caixa postal sem enviar nada. As primeiras 100 checagens são grátis com login do Google, sem cartão.

Pro, US$ 39 por mês: verificação de e-mails ilimitada.* Nunca medida, nunca cortada. Veja os preços.

*Uso justo: as primeiras 100.000 verificações do mês em velocidade máxima, depois mais devagar, nunca cortado.

Leia também: SPF, DKIM e DMARC explicados, consultar os registros TXT de um domínio.