Audite a segurança e a entregabilidade email do seu domínio

Uma auditoria completa da segurança e da entregabilidade email

A configuração email de um domínio decide-se em duas frentes. No envio, a autenticação (SPF, DKIM, DMARC) define se as suas mensagens chegam à caixa de entrada ou param no spam. Na receção, a segurança do transporte (MTA-STS, DANE, TLS-RPT) e a integridade do DNS (DNSSEC) protegem as suas trocas contra interceção e falsificação. Uma falha de um único lado fragiliza o conjunto.

Esta auditoria de entregabilidade e segurança email (também chamada de "DMARC checker", "SPF lookup", "DKIM validator", "domain health check" ou "email security audit") passa a pente fino dez protocolos, repartidos em três pilares, num único scan.

Envio (outbound):

Receção (inbound):

Esta auditoria é útil em três situações. Antes de uma campanha, para confirmar que o domínio está pronto para enviar. Para proteger a receção, controlando a encriptação do transporte e a integridade do DNS. E depois de trocar de plataforma, quando é preciso verificar se os novos seletores DKIM e os seus registos foram bem publicados.

Como usar a auditoria email em 3 passos

Passo 1: Introduza o seu domínio

Informe o domínio a auditar (captaindns.com). Se envia por várias plataformas (Mailchimp, Brevo, Google Workspace), adicione os seletores DKIM correspondentes para uma verificação completa do envio.

Onde encontrar os seus seletores DKIM:

• Mailchimp: k1 (definições → domínio → autenticação)
• Brevo: mail (definições → remetentes → DKIM)
• Google Workspace: google (Admin Console → Apps → Gmail → Autenticação)
• Microsoft 365: selector1, selector2 (Admin → Domínios → Registos DNS)

Passo 2: Execução da análise

A ferramenta consulta os seus registos DNS sem nenhuma intervenção da sua parte.

No envio, ela verifica a sintaxe SPF, a sua contagem de lookups e o seu mecanismo -all, valida cada seletor DKIM e o tamanho da chave (2048 bits ou mais), controla a política DMARC e os seus relatórios, e confirma que o registo BIMI aponta para um logótipo acessível.

Na receção, ela lista os seus MX e testa a sua resolução e redundância, verifica o registo MTA-STS, a sua política HTTPS e o seu modo (enforce ou testing), confronta os registos TLSA do DANE com a validação DNSSEC, e garante que o TLS-RPT declara mesmo um destino de relatórios.

Passo 3: Leitura dos resultados

Obtém:

• Pontuação global de 100 com selo de configuração (Excelente, Bom, Médio, Insuficiente)
• Diagnósticos por protocolo com estado pass/fail
• Ações corretivas classificadas por prioridade
• Exportação JSON para partilhar com a sua equipa técnica

Cálculo da pontuação de 100

A pontuação global agrega três pilares ponderados: envio (50%), receção (35%) e segurança DNS (15%). Veja como cada um é composto.

Cada pilar é avaliado em 100, depois ponderado conforme o seu peso. O total resulta num de cinco graus. Acima de 90, está tudo no lugar: é o Excelente. Entre 75 e 89, a base sustenta-se, faltam alguns ajustes (Bom). De 50 a 74, erros ou avisos vão corroendo a sua entregabilidade ou a sua segurança (Médio). De 1 a 49, o prognóstico é sombrio: um bloqueio sério compromete o envio ou a receção (Crítico). Em 0, nada pôde ser medido (Em falta).

Detalhe de pontos por pilar

Envio (100 pontos):

Receção (100 pontos):

Segurança DNS (100 pontos):

Um registo CAA (Certification Authority Authorization) declara quais autoridades de certificação têm o direito de emitir um certificado para o seu domínio. Sem ele, qualquer uma pode assinar um certificado para captaindns.com. O valor 0 issue ";" fecha a porta a qualquer emissão, e a tag iodef abre um canal para avisar das tentativas.

Erros frequentes detetados pela auditoria

Quatro problemas voltam na grande maioria das auditorias malsucedidas. Veja como reconhecê-los e corrigi-los.

SPF: consultas DNS demais (permerror)

O SPF tolera no máximo 10 lookups DNS. Um único include: a mais e tudo quebra: o resolvedor devolve permerror e simplesmente ignora a sua política. O sintoma típico é uma pontuação SPF muito baixa mesmo com o registo a existir de facto. A auditoria reconta os seus lookups, deteta os include: aninhados (muitas vezes 12 ou mais) e aponta a ultrapassagem. A saída: substitua os include: por faixas de IP, ou faça o trabalho num clique com o nosso SPF Flattener.

DKIM: seletor não encontrado

Cada plataforma de envio tem o seu próprio seletor DKIM. Enquanto ele não estiver publicado na sua zona, a assinatura falha a cada email, sem exceção. Julga o DKIM configurado, e a auditoria mostra um NXDOMAIN em k1._domainkey.captaindns.com: a chave não existe no DNS. Obtenha o seletor certo junto do seu fornecedor de envio e publique o registo TXT correspondente.

DMARC: política permissiva demais

Uma política p=none não protege de nada. Ela observa, não bloqueia: os fornecedores de email deixam passar os emails não autenticados enviados em seu nome. A auditoria sinaliza assim que lê p=none, ainda mais quando os relatórios rua também faltam. O caminho: endureça por etapas, p=quarantine e depois p=reject, de olho nos relatórios DMARC para não bloquear nenhum envio legítimo.

MX: registo em falta ou inválido

Sem MX, não entra correio. Um domínio sem MX não recebe nenhum email, e alguns filtros até o consideram ilegítimo no envio. Quando a auditoria devolve uma pontuação MX zerada, é porque nenhum registo foi encontrado. Publique pelo menos um MX válido. Se o domínio não deve receber correio, declare um null MX (0 .): é uma postura explícita, não um erro.

Plano de ação para melhorar a sua segurança e a sua entregabilidade

Ataque o trabalho por ordem de impacto. As duas tabelas abaixo classificam as correções do envio e depois da receção, do mais crítico ao opcional.

Envio:

Receção:

Dica: refaça a auditoria nos momentos que importam, antes de uma campanha, depois de trocar de fornecedor, a cada mudança DNS. Assim deteta os problemas antes que penalizem os seus envios ou exponham o seu domínio.

Casos de uso concretos

Incidente 1: campanha de marketing com 80% no spam

Sintoma: Envia uma newsletter via Mailchimp, mas a maioria cai no spam.

Diagnóstico com a auditoria:

• MX = ✅ Pass
• SPF = ❌ Fail → 14 lookups (limite ultrapassado)
• DKIM = ❌ Fail → Seletor k1 não encontrado
• DMARC = ⚠️ p=none

Ações prioritárias:

1. Achatar o SPF para ficar abaixo de 10 lookups
2. Publicar o CNAME DKIM do Mailchimp
3. Passar o DMARC para p=quarantine

Incidente 2: emails B2B rejeitados pelo Microsoft 365

Sintoma: Os seus emails profissionais são rejeitados pelos clientes que usam Outlook/Microsoft 365.

Diagnóstico com a auditoria:

• SPF = ✅ Pass
• DKIM = ✅ Pass
• DMARC = ❌ Fail → Política p=reject mas alinhamento falhou

Ações prioritárias:

1. Verificar se o domínio From corresponde ao domínio DKIM (alinhamento estrito)
2. Configurar aspf=r e adkim=r para um alinhamento relaxado

Incidente 3: migração para o Google Workspace

Sintoma: Depois da migração para o Google Workspace, os emails caem no spam.

Diagnóstico com a auditoria:

• SPF = ⚠️ Warning → include:_spf.google.com em falta
• DKIM = ❌ Fail → Seletor google não publicado

Ações prioritárias:

1. Adicionar include:_spf.google.com ao SPF
2. Gerar e publicar a chave DKIM no Admin Console

FAQ - Perguntas frequentes

P: O que exatamente esta auditoria email verifica?

R: Dez protocolos repartidos em três pilares. No envio, a auditoria controla o SPF (servidores autorizados), o DKIM (assinatura criptográfica), o DMARC (política de autenticação) e o BIMI (logótipo da marca). Na receção, cobre os MX (servidores de entrada), MTA-STS (encriptação TLS forçada), DANE (autenticação dos certificados via DNSSEC) e TLS-RPT (relatórios de falha TLS). O pilar de segurança DNS trata do DNSSEC (assinatura da zona) e do CAA (autoridades de certificação autorizadas).

P: Como funciona a pontuação de 100?

R: Três pilares ponderados combinam-se: o envio (50%) reúne DMARC (40 pts), SPF (30 pts), DKIM (25 pts) e BIMI (5 pts); a receção (35%) soma MX (40 pts), MTA-STS (30 pts), DANE (15 pts) e TLS-RPT (15 pts); a segurança DNS (15%) reparte DNSSEC (80 pts) e CAA (20 pts). Cada pilar é avaliado em 100, depois trazido ao total conforme o seu peso. Acima de 90, a configuração está no ponto.

P: Porque é que o meu SPF mostra "lookups demais"?

R: A RFC 7208 limita o SPF a 10 resoluções DNS. Cada include:, a:, mx: ou redirect= consome uma. Empilhe Mailchimp, Brevo e Google, e a conta estoura rápido. Para voltar abaixo da linha, o nosso SPF Flattener converte os seus includes em endereços IP diretos.

P: Como adiciono um seletor DKIM?

R: O seletor muda de um fornecedor para outro: k1 para Mailchimp, mail para Brevo, google para Google Workspace, selector1 e selector2 para Microsoft 365. Informe-o no formulário de auditoria, e a ferramenta confirma se ele está mesmo publicado na sua zona.

P: Qual política DMARC devo usar?

R: Avance por etapas. Comece em p=none para observar sem bloquear nada, passe para p=quarantine para enviar as mensagens suspeitas para o spam e, por fim, tranque em p=reject para rejeitar tudo o que não estiver autenticado. A cada passo, mantenha os relatórios rua ativos: são eles que evitam bloquear um envio legítimo.

P: A auditoria é gratuita?

R: Sim, gratuita e sem registo. Introduza o seu domínio e os resultados aparecem.

P: Os meus dados são armazenados?

R: Não. A auditoria consulta apenas registos DNS públicos, acessíveis a qualquer um por uma consulta DNS padrão. Nada fica guardado connosco.

Ferramentas complementares

Recursos úteis

• RFC 7208 - SPF (especificação oficial SPF)
• RFC 6376 - DKIM (especificação oficial DKIM)
• RFC 7489 - DMARC (especificação oficial DMARC)
• RFC 8461 - MTA-STS (SMTP MTA Strict Transport Security)
• RFC 8460 - TLS-RPT (SMTP TLS Reporting)
• RFC 6698 - DANE (DNS-Based Authentication of Named Entities)
• Google - Autenticação de email (guia Gmail)
• Microsoft - Autenticação de email (guia Microsoft 365)