Início › Verificar domínio
Verificador de e-mail e domínio
Podem falsificar o e-mail da sua empresa? Verifique o seu domínio
Escreva o seu domínio e veja em segundos como está configurado o seu e-mail: SPF, DKIM, DMARC e MX. Só consultamos o que o seu domínio já publica na Internet; não fazemos varrimentos aos seus sistemas. O resultado aparece no ecrã e não precisa de se registar.
Ao verificar, o seu navegador consulta os registos DNS públicos desse domínio no serviço DNS da Cloudflare (1.1.1.1). A vrtxcloud não recebe nem guarda o domínio nem o resultado. Mais informações.
O seu resultado
Escreva um domínio acima e clique em «Verificar o meu domínio». É necessário ter o JavaScript ativo.
O que verificamos no seu domínio
- DMARC: se existe e que política aplica (
none,quarantineoureject). É a verificação essencial para saber se o seu e-mail pode ser falsificado. - SPF: se existe um único registo, como termina (
-all,~all,?all) e quantos mecanismos com consulta DNS tem no primeiro nível (a norma limita o total a 10). - DKIM: se detetamos a assinatura com os seletores mais comuns.
- MX: onde é recebido o seu e-mail.
- Extras informativos: MTA-STS, TLS-RPT, CAA e DNSSEC.
Como ler o semáforo
- Vermelho: sem DMARC, ou SPF inexistente, duplicado ou demasiado permissivo. Qualquer pessoa pode enviar e-mails que parecem vir do seu domínio.
- Âmbar: DMARC em
noneou SPF com~all. Há avisos, mas falta a política que rejeita ou coloca em quarentena as mensagens falsas. - Verde: SPF e DMARC bem publicados. Não significa «seguro»: não cobre domínios parecidos nem contas com a palavra-passe roubada.
O que pode fazer com o resultado
- Corrigi-lo o próprio cliente ou o seu técnico de informática, com a informação do resultado.
- Pedir-nos a revisão: Auditoria Básica. Orçamento fechado após diagnóstico, com âmbito fixo.
- Se já foi vítima de usurpação: resposta a incidentes (orçamento fechado após diagnóstico).
O que não fazemos
É uma verificação passiva de dados públicos. Não fazemos testes de intrusão, não fazemos varrimento de portas e não acedemos a contas. Qualquer análise além do que é público exige autorização assinada. A parte do site (HTTPS, certificado e cabeçalhos) não pode ser verificada a partir de um navegador e é analisada na Auditoria Completa.
Perguntas frequentes
Como posso saber se o e-mail da minha empresa pode ser falsificado?
Veja se o seu domínio publica um registo DMARC e com que política. Sem DMARC, ou com a política «none», o servidor que recebe a mensagem não tem instruções para rejeitar e-mails que usem o seu domínio sem autorização. O verificador desta página consulta SPF, DKIM (se detetar o seletor), DMARC e MX, e apresenta-lhe um semáforo.
Guardam o domínio que verifico?
Não. A consulta é feita pelo seu próprio navegador ao serviço DNS público da Cloudflare; este site não tem servidor de formulários nem base de dados, pelo que a vrtxcloud não recebe nem o domínio nem o resultado. Só nos chega se decidir enviá-lo por e-mail.
Porque é que a minha assinatura DKIM aparece como «não detetada»?
O seletor DKIM não é público: para o verificar é preciso saber o seu nome. O verificador testa os seletores mais comuns, mas pode existir uma assinatura válida com outro nome. Na auditoria confirmamo-lo com o seu fornecedor de e-mail.
Um resultado verde significa que estou protegido?
Não. Verde significa que o SPF e o DMARC estão bem publicados. Não protege contra domínios parecidos com o seu nem contra uma conta de e-mail com a palavra-passe roubada. É uma verificação passiva de dados públicos, não um teste de intrusão.
O que faço se o resultado for vermelho?
Pode corrigi-lo o próprio cliente ou o seu técnico de informática, com a informação do resultado. Se preferir que sejamos nós a analisá-lo, existe a Auditoria Básica: orçamento fechado após diagnóstico, com âmbito fixo por escrito. Se já foi vítima de usurpação, consulte a resposta a incidentes.
Para que servem o SPF, o DKIM e o DMARC?
O SPF lista os servidores autorizados a enviar correio pelo seu domínio. O DKIM acrescenta uma assinatura criptográfica que prova que a mensagem não foi alterada. O DMARC liga os dois, diz aos recetores o que fazer quando falham e envia relatórios sobre quem envia correio com o seu domínio.
O verificador guarda o meu domínio?
Não. O seu navegador consulta registos DNS públicos através do resolvedor da Cloudflare, e a VRTXCLOUD não recebe nem guarda o domínio nem o resultado. A ferramenta só lê o que o domínio já publica, não analisa sistemas, portas ou contas e não exige qualquer registo.
O DMARC protege contra todas as ameaças de e-mail?
Não. O DMARC protege o seu domínio exato contra a usurpação direta. Não trava domínios parecidos com uma letra trocada, contas comprometidas nem anexos maliciosos enviados de outros endereços. É uma camada importante da segurança do correio eletrónico, não uma defesa completa.
Referências: requisitos da Google para remetentes · RFC 7208 (SPF) · INCIBE, fraude por e-mail comprometido. Metodologia revista por Fabio Guimaraes · última atualização: outubro de 2026.