Gerador de registro DMARC

Crie seu registro DMARC pela RFC 9989, partindo do que você publica hoje, e veja o que os servidores de destino farão com os e-mails que falham.

Atualizado em 25 de outubro de 2026

RFC 9989, 9990 e 9991 · seu registro atual lido pelo seu navegador · nada do que você digita é guardado

Seu domínioDNS lido pelo seu navegador

Carrega no formulário o registro em _dmarc do seu domínio. Ou monte um abaixo: ele muda a cada ajuste.

Teste

Montado no seu navegador. Só as perguntas de DNS saem dele, por HTTPS, para o resolvedor da Cloudflare (o do Google como segunda opinião).

Exemplo

Um registro de exemplo para example.com

Digite seu domínio acima para partir do que ele publica agora, ou mude qualquer coisa abaixo. O registro à direita muda a cada ajuste.

pPolítica para example.com

tModo de teste

t=yOs servidores de destino aplicam um nível a menos: reject age como quarantine, e quarantine como none. Desligue para aplicar de verdade.

ruaPara onde vão os relatórios agregados

dmarc@example.com

Contagens diárias de quem envia como seu domínio. Uma caixa de e-mail que você lê, ou um serviço de relatórios DMARC.

spSubdomínios

news.example.com, mail.example.com…

npSubdomínios que não existem

Nomes inventados como invoices.example.com, os favoritos de quem falsifica remetentes.

adkimAlinhamento

DKIM

SPF

O relaxado deixa mail.example.com valer por example.com; o estrito exige o nome exato.

Este domínio não envia e-mails

Rejeite tudo e acrescente os registros de que um domínio estacionado precisa.

Relatórios de falha e mais

rufPara onde vão os relatórios de falha

Um relatório por mensagem que falha. Eles podem trazer o conteúdo da mensagem, e o Gmail e a Microsoft não os enviam.

foEnviar relatórios de falha quando

qualquer verificação falhatoda verificação falhao DKIM falhao SPF falha

psd= é só para operadores de sufixos públicos, então não é oferecido.

O que acontece com e-mails que falham no DMARC

E-mails que passam nunca são afetados. Para os que falham, os servidores de destino leem seu registro assim:

De example.comexample.com

p=nonedecide

—

Entreguee reportado

De um subdomínionews.example.com

p=nonedecide

—

Entreguee reportado

De um nome que não existex7q.example.com

p=nonedecide

—

Entreguee reportado

Uma política é um pedido: a decisão final é do servidor de destino. Com Honor DMARC record policy ligado, como a Microsoft recomenda, o Microsoft 365 recusa com 550 5.7.1 as falhas de reject e manda as falhas de quarantine para Junk.

Implantação

1
Monitorarp=nonep=none com relatórios, por pelo menos um mêsagoraVocê está aqui
2
Testarp=quarantine; t=yquarantine com t=y: opcional
3
Quarentenap=quarantinepor pelo menos o mesmo tempo que você monitorou
4
Rejeitarp=rejectse seus usuários não escrevem em listas de e-mail

Antes de publicar

Pronto para publicar

Um registro, sem nada que os servidores de destino pulariam ou leriam errado.

Bom

Para onde vão seus relatórios

Os servidores de destino só enviam relatórios ao endereço de outra organização se ela publicar um registro de permissão.

dmarc@example.com ruaDentro de example.com: sem precisar de permissão

Serviços de relatórios publicam um registro que cobre todos os domínios, então os endereços deles costumam aparecer como Autorizado na hora.

Onde colo isto?

Escolha o seu host de DNS: os campos abaixo estão escritos do jeito que o formulário dele pede.

Linha do arquivo de zona

_dmarc.example.com. 3600 IN TXT "v=DMARC1; p=none; rua=mailto:dmarc@example.com"

Depois de publicar

Verificação completa: example.comO link leva estas configurações, nunca uma chave. Perguntado pelo seu navegador: o resolvedor da Cloudflare, o do Google como segunda opinião.

Seu registro DMARCv=DMARC1; p=none; rua=mailto:dmarc@example.com

Como criar um registro DMARC?

Para criar um registro DMARC, publique um registro TXT chamado _dmarc no seu domínio, começando com v=DMARC1, uma política e um endereço para os relatórios: o gerador acima o escreve, e ele vale assim que o seu host de DNS o servir.

Confira se os seus e-mails já passam no SPF ou no DKIM e comece em p=none com um endereço rua que você lê: os servidores de destino continuam entregando como antes e mandam relatórios diários de quem envia como o seu domínio.

Leia os relatórios por pelo menos um mês, corrija todo remetente legítimo que falha e só então passe para quarantine e reject. Um registro no domínio organizacional cobre os subdomínios dele também.

1Publique em _dmarc_dmarc.example.com · TXT
v=DMARC1; p=none; rua=mailto:dmarc@example.com
2Os servidores de destino consultamconsulta TXT _dmarc.example.com
3Aplicam sua políticap=none → entregue
4Os relatórios voltam todo diarelatório agregado (XML, diário)dmarc@example.com

Um registro, quatro passos

Gerador DMARC com registro da RFC 7489 reescrito para a RFC 9989, o caminho da política e as permissões de relatório — Um registro publicado, carregado do DNS: pct, rf e ri removidos com o motivo de cada um, cada tag colorida como a sua configuração e um endereço de relatório de outra organização sinalizado.

O que significa cada tag do registro DMARC?

Um registro DMARC é uma lista de pares tag=valor: v diz o que ele é, p o que fazer com e-mails que falham, rua para onde vão os relatórios, e toda outra tag só muda um padrão.

A RFC 9989 mantém v, p, sp, adkim, aspf, rua, ruf e fo, acrescenta np (nomes que não existem), t (modo de teste) e psd (para operadores de sufixos públicos) e remove pct, rf e ri.

Só o v precisa vir primeiro e ser exatamente DMARC1; tags que a RFC 9989 não conhece são ignoradas, então uma tag removida é inofensiva, mas não faz nada.

Tag	Valores	Padrão	O que faz
v	DMARC1	obrigatória	Marca o registro; precisa vir primeiro
p	none · quarantine · reject	none	O que os servidores de destino fazem com e-mails do domínio que falham
sp	none · quarantine · reject	p	O mesmo para subdomínios que existem
np nova	none · quarantine · reject	sp, depois p	O mesmo para nomes que não existem
t nova	y · n	n	Modo de teste: aplicar um nível a menos
rua	endereços mailto:	nenhum	Para onde vão os relatórios agregados diários
ruf	endereços mailto:	nenhum	Para onde vão os relatórios de falha por mensagem
fo	0 · 1 · d · s	0	Quando enviar relatórios de falha
adkim	r · s	r	Alinhamento do DKIM: relaxado ou estrito
aspf	r · s	r	Alinhamento do SPF: relaxado ou estrito
psd nova	y · n · u	u	Só para operadores de sufixos públicos
pct removida	0–100		Removida: só 0 e 100 funcionavam de forma confiável
rf removida	afrf		Removida: tinha um único valor
ri removida	segundos		Removida: os relatórios são diários de qualquer jeito

As tags da RFC 9989

Qual política DMARC usar: none, quarantine ou reject?

Comece em none com relatórios, passe para quarantine quando todo remetente legítimo passar e para reject quando tiver certeza: a RFC 9989 pede pelo menos um mês em none e o mesmo tempo em quarantine.

none não muda nada na entrega; quarantine manda para o spam o que falha; reject o recusa. Uma política é um pedido: a decisão final é do servidor de destino.

Domínios cujos usuários escrevem em listas de e-mail NÃO DEVEM usar reject, porque listas que alteram as mensagens quebram o DMARC deles. O Google sugere um caminho mais rápido (uma semana em none e depois uma pequena parte em quarantine).

1
Monitorarp=none; rua=…por pelo menos um mêsagoraEntregue e reportado
2
Testarp=quarantine; t=yopcionalUm nível a menos
3
Quarentenap=quarantinepor pelo menos o mesmo temponão antes de 27 de nov. de 2026Pasta de spam
4
Rejeitarp=rejectse seus usuários não escrevem em listasnão antes de 27 de dez. de 2026Recusado

O caminho mais rápido do Googlenone · 1 semanaquarantine · uma pequena partequarantine 100%reject (opcional)

A implantação, com datas reais a partir de hoje

O que mudou no DMARC com a RFC 9989?

A RFC 9989 (maio de 2026) substituiu a RFC 7489: removeu pct, rf e ri, acrescentou np, t e psd e acha o domínio organizacional subindo pelo DNS em vez de ler a Public Suffix List.

pct=0 agora vale como t=y; qualquer outro pct é descartado porque os servidores de destino o aplicavam de forma inconsistente. O sufixo de tamanho do relatório (!10m) é ignorado.

A busca pela árvore pergunta _dmarc no nome e em cada pai, no máximo oito perguntas, então um nome muito profundo deve ter o próprio registro. As páginas de ajuda do Google e da Microsoft ainda descrevem o pct.

Antes

v=DMARC1; p=quarantine; pct=0; rua=mailto:dmarc@example.com~~!10m~~; rf=afrf; ri=86400

Depois

v=DMARC1; p=quarantine; t=y; rua=mailto:dmarc@example.com

pct=0 virou t=y
rf removido
ri removido
!10m removido

A busca pela árvore do DNS_dmarc.mail.news.example.comNXDOMAIN_dmarc.news.example.comNXDOMAIN_dmarc.example.comv=DMARC1 ✓vale o primeiro registro encontrado; no máximo 8 perguntas

Um registro publicado da RFC 7489, reescrito

Como enviar relatórios DMARC para outro serviço?

Coloque o endereço do serviço em rua; quando o domínio dele não é o seu, ele precisa publicar um registro de permissão chamado como example.com._report._dmarc.reports.example.net (o seu domínio e depois o dele), o que os serviços de relatórios fazem uma vez para todos os domínios com um curinga.

Sem esse registro, os servidores de destino não enviam os relatórios a lugar nenhum, e nada avisa você. O gerador verifica ao vivo cada endereço de fora e mostra o registro que o dono dele precisa publicar.

Use uma caixa de e-mail ou um serviço feito para volume: quem envia muito recebe centenas de relatórios por dia. Relatórios de falha (ruf) podem trazer o conteúdo da mensagem, e o Gmail e a Microsoft não os enviam.

Seu registro

v=DMARC1; p=none; rua=mailto:reports@rua.vendor.example.net

pergunta

registro de permissãoexample.com._report._dmarc.rua.vendor.example.netTXT "v=DMARC1;"

envia o relatório

O serviço de relatóriosreports@rua.vendor.example.net

Serviços de relatórios que publicam uma permissão curinga

dmarcianValimailEasyDMARCPostmarkCloudflareMimecast DMARC AnalyzerProofpointAgariRed Sift OnDMARCPowerDMARCSendmarcURIportsReport URIDMARCLYFraudmarcDMARC Report

Quem verifica o quê

DMARC para quem envia ao Gmail, Yahoo e Outlook.com

Gmail, Yahoo e Outlook.com exigem que quem envia em massa publique DMARC, e p=none basta; o domínio do From também precisa estar alinhado com o SPF ou o DKIM.

O Gmail e o Outlook.com contam mais de 5.000 mensagens por dia; o Yahoo não cita um limite. O Outlook.com quer que SPF e DKIM passem os dois e recusa com 550 5.7.515 o que falha.

Logotipos BIMI exigem mais: quarantine ou reject no domínio organizacional e no domínio do From, sem política de subdomínio em none.

	Gmail	Yahoo	Outlook.com
Desde	fevereiro de 2024	fevereiro de 2024	5 de maio de 2025
Quem entra	mais de 5.000 por dia	nenhum limite informado	mais de 5.000 por dia
DMARC	p=none basta	p=none, e precisa passar	p=none, alinhado
SPF e DKIM	os dois	os dois	os dois precisam passar
Alinhamento	SPF ou DKIM	relaxado basta	SPF ou DKIM

O que cada provedor de caixa de e-mail exige de quem envia em massa

DMARC para um domínio que não envia e-mails

Publique DMARC p=reject, SPF v=spf1 -all e um null MX, com SPF e MX curinga para os subdomínios e nenhum registro DKIM: o conjunto de 2022 do M3AAWG para domínios estacionados.

Como nada pode enviar, reject não prejudica e-mails de verdade, e os servidores de destino recusam falsificações na hora. O M3AAWG não aconselha mais aqui uma chave DKIM vazia (o conselho de 2015): não publique nenhum registro DKIM.

Muitos domínios estacionados? Aponte o _dmarc de cada um para um registro compartilhado com um CNAME, para que uma mudança futura seja feita uma só vez.

example.net. 3600 IN TXT "v=spf1 -all"
_dmarc.example.net. 3600 IN TXT "v=DMARC1; p=reject;"
example.net. 3600 IN MX 0 .
*.example.net. 3600 IN TXT "v=spf1 -all"
*.example.net. 3600 IN MX 0 .

Um falsificador envia como invoices@example.netRecusado: o SPF falha, sem DKIM, o DMARC diz reject

O conjunto de domínio estacionado para example.net

Onde adiciono o registro DMARC?

No seu host de DNS, como um registro TXT chamado _dmarc: a maioria dos hosts acrescenta o seu domínio sozinha, então você digita só _dmarc, nunca _dmarc.example.com.

Digitar o nome completo em um host que acrescenta o domínio cria _dmarc.example.com.example.com, um registro que ninguém lê. Escolha o seu host no gerador para ver os campos exatos dele.

Um nome só pode ter um registro DMARC: troque o antigo em vez de acrescentar um segundo, ou os servidores de destino ignoram os dois.

Host de DNS	Campo Nome	Um valor longo
Cloudflare	_dmarc	um campo só: ele divide
GoDaddy	_dmarc	um campo só: ele divide
Namecheap	_dmarc	um campo só: ele divide
Squarespace	_dmarc	não documentado
Amazon Route 53	_dmarc	strings entre aspas
Google Cloud DNS	_dmarc	strings entre aspas
Azure DNS	_dmarc	um campo só: ele divide
DigitalOcean	_dmarc	não documentado
Hostinger	_dmarc	não documentado
IONOS	_dmarc	não documentado
OVHcloud	_dmarc	não documentado
Porkbun	_dmarc	não documentado
cPanel	_dmarc	um campo só: ele divide
Plesk	_dmarc	não documentado
Hetzner	_dmarc	strings entre aspas
STRATO	_dmarc	não documentado
Bluehost	_dmarc	não documentado

O que digitar, host por host

Perguntas frequentes sobre o gerador de registro DMARC

O que é um registro DMARC?

Um registro DMARC é um registro TXT em _dmarc.seudominio que diz aos servidores de e-mail de destino o que fazer com e-mails que afirmam vir do seu domínio, mas falham no alinhamento de SPF e DKIM, e para onde enviar relatórios sobre isso. Ele começa com v=DMARC1 e traz uma política: none, quarantine ou reject. A RFC 9989, publicada em maio de 2026, é o padrão atual.

Qual deve ser o meu primeiro registro DMARC?

Comece com v=DMARC1; p=none; rua=mailto: mais um endereço que você lê. Ele não muda nada na entrega, mas faz os servidores de destino enviarem relatórios diários de todo servidor que envia como o seu domínio. Depois de pelo menos um mês, quando os seus próprios remetentes passarem, vá para quarantine e depois para reject, como a RFC 9989 sugere.

Por que não existe a configuração pct?

A RFC 9989 removeu o pct porque os servidores de destino aplicavam valores diferentes de 0 e 100 de forma inconsistente. O substituto é t=y, o modo de teste, que pede que apliquem um nível a menos que a sua política: quarantine age como none, reject como quarantine. As páginas de ajuda da Microsoft e do Google ainda descrevem o pct, mas servidores da RFC 9989 o ignoram, então o gerador não o escreve.

Os relatórios DMARC podem ir para o Gmail ou o Outlook?

Podem, qualquer caixa de e-mail serve, mas uma caixa pessoal enche rápido: quem envia muito recebe centenas de relatórios por dia. Se o endereço é de outra organização, esse domínio precisa publicar um registro de permissão para o seu domínio, ou os servidores de destino não enviam nada. Uma caixa no seu próprio domínio, ou um serviço de relatórios DMARC, evita o problema.

Preciso de SPF e DKIM antes do DMARC?

Você pode publicar p=none antes de qualquer outra coisa: os relatórios mostram quais remetentes precisam de SPF ou DKIM. Antes de quarantine ou reject, todo fluxo legítimo precisa passar no SPF ou no DKIM alinhado com o seu domínio do From. A RFC 9989 recomenda os dois, e um domínio em reject deve assinar com DKIM, porque o encaminhamento quebra o SPF.

Qual a diferença entre rua e ruf?

O rua recebe relatórios agregados: resumos diários em XML que contam mensagens por servidor de envio e resultado, sem conteúdo de mensagem. O ruf recebe relatórios de falha sobre mensagens individuais, que podem incluir cabeçalhos ou conteúdo. Muitos grandes provedores, como o Gmail e a Microsoft, não enviam relatórios de falha, então o rua é o que importa; o ruf é opcional.

Devo usar o alinhamento estrito?

Em geral não. O alinhamento relaxado deixa e-mails assinados ou com bounce por um subdomínio, como bounce.example.com, valerem por example.com, que é como o SendGrid, o Amazon SES e o Mailgun enviam. O estrito exige o domínio exato e reprova esses. Ele impede que quem controla o DNS de um subdomínio passe pelo domínio pai, então serve para domínios muito bem administrados.

O que fazem sp e np?

O sp define a política para subdomínios que existem, como news.example.com, e o np para nomes que nem existem, como um invoices.example.com inventado. Sem eles, os subdomínios seguem o p. Definir np=reject só afeta e-mails que falham de nomes que você nunca criou, que é como quem falsifica remetentes costuma tentar driblar a política mais fraca do domínio pai.

Quanto tempo um registro DMARC leva para funcionar?

Ele funciona assim que os servidores do seu host de DNS respondem com ele, em geral minutos depois de salvar. Um servidor de destino que perguntou um pouco antes pode lembrar a resposta antiga até o tempo de cache acabar. Os relatórios chegam cerca de um dia depois, porque os servidores os enviam a cada 24 horas. Use Confira se foi publicado no gerador para ver o que o DNS responde agora.

O gerador DMARC é grátis e o meu domínio é guardado?

É grátis, sem cadastro. O registro é montado no seu navegador, e carregar o seu registro atual pergunta ao resolvedor da Cloudflare (e ao do Google quando a Cloudflare demora) por HTTPS direto do seu navegador, então o seu domínio não passa pelo nosso servidor. O gerador nunca acrescenta um endereço de relatório nosso: todo endereço do registro é um que você digitou.

Gerador de registro DMARC

Um registro de exemplo para example.com