DMARC · TLS-RPT · BIMI · SPF · MTA-STS

Saiba quem envia e-mails em nome do seu domínio.

O Spoofhound transforma os relatórios DMARC e TLS que os seus domínios já geram num quadro claro: quem envia de forma legítima, quem o falsifica e exatamente o que fazer a seguir — até à aplicação total.

Inscrever-se Ver como funciona

Sem cartão, sem agentes, nada a instalar — apenas DNS.

Spoofhound · Painel de exemplo

suaempresa.pt

Mensagens, 30 dias

48 210

Passam DMARC

98,4%

Tentativas de falsificação

214

09:41 Servidor desconhecido a enviar como suaempresa.pt — 214 mensagens falham DMARC Falsificação
09:12 Novo remetente reconhecido: Mailchimp — legítimo e a passar Remetente
08:30 98% do seu correio passa — pronto para mudar para p=reject Aplicação
07:55 Um servidor recetor não conseguiu estabelecer a cifragem — 12 mensagens TLS

Dados de exemplo. O seu painel mostra os seus próprios domínios.

O Spoofhound evita-lhe conversas como esta.

O seu cliente

“Olá — acabámos de pagar a vossa fatura, com os novos dados bancários que nos enviaram por e-mail. O pagamento chegou?”

Você

“Que novos dados bancários? Não mudámos os nossos dados bancários.”

O seu cliente

“Os que estão na fatura que nos enviaram por e-mail ontem.”

Você

“Ontem não vos enviámos nenhuma fatura por e-mail.”

Não entende a falsificação de e-mail nem a ameaça que representa?

Leia a nossa explicação clara e sem jargão →

O custo de não fazer nada

Deixe o seu domínio aberto e duas coisas correm mal.

Sem autenticação de e-mail aplicada, criminosos podem enviar e-mails em seu nome e os seus e-mails verdadeiros inspiram menos confiança. Uma coisa prejudica a sua reputação; a outra, cada e-mail que envia.

O seu nome na fraude de outra pessoa

Faturas falsas, pedidos de «novos dados bancários» e phishing enviados a partir do seu domínio exato parecem autênticos, porque para o destinatário são. Quando um cliente ou fornecedor cai, foi a sua empresa que lhe escreveu, e essa confiança demora a recuperar.

✗Clientes e fornecedores a perder dinheiro com e-mails que vieram «de si»
✗A sua marca associada a campanhas de phishing que nunca enviou
✗Perguntas incómodas depois, de clientes, seguradoras e parceiros

Danos à sua reputação

Os seus e-mails verdadeiros vão parar ao spam

A Google, a Yahoo e a Microsoft exigem agora aos remetentes em massa que publiquem SPF, DKIM e DMARC. Na Google e na Microsoft, isso abrange quem envia mais de 5 000 mensagens por dia aos seus utilizadores. O e-mail que não cumpre vai para o spam ou é recusado: o Gmail passou dos avisos às rejeições em novembro de 2025. Os remetentes mais pequenos também não escapam. O e-mail não autenticado desperta mais desconfiança em todo o lado, e as falsificações enviadas em seu nome ensinam os fornecedores de e-mail a desconfiar do seu domínio.

✗Orçamentos, faturas e reposições de palavra-passe que nunca chegam à caixa de entrada
✗Devoluções do Gmail e do Outlook a dizer que o seu domínio falhou a autenticação
✗Sem logótipo junto aos seus e-mails: o BIMI exige uma política DMARC aplicada

A entregabilidade dos seus e-mails diminui

O Spoofhound leva o seu domínio a uma política DMARC aplicada, passo a passo, para que os impostores sejam bloqueados e os seus próprios e-mails continuem a chegar.

Veja como está o seu domínio — grátis

O que o Spoofhound trava

E-mails falsos em seu nome, e as falhas que os deixam passar.

Assim que o seu domínio aplica DMARC, o correio que apenas finge vir de si é recusado. O Spoofhound leva-o até lá em segurança e depois fica de vigia.

✓Faturas falsas a partir do seu domínio
✓Burlas de «novos dados bancários»
✓E-mails que se fazem passar pelo seu chefe
✓Phishing aos seus clientes em seu nome
✓Spam enviado em seu nome
✓Serviços desconhecidos a enviar como si
✓O seu correio real a falhar as verificações e a ir para o spam
✓Correio enviado para si sem cifragem

O que não trava: domínios parecidos e caixas de correio pirateadas. A página honesta explica o que acrescentar para isso.

A nossa investigação

A maioria das empresas pode ser falsificada hoje.

Verificámos mais de 726 000 domínios de empresas que recebem e-mail, em 28 países. Esta é a parte sem proteção DMARC — qualquer pessoa pode enviar e-mails que dizem vir deles.

94%

dos domínios sul-coreanos podem ser falsificados por e-mail

4 384 domínios verificados

Ler o relatório da Coreia do Sul →

89%

dos domínios japoneses podem ser falsificados por e-mail

25 956 domínios verificados

Ler o relatório do Japão →

87%

dos domínios italianos podem ser falsificados por e-mail

36 842 domínios verificados

Ler o relatório de Itália →

84%

dos domínios franceses podem ser falsificados por e-mail

71 101 domínios verificados

Ler o relatório de França →

83%

dos domínios finlandeses podem ser falsificados por e-mail

9 153 domínios verificados

Ler o relatório da Finlândia →

83%

dos domínios nigerianos podem ser falsificados por e-mail

879 domínios verificados

Ler o relatório da Nigéria →

81%

dos domínios de empresas norte-americanas podem ser falsificados por e-mail

113 484 domínios verificados

Ler o relatório dos Estados Unidos →

81%

dos domínios argentinos podem ser falsificados por e-mail

6 683 domínios verificados

Ler o relatório da Argentina →

81%

dos domínios vietnamitas podem ser falsificados por e-mail

3 297 domínios verificados

Ler o relatório do Vietname →

79%

dos domínios taiwaneses podem ser falsificados por e-mail

3 171 domínios verificados

Ler o relatório de Taiwan →

77%

dos domínios canadianos podem ser falsificados por e-mail

26 451 domínios verificados

Ler o relatório do Canadá →

76%

dos domínios do Reino Unido podem ser falsificados por e-mail

55 033 domínios verificados

Ler o relatório do Reino Unido →

76%

dos domínios tailandeses podem ser falsificados por e-mail

2 085 domínios verificados

Ler o relatório da Tailândia →

76%

dos domínios gregos podem ser falsificados por e-mail

7 366 domínios verificados

Ler o relatório da Grécia →

75%

dos domínios indianos podem ser falsificados por e-mail

12 398 domínios verificados

Ler o relatório da Índia →

75%

dos domínios espanhóis podem ser falsificados por e-mail

24 449 domínios verificados

Ler o relatório de Espanha →

75%

dos domínios brasileiros podem ser falsificados por e-mail

24 186 domínios verificados

Ler o relatório do Brasil →

74%

dos domínios suecos podem ser falsificados por e-mail

8 856 domínios verificados

Ler o relatório da Suécia →

73%

dos domínios islandeses podem ser falsificados por e-mail

843 domínios verificados

Ler o relatório da Islândia →

73%

dos domínios alemães podem ser falsificados por e-mail

199 513 domínios verificados

Ler o relatório da Alemanha →

71%

dos domínios australianos podem ser falsificados por e-mail

19 343 domínios verificados

Ler o relatório da Austrália →

69%

dos domínios neerlandeses podem ser falsificados por e-mail

43 453 domínios verificados

Ler o relatório dos Países Baixos →

69%

dos domínios turcos podem ser falsificados por e-mail

5 646 domínios verificados

Ler o relatório da Turquia →

66%

dos domínios sul-africanos podem ser falsificados por e-mail

4 324 domínios verificados

Ler o relatório da África do Sul →

62%

dos domínios singapurenses podem ser falsificados por e-mail

1 504 domínios verificados

Ler o relatório de Singapura →

61%

dos domínios dinamarqueses podem ser falsificados por e-mail

9 946 domínios verificados

Ler o relatório da Dinamarca →

60%

dos domínios noruegueses podem ser falsificados por e-mail

5 365 domínios verificados

Ler o relatório da Noruega →

54%

dos domínios sauditas podem ser falsificados por e-mail — o melhor resultado até agora

928 domínios verificados

Ler o relatório da Arábia Saudita →

Ver toda a nossa investigação →

Qualquer pessoa pode pôr o seu domínio no campo De.

Enquanto o DMARC não for aplicado, os destinatários entregam mensagens que apenas afirmam ser suas. Os relatórios que o revelam — relatórios agregados DMARC, forenses e TLS SMTP — chegam como XML e JSON comprimidos que ninguém lê. O Spoofhound lê-os por si, todos os dias, e só se manifesta quando algo exige uma decisão.

O que os relatórios revelam

✓ Remetentes legítimos que passam na autenticação
→ Reencaminhadores que quebram o SPF em trânsito (normal, explicado)
✗ Fontes desconhecidas que falsificam o seu domínio neste momento
✗ Servidores de correio que falham em silêncio a negociação de TLS

Contra-ataque a fraude do e-mail empresarial (BEC)

Perceba onde o Spoofhound se encaixa no combate à fraude do e-mail empresarial

A aplicação do DMARC fecha a via da falsificação do domínio exato — a mais barata para um atacante e a única que pode fechar por completo — e mostra-lhe as tentativas de falsificação à medida que acontecem. A página é honesta sobre o que isso trava e o que não trava, e sobre o que acrescentar por cima.

Leia a página honesta

Tudo num só lugar

Uma monitorização que lhe diz o que fazer,
não apenas o que aconteceu.

Painel orientado à triagem

Abre numa fila de coisas que precisam de atenção — não num muro de gráficos. Cada alarme traz uma linha de procedimento: o que significa e o que fazer.

Deteção de falsificação

As novas fontes de envio são perfiladas automaticamente; um IP totalmente novo que falha o alinhamento — a assinatura clássica da falsificação — alerta-o no próprio dia.

Assistente de aplicação

O caminho codificado de p=none a p=reject: um limiar de 98% de aprovações alinhadas numa janela móvel, mais uma verificação de «todas as fontes explicadas», com uma recomendação faseada.

Pontuações de saúde TLS-RPT

Cada domínio classificado de A–F na segurança do seu transporte de correio: o modo MTA-STS tal como os destinatários o observaram, as provas DANE e as taxas de falha com níveis de gravidade.

BIMI & MTA-STS alojados

Alojamos os ficheiros que os remetentes e os fornecedores de correio realmente obtêm — o seu logótipo BIMI, validado segundo o perfil SVG, e a sua política MTA-STS, com o certificado emitido e renovado por si. Publica um único registo DNS.

Alertas com um ciclo de vida

Alarme → lembrete → resolvido, com supressão para que um problema conhecido não o alerte todos os dias — mais um resumo de segunda-feira da semana que se lê mesmo bem.

Remetentes e DKIM, inventariados

Cada identidade de envio vista nos seus relatórios, classificada como legítima, reencaminhador, mal configurada ou maliciosa — e cada seletor DKIM que assina o seu correio, para distinguir a sua própria assinatura da de um fornecedor.

Domínios só de envio, compreendidos

Um domínio sem MX — ou com um MX nulo — nunca é incomodado sobre TLS-RPT ou MTA-STS, que não lhe podem aplicar-se. O fluxo de correio é mostrado por domínio, para que um nome estacionado ou só de envio seja julgado pelo que realmente faz.

Verificações de segurança de e-mail

Cada domínio verificado é analisado e pontuado diariamente, com um alerta assim que a pontuação desce ou os seus servidores de nomes mudam, lembretes de renovação a partir de 60 dias antes de um domínio expirar, e um e-mail de revisão mensal. Em todos os planos, sem custo extra.

Um início de sessão de confiança

Passkeys — impressão digital, rosto ou PIN — mais aplicações de autenticação, sem palavra-passe para fazer phishing ou reutilizar. Os administradores da conta podem ver e gerir os métodos de início de sessão dos seus membros.

Fraude do e-mail empresarial, com honestidade

Análise com IA, use o seu próprio modelo

Um plano de ação priorizado para cada domínio, redigido pelo modelo de IA que escolher — com a sua própria chave e o seu próprio acordo com o fornecedor. Cada afirmação tem de citar os factos calculados pelo próprio Spoofhound, e o Spoofhound nunca mexe no DNS. Os modelos compatíveis.

Como funciona

Operacional com três registos DNS.

Escolha uma região, verifique o seu domínio

A sua conta é criada na jurisdição que escolher. Depois publique um registo TXT para provar a propriedade — um domínio pertence sempre a uma única conta.

Aponte os seus relatórios para nós

A página de Configuração mostra os seus registos DMARC e TLS-RPT atuais com os endereços de relatório da sua região acrescentados — copie, cole, pronto. Funciona sem problemas em paralelo com qualquer processador de relatórios existente.

Obtenha respostas, não XML

Os relatórios costumam começar dentro de um dia. Os painéis enchem-se, os alarmes vigiam e o assistente diz-lhe quando está pronto para aplicar.

Já tem histórico com outro processador? Carregue os seus antigos e-mails e ficheiros de relatório — o Spoofhound reconstrói meses de dados em minutos.

Análise com IA · use o seu próprio modelo

Um plano de ação, redigido pelo modelo que escolher.

Ative-a por domínio e o Spoofhound transforma tudo o que já sabe — os seus relatórios, alarmes, registos DNS e pontuações — num plano priorizado: o que fazer, por que ordem e o que parece alarmante mas se pode ignorar sem risco. Com a sua própria conta e chave de fornecedor de IA, ao abrigo do seu próprio acordo e limites de gasto — ou sem chave alguma.

Anthropic

Claude Sonnet 5 e Claude Haiku 4.5.

OpenAI

GPT-5.6 Terra e GPT-5.6 Luna.

Google

Gemini 3.7 Flash e Gemini 3.5 Flash-Lite.

Kimi

Kimi K2.6 e Kimi K2.5, da Moonshot AI.

OpenRouter

Uma chave, todo o catálogo — acesso a mais de 500 modelos de todos os grandes laboratórios.

Integrado, sem chave necessária

Modelos abertos a correr na própria infraestrutura de IA da Cloudflare — GPT-OSS 120B e Llama 3.3 70B — se preferir não trazer conta de fornecedor nenhuma.

Barreiras, não palpites

✓ Cada afirmação tem de citar factos que o próprio Spoofhound calculou — tudo o que o modelo não conseguir sustentar é descartado antes de o ver.
✓ Cada registo DNS proposto é reverificado pelos mesmos analisadores em que o resto do produto confia, antes de ser mostrado.
✓ O Spoofhound nunca altera o DNS. Obtém um registo copiável, nada mais.
✓ A sua chave é armazenada cifrada e apenas para escrita — mostrada pelos seus quatro últimos caracteres, nunca legível de novo.
✓ A reanálise noturna ignora os domínios onde nada mudou, para não gastar dinheiro quando não há novidades. Cada execução regista quanto custou.

Onde vivem os seus dados

Escolha a sua jurisdição. Fica lá.

O Spoofhound funciona como implementações separadas e autónomas — uma por jurisdição. A sua conta reside em exatamente uma delas, e os seus relatórios nunca a deixam.

Separado, não particionado

Cada jurisdição é a sua própria implementação, com a sua própria base de dados, o seu próprio endereço de painel e a sua própria caixa de relatórios. Não é um único sistema com uma coluna de país — nada é partilhado entre elas e nada se replica.

Sem diretório central, por conceção

Não existe deliberadamente qualquer índice global de quem está alojado onde. Construir um significaria manter um registo de cada cliente da UE fora da UE — precisamente o que a separação existe para impedir — por isso, quando inicia sessão, indica-nos a sua região em vez de sermos nós a procurá-lo.

Disponível agora

EU1 · União Europeia

Para domínios cujos dados de relatório têm de permanecer dentro da UE.

ROW1 · Resto do mundo

Para todos os que não têm requisito de residência na UE.

KSA1 · Arábia Saudita

Uma instância saudita dedicada, com a sua própria base de dados e armazenamento, separada das nossas outras regiões.

US1 · Estados Unidos

Para organizações que querem os seus dados alojados nos Estados Unidos.

UAE1 · Emirados Árabes Unidos

Uma instância dedicada aos Emirados, com a sua própria base de dados e armazenamento, separada das nossas outras regiões.

Precisa de uma jurisdição específica que ainda não operamos? Diga-o ao inscrever-se — é assim que decidimos qual construir a seguir, e uma instância pode mudar-se para a sua própria região assim que houver uma disponível.

Inicie sessão na sua região Inscrever-se

Não é preciso inscrição

Nove ferramentas gratuitas, já.

Antes de ser cliente, use-as para verificar a sua própria configuração — ou um domínio que lhe desperte curiosidade.

Deixe de adivinhar quem envia em seu nome.

Fale-nos dos seus domínios e comece a proteger-se.

Inscrever-se