Qual é o registro SPF para o Google Workspace?

O Google documenta include:_spf.google.com para o Workspace. Confirme o valor atual na página de ajuda do próprio Google antes de publicá-lo.

Qual é o registro SPF para o Microsoft 365?

A Microsoft documenta include:spf.protection.outlook.com para o Exchange Online. Confirme o valor atual na documentação da Microsoft.

Posso combinar o Google Workspace e um serviço de envio em um único registro SPF?

Sim. Coloque os dois mecanismos include no mesmo registro único e finalize com o seu mecanismo all.

Como verifico a contagem de consultas do meu SPF?

Use um verificador de SPF que siga os includes e conte as consultas. Mantenha o total em dez ou menos.

Exemplos de registro SPF: Google Workspace e Microsoft 365

Em resumo. Google: include:_spf.google.com · Microsoft 365: include:spf.protection.outlook.com · Sempre: um único registro v=spf1 por domínio · Confirme: consulte a documentação do provedor para os valores atuais

A versão curta

Um registro, vários remetentes. Se o e-mail da sua equipe roda em um provedor e o e-mail da sua aplicação passa por um serviço de envio, ambos precisam ser autorizados no mesmo registro SPF.
Somente Google Workspace. O Google documenta include:_spf.google.com para o Workspace.
Somente Microsoft 365. A Microsoft documenta include:spf.protection.outlook.com para o Exchange Online.
Google Workspace mais um serviço de envio. Adicione o include do serviço de envio ao lado do include do Google.
Microsoft 365 mais um serviço de envio. Vale a mesma ideia.
Adicionando seu próprio servidor por endereço IP. Se você mantém um servidor que envia e-mails, como uma aplicação web ou um servidor de e-mail antigo, liste o endereço dele com ip4.

Um registro, vários remetentes

Se o e-mail da sua equipe roda em um provedor e o e-mail da sua aplicação passa por um serviço de envio, ambos precisam ser autorizados no mesmo registro SPF. Cada um adiciona um include, e você mantém um único v=spf1 no início e um único all no final.

Os exemplos abaixo usam os valores de include publicados pelo Google e pela Microsoft. Os provedores às vezes mudam esses valores, então confirme na documentação atual deles antes de publicar.

Somente Google Workspace

O Google documenta include:_spf.google.com para o Workspace. Um domínio que envia apenas pelo Google publicaria este registro.

v=spf1 include:_spf.google.com ~all

Este também é o ponto de partida certo se você usa o Gmail com o seu próprio domínio.

Somente Microsoft 365

A Microsoft documenta include:spf.protection.outlook.com para o Exchange Online. Um domínio que envia apenas pelo Microsoft 365 publicaria este.

v=spf1 include:spf.protection.outlook.com ~all

Se você usa os dois provedores durante uma migração, combine-os como mostrado mais adiante e remova o antigo quando a mudança terminar.

Google Workspace mais um serviço de envio

Adicione o include do serviço de envio ao lado do include do Google. Mantenha um único registro, com os dois includes antes do final.

v=spf1 include:_spf.google.com include:YOUR_SPF_HOST ~all

Substitua YOUR_SPF_HOST pelo valor do seu painel do MigoSMTP ou pelo valor do serviço que você usa.

Microsoft 365 mais um serviço de envio

Vale a mesma ideia. Dois includes, um registro.

v=spf1 include:spf.protection.outlook.com include:YOUR_SPF_HOST ~all

Autentique também o serviço de envio com DKIM, para que o DMARC possa passar pela assinatura DKIM quando o SPF não estiver alinhado.

Adicionando seu próprio servidor por endereço IP

Se você mantém um servidor que envia e-mails, como uma aplicação web ou um servidor de e-mail antigo, liste o endereço dele com ip4. Você pode adicionar um intervalo na forma CIDR.

v=spf1 include:_spf.google.com ip4:203.0.113.10 include:YOUR_SPF_HOST ~all

Use apenas endereços que você controla e remova-os quando o servidor for desativado.

Outros provedores de caixa de correio

Outros provedores, como o Zoho, publicam seus próprios valores de include, e alguns têm valores diferentes para data centers diferentes. Copie sempre o valor da página de ajuda do próprio provedor para a sua região, não de um post de blog.

O padrão não muda: um registro, um include por remetente, um final.

Verifique sua contagem de consultas

Cada include conta como uma consulta, e o include de um provedor pode conter outros includes. Os registros do Google e da Microsoft usam, cada um, várias consultas internamente, então combiná-los com alguns serviços pode atingir o limite de dez mais rápido do que você espera.

Nosso verificador gratuito e a maioria das ferramentas de teste de SPF contam as consultas para você. Se estiver perto do limite, retire os remetentes que você não usa mais e considere enviar tipos diferentes de e-mail de subdomínios diferentes, cada um com seu próprio registro.

Enviando de um subdomínio

Muitas equipes enviam e-mails de marketing ou transacionais de um subdomínio, como mail.yourdomain.com. O subdomínio tem seu próprio registro SPF, separado do domínio raiz, o que mantém cada registro curto e o domínio raiz limpo.

Lembre-se de que o DMARC também se aplica aos subdomínios, então verifique o alinhamento dos e-mails do subdomínio.

Consultando um registro pela linha de comando

Você pode ler o registro SPF de qualquer domínio com uma consulta DNS. No Linux e no macOS use dig, e no Windows use nslookup. Ambos mostram os registros TXT na raiz, e o de SPF começa com v=spf1.

dig +short TXT yourdomain.com

Se você vir dois registros começando com v=spf1, una-os. Se não vir nenhum, publique um. Execute a consulta novamente após cada alteração, pois o seu painel de DNS pode mostrar um valor que ainda não se propagou.

Um exemplo de contagem de consultas

Suponha que um registro contenha include:_spf.google.com, include:YOUR_SPF_HOST e ip4:203.0.113.10. O ip4 não custa nada. Cada include custa uma consulta, mais as consultas que existirem dentro do registro desse provedor. Um provedor cujo registro contém mais três includes custa, portanto, quatro no total.

Some os totais de cada include. Se chegar a dez ou menos, está tudo certo. Se passar de dez, o SPF falha para todos, então reduza os remetentes ou mova parte dos e-mails para um subdomínio antes de publicar.

Trocando de provedor sem lacunas

Quando você muda de um serviço de envio para outro, mantenha o include antigo no registro enquanto adiciona o novo, envie uma pequena parte do volume pelo novo serviço e remova o include antigo só quando o serviço antigo não estiver enviando mais nada.

Removê-lo cedo demais faz com que qualquer mensagem que ainda passe pelo serviço antigo falhe no SPF. Nossos guias de migração descrevem a mesma abordagem de sobreposição para DNS, chaves e templates.

Quando o SPF não basta

O SPF verifica apenas o remetente do envelope e deixa de funcionar no encaminhamento, por isso os receptores também olham o DKIM e o DMARC. Um registro que passa no SPF mas não tem assinatura DKIM nem registro DMARC está apenas parcialmente autenticado.

Configure os três. Nosso guia de DMARC mostra como publicar um registro com segurança e ler os relatórios.

Leitura complementar e fontes

Faça no MigoSMTP: artigos da central de ajuda

Guias e ferramentas relacionados

Verificador de registro SPF: consulte um registro e conte as consultas DNS dele.
Gerador de registro SPF: monte um registro a partir dos seus remetentes.
Como configurar o DMARC: comece com p=none e avance para reject com segurança.

Não tem certeza de que seus registros estão corretos? Use nosso verificador gratuito ou envie-nos um cabeçalho e nós ajudamos você a lê-lo.

Começar grátis

Exemplos de registro SPF para Google Workspace, Microsoft 365 e seu serviço de envio