O que é um registro SPF?

Um registro SPF é um registro TXT de DNS que lista os servidores autorizados a enviar e-mails pelo seu domínio. Os receptores o comparam com o endereço IP da conexão quando uma mensagem chega.

Quantos registros SPF um domínio pode ter?

Um. Dois registros SPF causam um erro permanente. Reúna todos os seus remetentes em um único registro.

O que é o limite de 10 consultas do SPF?

A avaliação do SPF pode disparar no máximo dez consultas DNS. Cada mecanismo include, a e mx conta, inclusive os aninhados. Ultrapassar o limite causa um erro permanente.

Devo usar ~all ou -all?

A maioria das equipes começa com ~all enquanto confirma que todos os remetentes estão listados e só depois considera -all, quando tem certeza. O DMARC com DKIM oferece proteção extra em ambos os casos.

Como criar um registro SPF: sintaxe e exemplos

Em resumo. Tipo de registro: TXT na raiz do domínio · Registros permitidos: um por domínio · Limite de consultas: 10 consultas DNS · Comece com: ~all, restrinja depois

A versão curta

O que um registro SPF faz. SPF significa Sender Policy Framework.
A sintaxe, peça por peça. Todo registro SPF começa com v=spf1.
Passo 1: liste todos os remetentes. Anote todos os sistemas que enviam e-mails em nome do seu domínio: seu serviço de envio, seu provedor de caixa de correio, seu site ou loja, seu CRM, sua central de suporte e qualquer ferramenta de faturamento ou de RH.
Passo 2: monte o registro. Comece com v=spf1, adicione um include ou ip4 para cada remetente e finalize com ~all.
Passo 3: publique no DNS. Adicione um registro TXT na raiz do seu domínio.
Passo 4: teste. Use uma consulta para confirmar que o registro está publicado e é interpretado corretamente; depois, envie uma mensagem de teste para uma caixa de correio sua e leia os resultados de autenticação nos cabeçalhos.

O que um registro SPF faz

SPF significa Sender Policy Framework. É um registro TXT no DNS do seu domínio que lista quais servidores podem enviar e-mails usando o seu domínio. Quando uma mensagem chega, o servidor receptor consulta o registro SPF do domínio remetente e verifica se o endereço IP da conexão está na lista.

O SPF verifica o remetente do envelope, também chamado de endereço Return-Path ou MAIL FROM, e não o endereço From que as pessoas veem. Essa distinção importa mais adiante, quando chegarmos ao alinhamento do DMARC.

A sintaxe, peça por peça

Todo registro SPF começa com v=spf1. Depois vêm os mecanismos, cada um indicando uma origem de e-mail, e o registro termina com um mecanismo all que diz o que fazer com todo o resto. ip4 e ip6 listam endereços ou intervalos. include incorpora o registro SPF de outro domínio, que é como você autoriza um serviço de envio. a e mx autorizam os endereços dos servidores web ou de e-mail do seu próprio domínio.

v=spf1 ip4:203.0.113.10 include:YOUR_SPF_HOST ~all

Cada mecanismo pode ter um qualificador na frente. O sinal de mais significa pass e é o padrão. O sinal de menos significa fail, o til significa softfail e o ponto de interrogação significa neutral. Assim, ~all diz que tudo o que não estiver listado é suspeito, mas não proibido, e -all diz que deve ser rejeitado.

Passo 1: liste todos os remetentes

Anote todos os sistemas que enviam e-mails em nome do seu domínio: seu serviço de envio, seu provedor de caixa de correio, seu site ou loja, seu CRM, sua central de suporte e qualquer ferramenta de faturamento ou de RH. O SPF precisa cobrir todos eles em um único registro, então uma lista incompleta quebra os que você esqueceu.

Cada provedor documenta o valor de include a usar. Para o MigoSMTP, copie o valor de SPF mostrado no seu painel em vez de tentar adivinhá-lo.

Passo 2: monte o registro

Comece com v=spf1, adicione um include ou ip4 para cada remetente e finalize com ~all. Por exemplo, uma empresa que usa um provedor de caixa de correio e um serviço de envio teria dois includes e um final.

Coloque tudo em um único registro TXT. Não crie um registro por remetente. Essa é a causa mais comum de falha do SPF, e tratamos dela abaixo.

Passo 3: publique no DNS

Adicione um registro TXT na raiz do seu domínio. Em muitos painéis de DNS, o host é @ ou fica em branco. Cole o valor exatamente como foi montado, sem aspas extras, a menos que o painel as peça. Painéis de registradores indianos como GoDaddy, BigRock e Hostinger, e hosts de DNS como o Cloudflare, seguem todos o mesmo padrão.

Se já existe um registro na raiz, edite-o em vez de adicionar um segundo. As alterações podem levar de alguns minutos a algumas horas para se propagar, dependendo do TTL do registro.

Passo 4: teste

Use uma consulta para confirmar que o registro está publicado e é interpretado corretamente; depois, envie uma mensagem de teste para uma caixa de correio sua e leia os resultados de autenticação nos cabeçalhos. Procure por spf=pass. Nosso verificador gratuito mostra seus registros SPF, DKIM e DMARC em um só lugar e sinaliza erros comuns.

Teste a partir de cada sistema que envia, não apenas de um. Um pass do seu serviço de envio não diz nada sobre a ferramenta de faturamento.

Erro 1: mais de um registro SPF

Um domínio deve publicar exatamente um registro SPF. Dois registros fazem o SPF retornar um erro permanente, e os receptores o tratam como falha. Se equipes diferentes adicionaram cada uma o seu, una tudo em um único registro contendo todos os includes.

É fácil causar isso quando você adiciona uma nova ferramenta e as instruções dela mandam criar um novo registro TXT. Leia primeiro o que já existe.

Erro 2: consultas DNS demais

O SPF permite no máximo dez consultas DNS ao avaliar um registro. Cada include, a, mx e mecanismo semelhante conta, e os includes aninhados também. ip4 e ip6 não contam. Passando de dez, o SPF retorna um erro permanente, e a verificação falha mesmo que cada parte parecesse correta.

Remova os remetentes que você não usa mais, substitua os mecanismos a e mx por intervalos ip4 explícitos quando os endereços forem estáveis e evite empilhar muitos includes. Alguns serviços oferecem o SPF flattening, que substitui os includes por endereços. Funciona, mas os endereços mudam com o tempo, então é preciso mantê-lo atualizado.

Erro 3: escolher -all cedo demais

Um hard fail com -all diz aos receptores para rejeitar tudo o que não estiver listado. Se faltar um remetente na sua lista, os e-mails desse remetente serão rejeitados. A maioria das equipes começa com ~all, acompanha os relatórios de DMARC por algumas semanas e só restringe quando tem certeza de que todos os remetentes estão listados.

Qualquer que seja a sua escolha, o SPF sozinho não decide a entrada na caixa de entrada. Ele é um sinal que funciona em conjunto com o DKIM e o DMARC.

Por que o SPF falha em e-mails encaminhados

Quando alguém encaminha a sua mensagem, ela é enviada pelo servidor de quem encaminha, que não está no seu registro, então o SPF falha no destino final. Isso é normal e não é um erro do seu lado.

É por isso que o DKIM importa. Uma assinatura DKIM geralmente sobrevive ao encaminhamento, e o DMARC passa se o SPF ou o DKIM passar e estiver alinhado. Configure os dois.

Leitura complementar e fontes

Faça no MigoSMTP: artigos da central de ajuda

Guias e ferramentas relacionados

Verificador de registro SPF: consulte um registro e conte as consultas DNS dele.
Gerador de registro SPF: monte um registro a partir dos seus remetentes.
Configuração de DKIM, SPF e DMARC: autentique seu domínio de ponta a ponta.

Não tem certeza de que seus registros estão corretos? Use nosso verificador gratuito ou envie-nos um cabeçalho e nós ajudamos você a lê-lo.

Começar grátis

Como criar um registro SPF: sintaxe, exemplos e erros comuns