Sintaxe do registro SPF: mecanismos, qualificadores e modificadores

A versão curta

1. Como um registro é lido. Um registro SPF é uma única linha de texto publicada como um registro TXT.
2. Qualificadores. Um qualificador é um único caractere colocado diretamente na frente de um mecanismo.
3. Mecanismos que não precisam de consulta DNS. Os mecanismos ip4 e ip6 correspondem a um endereço literal ou a um intervalo escrito em notação CIDR.
4. Mecanismos que custam uma consulta DNS. O mecanismo include pede ao receptor que avalie o registro SPF de outro domínio e corresponda se esse registro passar.
5. Modificadores: redirect e exp. Um modificador é escrito como nome=valor e não é um teste do endereço de envio.
6. Limites de tamanho e de formato. Cada string dentro de um registro TXT pode conter no máximo 255 caracteres.

Como um registro é lido

Um registro SPF é uma única linha de texto publicada como um registro TXT. Ele deve começar com a tag de versão v=spf1, seguida de uma lista de termos separados por espaços. Um servidor receptor avalia os termos da esquerda para a direita em relação ao endereço IP que se conectou a ele, e o primeiro termo que corresponde decide o resultado.

v=spf1 ip4:203.0.113.10 include:_spf.example.net ~all

Se nenhum termo corresponder e não houver redirect, o resultado é neutral. É por isso que a maioria dos registros termina com um termo all: ele corresponde a tudo, de modo que a última palavra sempre diz o que fazer com um servidor que não está na lista.

Qualificadores

Um qualificador é um único caractere colocado diretamente na frente de um mecanismo. Ele define o resultado quando esse mecanismo corresponde. Sem qualificador, presume-se o mais, então mx e +mx significam a mesma coisa.

-all   fail: not authorised
~all   softfail: probably not authorised
?all   neutral: no opinion
+all   pass: everyone is authorised (never use this)

Os quatro resultados são pass (mais), fail (menos), softfail (til) e neutral (ponto de interrogação). Os receptores geralmente tratam fail e softfail como um sinal negativo, e não como uma instrução de rejeitar, e o DMARC decide o que acontece com uma mensagem que falha.

Mecanismos que não precisam de consulta DNS

Os mecanismos ip4 e ip6 correspondem a um endereço literal ou a um intervalo escrito em notação CIDR. São a parte mais barata de um registro, porque o receptor não precisa consultar nada, e são a escolha mais segura quando um provedor publica endereços de envio fixos.

ip4:203.0.113.0/24
ip6:2001:db8::/32
all

O mecanismo all corresponde a todos os endereços. Ele pertence ao final. Os termos escritos depois dele nunca são alcançados.

Mecanismos que custam uma consulta DNS

O mecanismo include pede ao receptor que avalie o registro SPF de outro domínio e corresponda se esse registro passar. O mecanismo a corresponde aos registros de endereço de um domínio, e mx corresponde aos endereços dos servidores de e-mail dele. Ambos assumem por padrão o domínio que está sendo verificado e ambos aceitam um domínio e um comprimento CIDR. O mecanismo exists corresponde se um nome for resolvido, e ptr corresponde por DNS reverso.

include:_spf.example.net
a
a:mail.example.com/24
mx
exists:%{i}._spf.example.com

Cada um de include, a, mx, ptr e exists, e o modificador redirect, conta para o limite de dez consultas DNS, e os includes dentro de includes também contam. O padrão também limita o mecanismo mx a dez servidores de e-mail. O padrão desaconselha o ptr porque ele é lento e pouco confiável, então evite-o.

Modificadores: redirect e exp

Um modificador é escrito como nome=valor e não é um teste do endereço de envio. O modificador redirect diz: ignore o restante deste registro e use o registro de outro domínio. Ele só é consultado quando nenhum mecanismo correspondeu, e um registro que tem um termo all nunca chega a ele.

v=spf1 redirect=_spf.example.net

O modificador exp indica um domínio cujo registro TXT contém uma string de explicação que os receptores podem exibir quando o SPF falha. A maioria dos domínios nunca o usa. Cada nome pode aparecer no máximo uma vez em um registro.

Limites de tamanho e de formato

Cada string dentro de um registro TXT pode conter no máximo 255 caracteres. Um registro mais longo é armazenado como várias strings que os receptores juntam, e a maioria dos painéis de DNS divide um valor longo para você. Um registro muito longo também pode exceder o tamanho de uma resposta DNS normal, o que é mais um motivo para manter a lista curta.

Os termos são separados por um ou mais espaços e não diferenciam maiúsculas de minúsculas. Mantenha o registro em um único registro TXT: um domínio com dois registros SPF recebe um erro permanente.

Erros de sintaxe que quebram um registro

A maioria das falhas vem de um punhado de deslizes: um v=spf1 ausente, um include sem domínio, um mecanismo escrito errado, como inlcude, um endereço com erro, como ip4:203.0.113.300, ou um caractere perdido de um copiar e colar. Qualquer um deles torna o registro inteiro inválido e o resultado, um erro permanente.

Teste antes de publicar. Nosso verificador de SPF lê um registro colado, marca cada problema e conta as consultas DNS, para que você corrija um registro antes de ele entrar no ar.

Leitura complementar e fontes

• RFC 7208: Sender Policy Framework (SPF)
• Google Workspace: defina o seu registro SPF

Faça no MigoSMTP: artigos da central de ajuda

• Corrija o permerror do SPF e o limite de 10 consultas
• Autentique um domínio de envio no MigoSMTP: SPF, DKIM e DMARC
• Verifique seu domínio de envio: registros DNS e propagação

Guias e ferramentas relacionados

• Verificador de registro SPF: cole um registro ou verifique um domínio.
• Gerador de registro SPF: monte um registro que respeite o limite.
• Como criar um registro SPF: o guia passo a passo.
• Exemplos de registro SPF: Workspace, Microsoft 365 e mais.