Informe um domínio para ver o registro SPF, contar as consultas DNS e encontrar os erros que fazem o SPF falhar.
Isto verifica o registro como está publicado no DNS agora. Não testa se uma mensagem específica passou no SPF. Para isso, abra os cabeçalhos da mensagem e leia a linha Authentication-Results. Alterações recentes podem demorar a aparecer por causa do cache de DNS.
O SPF (Sender Policy Framework) permite que um domínio publique, no DNS, a lista de servidores autorizados a enviar e-mails em seu nome. Quando uma mensagem chega, o servidor de destino olha o domínio do remetente do envelope (o Return-Path, também chamado de MAIL FROM) e lê o registro SPF desse domínio. Se o endereço IP de conexão estiver na lista, o SPF passa. Se não, o registro diz o que o destinatário deve fazer.
O SPF não olha o endereço From que seus destinatários veem. Por isso uma mensagem pode passar no SPF e ainda falhar no DMARC: os dois domínios precisam coincidir, e o SPF sozinho não garante isso.
Um registro SPF é uma única linha de texto que começa com v=spf1 e é formada por termos lidos da esquerda para a direita. O primeiro termo que corresponde ao IP de envio decide o resultado.
| Termo | O que significa |
|---|---|
| ip4:203.0.113.0/24, ip6:... | Autoriza um endereço ou intervalo fixo. Não consome nenhuma consulta DNS. |
| include:example.net | Autoriza também tudo o que o próprio registro SPF de example.net autoriza. Consome uma consulta, mais as consultas dentro dele. |
| a, mx | Autoriza os endereços dos registros A ou MX do domínio. Cada um consome consultas. |
| redirect=example.net | Substitui este registro pelo de example.net. Usado quando outro domínio deve decidir tudo. |
| exists:, ptr | Raramente necessários. O ptr é obsoleto pelo padrão e não deve ser usado. |
| -all, ~all, ?all, +all | O curinga no final: rejeitar, soft fail, neutro ou permitir tudo. O +all deixa qualquer pessoa enviar como você. |
O padrão SPF (RFC 7208) permite que um destinatário gaste no máximo dez consultas DNS ao avaliar um registro. Os termos include, a, mx, ptr, exists e redirect contam, e cada consulta dentro de um registro incluído também. Passou de dez, o resultado é um erro permanente, que os destinatários tratam como falha.
Acumular vários serviços de e-mail é a causa mais comum: uma plataforma de marketing, um helpdesk, um CRM e um provedor de e-mail podem consumir quase todo o orçamento entre si. O verificador segue cada include como um destinatário faria e mostra a contagem em relação ao limite, para que você veja qual ramo é caro.
O padrão também limita as consultas "void" (nomes que não retornam nada) a duas. Um include que aponta para um domínio sem registro SPF conta como problema por esse motivo.
Correções que funcionam: remova os serviços que você não usa mais, substitua termos a, mx e include por intervalos ip4 e ip6 quando o provedor publicar intervalos estáveis, e envie tipos diferentes de e-mail de subdomínios diferentes para que cada um tenha seu próprio registro.
Estes são os problemas que vemos com mais frequência, e o verificador mostra cada um com uma correção em linguagem simples.
Um registro limpo significa que a política está bem formada. Isso não prova que uma mensagem específica foi aprovada. Para testar uma mensagem real, abra os cabeçalhos e leia a linha Authentication-Results, ou cole-os em nosso analisador de cabeçalhos de e-mail.
O SPF também falha quando o e-mail é encaminhado, porque o IP do servidor de encaminhamento não está no seu registro. Esse é um dos motivos pelos quais o DMARC aceita SPF ou DKIM, e por que você também deve assinar seus e-mails com DKIM.
Tanto ~all (soft fail) quanto -all (hard fail) informam ao receptor que o remetente não estava autorizado. Na prática, a maioria dos receptores usa o SPF como um sinal entre vários e aplica seu próprio critério, e é o DMARC que decide o que acontece com os e-mails reprovados. Muitas organizações publicam ~all enquanto ainda descobrem todos os seus remetentes e passam para -all quando a lista está completa. Qualquer um dos dois é aceitável; +all e a ausência de all não são.
Lê os registros TXT na raiz do domínio e identifica o que começa com v=spf1. Sinaliza a ausência de registro e domínios com mais de um.
Segue cada include e redirect como um servidor receptor faz e soma as consultas em relação ao limite de dez.
Procura mecanismos desconhecidos, endereços e intervalos de IP inválidos, includes que não levam a lugar nenhum, loops e termos que nunca são avaliados.
Alerta sobre +all e ?all, o mecanismo obsoleto ptr, a ausência de all e registros longos o bastante para causar problemas no DNS.
Um registro SPF é um registro TXT de DNS no seu domínio que lista os servidores autorizados a enviar e-mails em nome dele. Os servidores receptores comparam o endereço IP de envio com essa lista quando uma mensagem chega.
A avaliação do SPF pode causar no máximo dez consultas DNS. Cada include, a, mx, ptr, exists e redirect conta, assim como as consultas dentro dos registros incluídos. Se um registro precisar de mais de dez, os receptores retornam um erro permanente e o SPF falha para todas as mensagens do domínio.
Cada include aponta para outro registro, e esse registro pode conter includes próprios. O verificador segue todos e soma tudo, que é como um receptor faz a contagem. Um registro com quatro includes pode facilmente usar oito consultas ou mais.
Significa que não foi possível avaliar o registro. As causas mais comuns são dois registros SPF no mesmo domínio, mais de dez consultas, um erro de sintaxe ou um include que aponta para um domínio sem registro SPF.
Não. O SPF é apenas um sinal. Os receptores também avaliam DKIM, alinhamento DMARC, reputação do remetente, taxas de reclamação e conteúdo. Passar no SPF é necessário para uma boa entregabilidade, mas não suficiente.
As consultas são executadas em nossos servidores e os resultados ficam retidos por cerca de cinco minutos para que verificações repetidas não repitam as consultas DNS. As verificações não são vinculadas a uma conta, e a ferramenta tem limite de taxa para proteger os servidores DNS que ela consulta.
Siga o guia passo a passo ou use o gerador para criar um registro que fique dentro do limite de consultas.
Crie uma conta, adicione seu domínio e envie seu primeiro e-mail.