Como usar
- (Opcional) Digite seu domínio e importe o SPF atual para não perder serviços em uso.
- Marque cada serviço que envia com seu domínio e adicione os IPs dos seus servidores.
- Escolha ~all ou -all e clique em “Contar consultas” para confirmar que fica abaixo de 10.
- No DNS, substitua o único registro TXT em @ pelo valor gerado e confirme com o verificador.
Para que serve o SPF
SPF (Sender Policy Framework) é uma lista de servidores de envio autorizados publicada num registro TXT. O destinatário verifica se o IP que se conecta está na lista e, junto com DKIM e DMARC, decide entre caixa de entrada, spam ou rejeição.
Desde 2024 o Gmail e o Yahoo exigem SPF ou DKIM de todo domínio que envia e-mail, e remetentes em massa (mais de 5.000 mensagens por dia) precisam dos três; caso contrário, o e-mail é limitado ou rejeitado.
O limite de 10 consultas
A RFC 7208 limita include, a, mx, exists, redirect e ptr a 10 consultas DNS por avaliação SPF, contando os include aninhados. ip4, ip6 e all não contam. Passar disso dá permerror, que muitos destinatários tratam como falha de SPF.
Soluções comuns: remover serviços que não usa mais, tirar a e mx desnecessários, escrever servidores fixos como ip4/ip6 e enviar marketing por um subdomínio como news.exemplo.com com SPF próprio.
~all ou -all?
Com DMARC, a política DMARC decide o que é bloqueado, então ~all e -all se comportam quase igual; ~all prejudica menos o e-mail encaminhado e é o que a maioria dos provedores recomenda. Considere -all só quando os relatórios DMARC confirmarem que todos os remetentes estão listados.
Perguntas frequentes
Um domínio pode ter dois registros SPF?
Não. Dois registros TXT começando com v=spf1 fazem o SPF falhar com permerror. Ao adicionar um serviço, junte o include dele ao registro existente em vez de criar outro.
O que vai no campo host?
Use “@” para o domínio raiz (alguns painéis querem vazio) ou o rótulo do subdomínio, ex.: news. Escolha o tipo TXT, não o tipo SPF obsoleto.
Tenho SPF, mas os e-mails ainda vão para o spam. Por quê?
O SPF só garante o servidor; o DMARC exige também que o domínio do SPF ou DKIM esteja alinhado com o endereço From. Configure DKIM e DMARC e verifique listas de bloqueio, conteúdo e volume de envio.
Um domínio que não envia e-mail precisa de SPF?
Sim: publique v=spf1 -all e um registro DMARC com p=reject para que ninguém use o domínio em phishing.