O que é SPF?
O SPF (Sender Policy Framework) é um protocolo de autenticação de e-mail definido no RFC 7208. Ele funciona publicando um registro DNS TXT sob o seu domínio que lista cada endereço IP ou nome de host permitido a enviar e-mails "de" esse domínio. Quando um servidor de e-mail receptor recebe uma mensagem alegando ser sua, ele consulta o seu DNS para verificar se o IP do servidor remetente está na sua lista de aprovados.
Sem o SPF, qualquer pessoa pode forjar o return-path (envelope From) de um e-mail e fazer com que ele pareça vir do seu domínio — uma técnica comumente usada em campanhas de phishing e spam.
Por que você precisa de SPF?
1Previne spoofing
Impede que agentes mal-intencionados forjem seu domínio como o endereço de envio
2Melhora a entregabilidade
Servidores receptores confiam em remetentes autorizados e reduzem as pontuações de spam
3Necessário para o DMARC
O SPF é um dos dois mecanismos nos quais o DMARC se baseia para o alinhamento
4Proteção de reputação
Remetentes não autorizados não podem prejudicar a reputação de envio do seu domínio
Como o SPF funciona — passo a passo
Você publica um registro TXT em `_seudominio.com` listando IPs autorizados e diretivas 'include'.
Seu servidor de e-mail envia um e-mail; o endereço "From" do envelope carrega seu domínio.
O servidor receptor extrai o IP de envio e o domínio do envelope From.
Ele consulta o seu DNS em busca do registro SPF e verifica se o IP de envio está listado.
O resultado é `pass`, `fail`, `softfail`, `neutral` ou `permerror` — usado em decisões de filtragem de spam.
Sintaxe do registro SPF
v=spf1 ip4:203.0.113.10 include:_spf.google.com include:sendgrid.net -allDetalhamento dos mecanismos
v=spf1— versão, sempre primeiroip4:— autoriza um endereço/faixa IPv4ip6:— autoriza um endereço/faixa IPv6include:— herda o SPF de outro domínioa— autoriza o IP do registro A do domíniomx— autoriza os servidores MX do domínioredirect=— delega para o SPF completo de outro domínioQualificadores (prefixo de cada mecanismo)
+ (padrão)Pass — autorizado-Fail — rejeita remetentes não autorizados~SoftFail — marca como suspeito, não rejeita?Neutral — nenhuma afirmaçãoFalhas comuns de SPF e correções
Muitas consultas DNS
Achate (flatten) seu registro SPF substituindo includes por IPs diretos, ou use um serviço de SPF flattening
Falta de um serviço de envio
Adicione a tag include: do serviço (ex: Mailchimp, Zendesk) ao seu registro SPF
Múltiplos registros SPF
Apenas UM registro TXT com v=spf1 é permitido — mescle-os em um único registro
E-mails encaminhados
O SPF falha no encaminhamento porque o IP do servidor de encaminhamento não está na sua lista — o DKIM resolve isso
Perguntas Frequentes
É um registro TXT que lista IPs e domínios autorizados a enviar e-mails em seu nome, evitando phishing.
SPF tem um limite de 10 consultas para evitar ataques DoS. Se passar de 10, ocorre um PermError. Use IPs em vez de hostnames para evitar isso.
'~all' (SoftFail) aceita o e-mail mas marca como suspeito. '-all' (Fail) rejeita o e-mail completamente se a origem não for autorizada.
Sintaxe incorreta, múltiplos registros SPF ou excesso do limite de 10 consultas são as causas comuns.
Não, deve haver apenas um começando com 'v=spf1'. Se houver mais, a autenticação falhará.
Não, ele valida o 'Return-Path'. Para proteger o 'De' visível ao usuário, use DMARC.