[Resposta rápida]
SPF (Sender Policy Framework) é um registro DNS TXT que lista os servidores e serviços de e-mail com permissão para enviar e-mails para o seu domínio. Os receptores comparam o IP do servidor remetente com esta lista. É definido na RFC 7208 e é uma das três verificações exigidas Gmail e Yahoo .
Fatos importantes
- ›Publicado como um registro TXT no domínio raiz, começando com v=spf1.
- ›Apenas um registro SPF por domínio; dois registros causam um PermError.
- ›Máximo de 10 mecanismos de consulta de DNS (incluir, a, mx, ptr, existe, redirecionamento).
- ›Termina com ~all ( softfail ) ou -all (fail).
- ›SPF verifica o remetente do envelope ( Return-Path ), não o endereço From visível; DMARC adiciona esse link.
Revisado pela equipe de pesquisa EmailAuth
SPF (Sender Policy Framework) é um padrão de autenticação de e-mail, definido na RFC 7208 , que permite ao proprietário de um domínio publicar a lista de servidores de e-mail com permissão para enviar e-mails em nome desse domínio. Quando um servidor receptor recebe uma mensagem, ele verifica o endereço IP do servidor remetente em relação ao registro SPF publicado do domínio no DNS . Se o IP for autorizado, SPF passa. Caso contrário, o destinatário pode tratar a mensagem como suspeita ou rejeitá-la. SPF é um dos três padrões principais que protegem um domínio contra falsificação, junto com DKIM e DMARC .
Como funciona SPF passo a passo
SPF opera durante a conversação SMTP , antes que o corpo da mensagem seja totalmente aceito. A verificação é executada no domínio no Return-Path (o remetente do envelope), não no endereço De visível, que é uma distinção importante para o alinhamento DMARC . O servidor receptor lê o registro SPF , resolve os mecanismos que ele contém e compara o IP de conexão com os intervalos autorizados.
- Um servidor de envio se conecta e anuncia seu domínio de remetente de envelope.
- O receptor consulta DNS para obter o registro SPF TXT desse domínio.
- O receptor avalia cada mecanismo em ordem até que um corresponda.
- Uma correspondência retorna pass, fail, softfail ou neutral com base no qualificador.
- O receptor aplica sua própria política e DMARC usa o resultado para alinhamento.
O limite de pesquisa de 10 DNS
RFC 7208 limita a avaliação SPF a 10 pesquisas DNS por verificação. Mecanismos como include, a, mx, ptr e existe cada pesquisa de consumo, e cada inclusão pode acionar pesquisas adicionais aninhadas dentro do registro de terceiros. Remetentes populares como Google Workspace , Microsoft 365 , Salesforce e SendGrid adicionam, cada um, suas próprias cadeias, para que um domínio com alguns fornecedores possa ultrapassar o limite rapidamente. Quando a avaliação excede 10 pesquisas, o receptor retorna um permerror , que a maioria dos sistemas trata como uma falha.
Por que o limite morde
Cruze 10 pesquisas e SPF retorna permerror . Os e-mails legítimos de seus próprios fornecedores aprovados podem falhar na autenticação sem nenhum erro visível para você.
Onde SPF termina e DKIM e DMARC começam
SPF verifica o servidor conectado, portanto ele não sobrevive ao encaminhamento. Quando uma caixa de correio encaminha uma mensagem, o novo IP de conexão é o encaminhador, não o seu servidor, e SPF é interrompido. DKIM assina o conteúdo da mensagem com uma chave criptográfica que acompanha o e-mail, para que ele possa sobreviver ao encaminhamento. DMARC une ambos, exigindo que SPF ou DKIM passem e se alinhem com o domínio From visível, e informa aos receptores o que fazer quando eles falharem. Desde as regras do Google e Yahoo de 2024, os remetentes em massa devem se autenticar com SPF e DKIM e publicar DMARC .
Corrigindo estouro de pesquisa com SmartSPF
EmailAuth SmartSPF resolve o limite de 10 pesquisas com nivelamento dinâmico. Ele expande sua cadeia de inclusão completa, nivela-a em um registro otimizado e mantém intervalos de IP de remetentes de terceiros para Salesforce , SendGrid , Microsoft 365 e Google Workspace sincronizados à medida que esses fornecedores alteram sua infraestrutura. Uma verificação de domínio gratuita expande sua cadeia de inclusão e conta suas pesquisas atuais para que você possa ver exatamente onde está.
Perguntas frequentes
O que significa SPF ?
SPF significa Estrutura de política do remetente. É um padrão de autenticação de e-mail definido no RFC 7208 que permite que um domínio publique quais servidores de e-mail podem enviar em seu nome. Os servidores de recebimento o utilizam para detectar remetentes falsificados.
SPF impede toda falsificação de e-mail?
Não. SPF apenas verifica o domínio do remetente do envelope em relação aos IPs autorizados e quebra quando o e-mail é encaminhado. Para proteger totalmente o endereço De visível, você também precisa DKIM e de uma política DMARC que imponha o alinhamento.
Qual é o limite de pesquisa DNS SPF 10?
RFC 7208 permite no máximo 10 pesquisas DNS quando um receptor avalia um registro SPF . Mecanismos como include, a e mx consomem pesquisas, e registros de fornecedores aninhados adicionam mais. Exceder 10 retorna um permerror , que é tratado como uma falha.
SPF ainda é necessário em 2024 e depois?
Sim. Desde 2024, o Google e Yahoo exigem que os remetentes em massa autentiquem e-mails, e SPF é uma parte essencial disso, juntamente com DKIM e DMARC . Ignorá-lo corre o risco de seu e-mail ser filtrado ou rejeitado.
O que é um registro SPF ?
Um registro DNS TXT listando os servidores autorizados a enviar e-mails para seu domínio, por exemplo v=spf1 include:_spf.google.com ~all .
Como adiciono vários registros SPF ?
Você não pode. Combine todos os remetentes em um único registro: v=spf1 include:_spf.google.com include:sendgrid.net ~all .
Como faço para criar um registro SPF ?
Liste todos os serviços que enviam e-mails para você, adicione o include ou IP de cada provedor e termine com ~all ou -all . Um gerador SPF cria isso para você.
Qual é o limite de pesquisa SPF 10?
A avaliação SPF pode realizar no máximo 10 pesquisas DNS . Excedê-lo retorna PermError e SPF falha. Remova inclusões não utilizadas ou nivele o registro.
O que significa v=spf1 include:_spf.google.com ~all ?
Ele autoriza os servidores Google Workspace a enviar para o seu domínio e causa softfail em todo o resto.
[ SPF guia ]
Proveniência da empresa
Por que as principais instituições financeiras e governos retiraram seus painéis de segurança de e-mail.
As plataformas tradicionais de autenticação de e-mail vendem um painel e pedem que seus engenheiros façam o trabalho. Em ambientes de alto risco, a supervisão manual significa aplicação atrasada, desvios de configuração e domínios ocultos não monitorados.
EmailAuth é a plataforma de origem de e-mail agente. Nossos agentes impõem p=reject, mantenha remetentes terceiros alinhados e mova seus domínios para full RFC 9989 conformidade, o novo padrão DMARC , com auditabilidade humana no circuito.
SaaS · Locação dedicada · Air gap no local · Criptografia BYOK