[Resposta rápida]
Um registro SPF é um único registro TXT em seu domínio que começa com v=spf1, lista remetentes autorizados com mecanismos como include:, ip4: e ip6:, e termina com um qualificador all. Exemplo: v=spf1 include:_spf.google.com ip4:203.0.113.10 -all .
Fatos importantes
- ›Mecanismos: ip4, ip6, a, mx, include, existe; modificador: redirecionamento.
- ›Qualificadores: + aprovado, ~ softfail , - falha,? neutro.
- ›Mantenha até 10 pesquisas DNS e 255 caracteres por string.
- ›Evite ptr e +all .
Revisado pela equipe de pesquisa EmailAuth
Um registro SPF é um único registro DNS TXT que lista todos os servidores e serviços autorizados a enviar e-mails para o seu domínio. Ele começa com a tag de versão v=spf1, contém uma série de mecanismos que definem fontes autorizadas e termina com um mecanismo all que define a resposta padrão para qualquer coisa não listada. Os servidores de recebimento de e-mail leem esse registro para decidir se um servidor de conexão tem permissão para enviar como seu domínio.
Exemplo de registro SPF
v=spf1 include:_spf.google.com include:sendgrid.net ip4:203.0.113.5 -all
Os mecanismos explicados
Cada mecanismo descreve uma maneira de autorizar um remetente. O recebedor avalia-os da esquerda para a direita e para na primeira partida. Alguns mecanismos acionam pesquisas DNS e contam para o limite de 10 pesquisas definido pela RFC 7208 .
- include: extrai o registro SPF de outro domínio, comum para fornecedores como _spf.google.com , e conta como uma pesquisa.
- ip4: autoriza um endereço ou intervalo IPv4 específico, sem custo de pesquisa DNS .
- ip6: autoriza um endereço ou intervalo IPv6 específico, sem custo de pesquisa DNS .
- a: autoriza os IPs no registro A do domínio e conta como uma pesquisa.
- mx: autoriza os servidores de e-mail nos registros MX do domínio e conta como uma pesquisa.
- all: o pega -all no final que decide o que acontece com fontes não listadas.
Hardfail versus softfail : -all e ~all
A qualificação na frente de todos altera o quão rigoroso é o seu registro. Use -all (hardfail) para informar aos destinatários que qualquer servidor não listado não está autorizado e a mensagem deve ser rejeitada ou tratada como falha. Use ~all ( softfail ) para dizer que os servidores não listados provavelmente não estão autorizados, mas devem ser aceitos e marcados, o que é útil durante o teste. Um hardfail é a postura mais forte quando você tem certeza de que todos os remetentes legítimos estão incluídos. Evite +all , que autoriza todos e anula o propósito.
Softfail durante o teste
Comece com ~all para observar os resultados sem bloquear o e-mail e depois vá para -all assim que cada remetente for confirmado.
Um registro, observe suas pesquisas
Um domínio deve publicar exatamente um registro SPF . Dois registros SPF TXT causam um permerror . À medida que você adiciona fornecedores, cada inclusão se expande para pesquisas adicionais e os serviços populares se acumulam rapidamente. Quando você cruza 10 pesquisas, o registro falha silenciosamente para mensagens legítimas. EmailAuth SmartSPF nivela suas cadeias de inclusão em um registro otimizado e mantém os intervalos de IP do fornecedor para Microsoft 365 , Google Workspace , Salesforce e SendGrid sincronizados automaticamente. Uma verificação de domínio gratuita mostra seus mecanismos atuais e contagem de pesquisas. Combine SPF com DKIM e DMARC para que o alinhamento seja mantido mesmo quando o email for encaminhado.
Perguntas frequentes
Qual é a diferença entre -all e ~all em um registro SPF ?
-all é um hardfail que instrui os destinatários a rejeitar ou falhar qualquer servidor não listado no registro. ~all é um softfail que aceita remetentes não listados, mas os marca como suspeitos. Use ~all durante o teste e -all quando todos os remetentes legítimos forem incluídos.
Posso ter mais de um registro SPF ?
Não. Um domínio deve publicar exatamente um registro SPF TXT . Dois ou mais registros SPF causam um permerror e quebram a autenticação. Mesclar todas as fontes em um único registro começando com v=spf1.
Os mecanismos ip4 e ip6 contam para o limite de 10 pesquisas?
Não. ip4 e ip6 autorizam endereços diretamente e não exigem resolução DNS , portanto, não consomem pesquisas. Mecanismos como include, a, mx, ptr e exist contam para o limite de 10.
O que o mecanismo de inclusão faz?
O mecanismo de inclusão importa o registro SPF de outro domínio, que é como você autoriza remetentes de terceiros, como Google Workspace ou SendGrid . Cada inclusão conta como pelo menos uma pesquisa DNS , e qualquer inclusão aninhada dentro dela adiciona mais.
Como posso verificar meu registro SPF ?
Use um verificador SPF . Ele busca o registro, expande cada inclusão e conta as pesquisas DNS em relação ao limite de 10.
Como posso combinar registros SPF ?
Mescle os mecanismos de ambos os registros em um registro v=spf1 e mantenha um único no final.
Devo usar ~all ou -all ?
Use ~all enquanto confirma cada remetente e então -all . Com DMARC em p=reject, ambos funcionam porque DMARC toma a decisão final.
[ SPF guia ]
Proveniência da empresa
Por que as principais instituições financeiras e governos retiraram seus painéis de segurança de e-mail.
As plataformas tradicionais de autenticação de e-mail vendem um painel e pedem que seus engenheiros façam o trabalho. Em ambientes de alto risco, a supervisão manual significa aplicação atrasada, desvios de configuração e domínios ocultos não monitorados.
EmailAuth é a plataforma de origem de e-mail agente. Nossos agentes impõem p=reject, mantenha remetentes terceiros alinhados e mova seus domínios para full RFC 9989 conformidade, o novo padrão DMARC , com auditabilidade humana no circuito.
SaaS · Locação dedicada · Air gap no local · Criptografia BYOK